Настройка Google Cloud KMS для CMEK

Это руководство описывает настройку ключа Google Cloud KMS в качестве ключа шифрования, управляемого клиентом (customer-managed encryption key, CMEK) для вашей организации Anthropic.

Предварительные требования

• Проект Google Cloud с включённым биллингом.
• Включённый Cloud KMS API (cloudkms.googleapis.com).
• Разрешения на создание связок ключей (key rings) и ключей KMS, а также на установку политики IAM для них (roles/cloudkms.admin или эквивалент).
• Ключ Anthropic Admin API для вашей организации.
• Установленный и аутентифицированный gcloud CLI.
• Включённые для проекта журналы аудита доступа к данным (Data Access audit logs) Cloud KMS (IAM & Admin > Audit Logs > Cloud Key Management Service, с DATA_READ и DATA_WRITE). По умолчанию они отключены; без них операции шифрования и расшифровки Anthropic не создают записей в Cloud Logging.

Адрес электронной почты сервисного аккаунта Anthropic

Чтобы Anthropic использовала ваш ключ шифрования, вы должны предоставить сервисному аккаунту Anthropic ключ, который он может использовать для шифрования данных. Адрес электронной почты сервисного аккаунта для Anthropic CMEK:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Настройка ключа шифрования

1. 1

   Создайте или выберите связку ключей

   Пропустите этот шаг, если у вас уже есть связка ключей для повторного использования. Связки ключей являются региональными. Выберите однорегиональное расположение в США, такое как us-east5, которое соответствует географии Anthropic, которую вы настраиваете. Мультирегиональные расположения, такие как us и global, не поддерживаются.

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   Создайте криптографический ключ

   Создайте симметричный ключ с назначением ENCRYPT_DECRYPT. Anthropic настоятельно рекомендует защиту HSM: ключи Cloud KMS HSM валидированы по FIPS 140-2 Level 3, а разница в стоимости по сравнению с программными ключами невелика.

   Опция --labels добавляет метку организации, anthropic-org-<ORGANIZATION_UUID> со значением true, где <ORGANIZATION_UUID> — это идентификатор вашей организации Anthropic в нижнем регистре. Метка требуется для того, чтобы Anthropic могла валидировать ключ.

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   Для программной защиты вместо этого опустите --protection-level=hsm. Ничего больше в этом руководстве не меняется.

   Вы также можете создать ключ из Google Cloud Console. Откройте связку ключей, нажмите Create key, выберите Generated key, установите назначение и алгоритм на симметричное шифрование и расшифровку, и выберите HSM в разделе уровня защиты.

   

   Чтобы использовать один ключ для нескольких организаций Anthropic, добавьте по одной такой метке для каждой организации. Ключ может содержать не более 64 меток, включая ваши собственные.

3. 3

   Предоставьте сервисному аккаунту Anthropic доступ к ключу

   Требуются две привязки IAM на уровне ключа. Обе ограничены одним криптографическим ключом, а не всем проектом или всей связкой ключей.

   Шифрование и расшифровка, которые Anthropic использует для шифрования и расшифровки ключей данных, защищающих данные вашего рабочего пространства (конвертное шифрование):

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   Viewer, для чтения метаданных (cryptoKeys.get), которое Anthropic выполняет при запуске для валидации назначения и алгоритма ключа:

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   Из Console выберите ключ, откройте панель Permissions, нажмите Grant access и добавьте сервисный аккаунт с обеими ролями Cloud KMS CryptoKey Encrypter/Decrypter и Cloud KMS Viewer. Убедитесь, что вы находитесь на странице разрешений ключа, а не связки ключей или проекта, чтобы предоставление было ограничено только этим ключом.

   

4. 4

   Запишите полное имя ресурса ключа

   Вы передаёте его Anthropic при регистрации ключа. Формат:

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   Получите его с помощью:

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   Из Console откройте страницу сведений о ключе и нажмите Copy resource name.

   

Зарегистрируйте ключ в Anthropic

Способ регистрации ключа зависит от того, какой продукт вы используете.

Terraform

Для развёртываний по модели «инфраструктура как код» те же шаги сопоставляются с провайдером google и ресурсами google_kms_key_ring, google_kms_crypto_key и google_kms_crypto_key_iam_member.