Chiavi di crittografia gestite dal cliente

claude "/claude-api tell me about customer-managed encryption keys"

Una chiave di crittografia gestita dal cliente (CMEK) ti consente di fornire una chiave di crittografia nel tuo AWS KMS, Google Cloud KMS o Azure Key Vault e far sì che Anthropic la utilizzi per criptare determinati dati del workspace a riposo. Mantieni il pieno controllo della chiave, inclusi rotazione, audit e revoca, e le operazioni sulla chiave che Anthropic esegue sulla tua chiave vengono registrate nei log di audit del tuo provider cloud.

L'uso di CMEK è facoltativo. Le organizzazioni idonee possono scegliere di aderire (opt in) per utilizzare chiavi di crittografia gestite dal cliente invece della crittografia predefinita fornita da Anthropic. Per attivare CMEK, contatta il tuo team account Anthropic.

Come funziona

Solo gli Organization Admin (su Claude Platform; il ruolo Admin su Claude Platform su AWS) o gli Owner e il Primary Owner (su Claude Enterprise) possono configurare CMEK. Su Claude Platform, CMEK è definito per workspace ed è configurato nella Claude Console o con l'Admin API (su Claude Platform su AWS, nella Claude Console o tramite gli endpoint di chiave esterna e workspace autorizzati da IAM). Su Claude Enterprise, CMEK è definito per organizzazione ed è configurato in claude.ai > Organization settings > Data and privacy. Su entrambi i prodotti, CMEK protegge i dati scritti dopo che la tua chiave entra in vigore. I dati esistenti (chat, file e sessioni precedenti) rimangono criptati con chiavi gestite da Anthropic e non vengono ri-criptati con la tua chiave.

Su Claude Platform, Anthropic consiglia di collegare la tua chiave a un nuovo workspace prima di inviare qualsiasi richiesta a quel workspace. Se colleghi una chiave a un workspace che riceve già richieste, la tua chiave può impiegare fino a un giorno per entrare in vigore. I dati scritti prima di allora, come i dati esistenti, sono criptati con chiavi gestite da Anthropic e non vengono ri-criptati.

Gli eventi di configurazione CMEK appaiono nel Compliance API Activity Feed. Le operazioni sulla chiave che Anthropic esegue sulla tua chiave (come il wrapping e l'unwrapping delle chiavi dati) non appaiono nella Compliance API; appaiono nei log di audit del tuo provider cloud.

Anthropic chiama il tuo servizio di gestione delle chiavi dal suo intervallo IP pubblico standard. Se limiti l'accesso al tuo servizio di gestione delle chiavi tramite IP, consenti gli indirizzi elencati in Indirizzi IP. Su Claude Platform su AWS, non fare affidamento su restrizioni basate su IP per la tua chiave; definisci invece l'accesso con la key policy descritta nella guida AWS KMS.

Prerequisiti

• Autorizzazioni per creare chiavi di crittografia e gestire l'accesso alle chiavi nell'account, progetto o abbonamento che ospiterà la chiave di crittografia.
• Un ruolo Organization Admin nella Claude Console su Claude Platform (il ruolo Admin su Claude Platform su AWS), o un ruolo Owner o Primary Owner su Claude Enterprise.
• Configurazione della conservazione dei dati: CMEK è consentito con Zero data retention (ZDR) sia per Claude Platform che per Claude Enterprise.

