為 CMEK 設定 Google Cloud KMS

本指南將逐步說明如何將 Google Cloud KMS 金鑰設定為您 Anthropic 組織的客戶管理加密金鑰（customer-managed encryption key，CMEK）。

先決條件

• 已啟用計費的 Google Cloud 專案。
• 已啟用 Cloud KMS API（cloudkms.googleapis.com）。
• 建立 KMS 金鑰環和金鑰，以及在其上設定 IAM 政策的權限（roles/cloudkms.admin 或同等權限）。
• 您組織的 Anthropic Admin API 金鑰。
• 已安裝並通過驗證的 gcloud CLI。
• 為專案啟用 Cloud KMS 資料存取稽核日誌（IAM & Admin > Audit Logs > Cloud Key Management Service，並啟用 DATA_READ 和 DATA_WRITE）。這些預設為關閉；若未啟用，Anthropic 的加密和解密操作不會在 Cloud Logging 中產生任何記錄。

Anthropic 服務帳戶電子郵件

若要讓 Anthropic 使用您的加密金鑰，您必須提供 Anthropic 的服務帳戶一個可用於加密資料的金鑰。Anthropic CMEK 的服務帳戶電子郵件為：

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

加密金鑰設定

1. 1

   建立或選擇金鑰環

   如果您已有可重複使用的金鑰環，請跳過此步驟。金鑰環是區域性的。選擇一個與您正在設定的 Anthropic 地理位置相符的單一區域美國位置，例如 us-east5。不支援 us 和 global 等多區域位置。

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   建立加密金鑰

   建立一個具有 ENCRYPT_DECRYPT 用途的對稱金鑰。Anthropic 強烈建議使用 HSM 保護：Cloud KMS HSM 金鑰通過 FIPS 140-2 Level 3 驗證，且相較於軟體金鑰的成本差異很小。

   --labels 選項會新增組織標籤 anthropic-org-<ORGANIZATION_UUID>，其值為 true，其中 <ORGANIZATION_UUID> 是您小寫的 Anthropic 組織 ID。此標籤是 Anthropic 驗證金鑰所必需的。

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   若要改用軟體保護，請省略 --protection-level=hsm。本指南中的其他內容不變。

   您也可以從 Google Cloud Console 建立金鑰。開啟金鑰環，點擊 Create key，選擇 Generated key，將用途和演算法設定為對稱加密和解密，並在保護層級下選擇 HSM。

   

   若要在多個 Anthropic 組織之間共用一個金鑰，請為每個組織新增一個這樣的標籤。一個金鑰最多可攜帶 64 個標籤，包括您自己的標籤。

3. 3

   授予 Anthropic 服務帳戶存取金鑰的權限

   需要兩個金鑰層級的 IAM 繫結。兩者都限定於單一加密金鑰，而非整個專案或整個金鑰環。

   加密和解密，Anthropic 用於加密和解密保護您工作區資料的資料金鑰（信封加密）：

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   檢視者，用於 Anthropic 在啟動時執行的中繼資料讀取（cryptoKeys.get），以驗證金鑰的用途和演算法：

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   從 Console 中，選擇金鑰，開啟 Permissions 面板，點擊 Grant access，並為服務帳戶新增 Cloud KMS CryptoKey Encrypter/Decrypter 和 Cloud KMS Viewer 兩個角色。請確保您位於金鑰的權限頁面，而非金鑰環或專案，以便授權僅限定於此金鑰。

   

4. 4

   記下完整的金鑰資源名稱

   當您註冊金鑰時，需要將此名稱傳遞給 Anthropic。格式為：

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   使用以下指令擷取：

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   從 Console 中，開啟金鑰的詳細資料頁面並點擊 Copy resource name。

   

向 Anthropic 註冊金鑰

您如何註冊金鑰取決於您使用的產品。

Terraform

對於基礎設施即程式碼（infrastructure-as-code）部署，相同的步驟對應到 google 提供者的 google_kms_key_ring、google_kms_crypto_key 和 google_kms_crypto_key_iam_member 資源。