Claude の保存データを御社の鍵で守る「顧客管理の暗号鍵」の仕組みを解説

このページは、顧客管理の暗号鍵（御社が管理する暗号鍵）で Claude の保存データを守る仕組みを説明しています。窓口ごとの保護の単位や、監査ログ（操作の記録）の残り方も定めています1。

顧客管理の暗号鍵では、保存データそのものはデータ鍵（データを直接暗号化する鍵）で暗号化されます。御社の鍵は、そのデータ鍵を暗号化する役目です1。

1. 01
   御社の鍵は手元から出ない御社の鍵は、鍵管理サービス（クラウド上で鍵を保管・操作する仕組み）の外に出ません。鍵管理サービスに御社のデータは送られず、Anthropic も鍵の写しを持たないとされています1。
2. 02
   鍵が使えないと Claude も読めない御社の鍵が使えない場合、その鍵で保護されたデータは Claude が読めないとされています1。
3. 03
   守られるのは有効化した後のデータ鍵が保護するのは、有効化した後に書き込んだデータです。有効化前のチャット・ファイル・セッションは Anthropic の鍵のままで、再暗号化もされません1。
4. 04
   窓口によって違う保護の単位Claude Platform と Claude Platform on AWS では、保護の単位はワークスペース（利用を区切る作業場所）です。同じ鍵で複数のワークスペースを守れます。Claude Enterprise では組織全体が単位で、鍵は組織あたり1個です1。
5. 05
   暗号処理は米国で行われるClaude Platform と Claude Enterprise では、暗号処理は米国のリージョン（データセンターの所在地域）で行われます。米国外の鍵も使えますが、遅延が増えるとされています1。

御社の鍵を置ける保管先として、3種類が挙げられています。鍵の保管には、保管先の提供元が費用を課す場合があるとされています1。

ここからは UNS の見解です。鍵の扱いを社内で誰が担うかを、導入の前に決めておくことが大切だと私たちは考えます。

1. 01
   どの窓口で、何を単位に守るか御社が使う窓口と、鍵で守る単位を担当者に確かめさせてください。ワークスペースごとか組織全体かで、設定の進め方が変わります。
2. 02
   これまでのデータをどう扱うか有効化前のデータは御社の鍵の対象外です。新しいワークスペースで始めるか、使用中の環境に足すかを担当者と決めてください。
3. 03
   鍵が使えなくなったときの備え鍵を止めると、保護されたデータを Claude が読めません。鍵の権限を誰が持ち、誤って止めないよう、どう管理するかを決めてください。
4. 04
   鍵の置き場所と費用の負担どの保管先を使い、その費用を誰が負担するかを、クラウドの管理担当者に確かめさせてください。米国外の鍵を使う場合の待ち時間も確認が必要です。
5. 05
   記録を誰が見るか監査ログを誰が、どの頻度で確認するかを決めてください。確認の手順も担当者に用意させると安心です。

導入・運用を担当する方向けです。Claude Platform と Claude Enterprise では、鍵に Anthropic の組織 ID を含めます。ID の無い鍵は検証に失敗し、組織間で共有する鍵には各組織の ID を含めます1。

Claude Platform と Claude Enterprise では、組織 ID の記載先は鍵管理サービスによって異なります1。

AWS KMS の鍵ポリシーでは、ワークスペースをコンパートメント ID で指定します。この ID は、各ワークスペースの暗号化用に Anthropic が付与します1。

コンパートメント ID は、ワークスペース ID とは別の ID です。ワークスペース ID は wrkspc_ で始まります1。

以下は Claude Platform と Claude Platform on AWS での扱いです。最初のリクエスト前に鍵を紐付けたワークスペースでは、最初のリクエストから鍵が有効です1。

使用中のワークスペースでは、有効化まで最大1日かかります。それまでに書いたデータは Anthropic の鍵のままです1。

Anthropic は、Claude Platform と Claude Platform on AWS では新しいワークスペースの利用を推奨しています1。

暗号化の方式はエンベロープ暗号化です。データ鍵の包み・解除では、読み書きのたびに御社の鍵管理サービスへ依頼します。Anthropic と御社の間を通るのはデータ鍵です1。

鍵が保護するデータの範囲は、製品により異なります1。

御社のクラウドの監査ログには、鍵を使う全操作が記録されます。ログの有効化が必要な場合は、設定ページの前提条件に記載があります1。

AWS CloudTrail では、一部のエントリは想定内のエラーです1。

コンプライアンス API のアクティビティフィードには、設定変更が記録されます。鍵の操作は、このフィードには記録されません1。

暗号規格の資料としては、Trust Center の白書が挙げられています1。

データ鍵の包み・解除のたびに、鍵管理サービスへの往復の通信が発生します。遅延に影響するのは、保存データの読み書きです1。

Claude Platform と Claude Enterprise では、遅延の少ないリージョンは各設定ページに記載されています1。

1. 01
   顧客管理の暗号鍵サービス側ではなく、利用する会社が自分で管理する暗号鍵のことです。鍵の利用を会社側で止めたり確認したりできます。
2. 02
   データ鍵保存するデータそのものを暗号化する鍵です。この鍵を、さらに別の鍵で暗号化して守ります。
3. 03
   鍵管理サービスクラウド上で暗号鍵を保管し、暗号化などの操作を引き受ける仕組みです。鍵そのものは外に出さずに使えます。
4. 04
   ワークスペースサービスの利用を、部署や用途ごとに区切って管理するための作業場所です。
5. 05
   リージョンクラウドのデータセンターが置かれている地域のことです。処理を行う場所を表します。
6. 06
   監査ログ誰が、いつ、どんな操作をしたかを残す記録です。後から利用状況を確認するときに使います。

1. 1How CMEK worksplatform.claude.com・2026.10.31 確認

本記事は公式の発表をもとに、株式会社UNSが要約したものです。正確な内容は出典をご確認ください。