Disponibilità e regioni

Ad eccezione di Claude Platform su AWS (trattato alla fine di questa sezione), CMEK è attualmente disponibile solo nelle regioni statunitensi, e tutte le operazioni di crittografia vengono elaborate nelle regioni statunitensi. Per una latenza minima, scegli una regione vicina all'infrastruttura statunitense di Anthropic:

Su Claude Platform su AWS, CMEK è disponibile solo con chiavi AWS KMS; le chiavi Google Cloud KMS e Azure Key Vault non possono essere registrate. Queste raccomandazioni sulle regioni non si applicano in quel caso: la chiave deve essere una chiave KMS a regione singola nello stesso account e regione AWS del workspace a cui è collegata, e la sua key policy deve concedere l'accesso a un service principal AWS anziché al ruolo IAM di Anthropic; consulta Configurare CMEK su Claude Platform su AWS. Registra e collega le chiavi nella Claude Console; gli endpoint esterni delle chiavi sono disponibili anche su Claude Platform su AWS, autorizzati tramite azioni IAM. Non c'è un passaggio di validazione separato: la chiave viene validata implicitamente quando la colleghi a un workspace (la chiamata di collegamento esegue un ciclo di crittografia/decrittografia), quindi un problema di key policy emerge al momento del collegamento anziché alla registrazione.

Cosa protegge CMEK

Ciò che CMEK copre dipende da quale prodotto utilizzi.

Criptato con chiave CMEK

Claude Platform

• Contenuto dei messaggi, file e allegati (sia gli allegati inline inviati con una richiesta sia i caricamenti tramite Files API) e configurazione di MCP e degli strumenti.
• Dati di Claude Managed Agents (beta), incluse configurazioni degli agenti, ambienti, webhook, sessioni e i relativi eventi, memory store (beta) e le relative memorie e versioni di memoria, e dreams (research preview).
• Dati archiviati a riposo dalle API Batch e Skills, e da questi strumenti: web search, web fetch, code execution, bash, text editor, MCP connector (beta), structured outputs, advisor tool (beta), computer use, browser use e context management.

Claude Enterprise

• Contenuto delle chat, incluse skill e plugin.
• Allegati delle chat e allegati dei progetti.
• Claude Code sulla CLI, incluso il contenuto dei messaggi.
• Cowork in Claude Desktop.
• Trascrizioni delle sessioni locali della Compliance API acquisite dalle sessioni sui computer degli utenti. Se la tua chiave non può essere utilizzata, l'endpoint dei messaggi restituisce 503 Service Unavailable invece del contenuto della trascrizione. I metadati della sessione vengono comunque elencati.
• Agenti Office.
• Claude in Chrome.
• Claude Science, che è in beta.

Su entrambi i prodotti, i backup e gli snapshot ereditano la chiave.

Disabilitato o modificato

Alcune funzionalità vengono disattivate o sostanzialmente modificate quando CMEK è abilitato. Questo elenco non è esaustivo; esaminalo con il tuo team prima di abilitare CMEK.

Claude Platform

• Il Playground nella Claude Console è disabilitato.
• Le porzioni della Compliance API che restituiscono contenuto grezzo, come prompt, risposte e file, sono disabilitate.
• Gli structured output non sono disponibili per i modelli Claude Fable o Claude Mythos nelle organizzazioni CMEK.
• Altre funzionalità beta e research preview potrebbero non essere coperte da CMEK.

Claude Enterprise

• La ricerca nelle chat è disabilitata perché i titoli e il contenuto delle chat sono criptati con la tua chiave. I membri non possono cercare nelle chat passate, e l'interruttore Search and reference chats rimane disattivato, quindi nemmeno Claude può cercarle.
• La ricerca nella conoscenza del progetto ("retrieval-augmented generation" (generazione aumentata dal recupero), o RAG) è disabilitata. La conoscenza del progetto viene caricata direttamente nel contesto di ogni conversazione invece di essere indicizzata e cercata. Di conseguenza, un progetto può utilizzare sostanzialmente meno conoscenza di quanto potrebbe senza CMEK. La conoscenza che eccede quanto può essere caricato viene esclusa dalla conversazione.
• Claude Code sul web e Claude in Slack non sono disponibili: non è possibile avviare nuove sessioni e Claude in Slack rifiuta le richieste, anche se un admin attiva questi prodotti. Claude Code Desktop rimane disponibile per le sessioni locali ma è disattivato a meno che un admin non lo attivi in claude.ai > Organization settings > Claude Code.