Claude CMEKとZDRの関係 — 鍵付きワークスペースが30日保持になる理由

Claude PlatformでCMEK(顧客管理鍵)とZDR(ゼロデータ保持)を同じワークスペースに置くことはできません。鍵を付けられるのは、標準のデータ保持(30日)を選んだワークスペースだけです。ZDRの組織でも鍵は使えますが、ZDRを保つ必要のあるワークスペースとは分けて作ります。一方、Claude Enterpriseでは併用できる代わりに、アーティファクトが使えなくなります。

CMEKとZDRは、なぜ同じワークスペースに置けないのか

理由は単純で、暗号化する対象がなくなるからです。CMEKは保存されたデータを自社の鍵で暗号化する仕組みです。ZDRはClaude Platformで、プロンプトと応答をAnthropicが保存しない取り決めです。保存されるデータがなければ、鍵で守るものもありません。

そこで鍵を紐づけられるのは、Standard data retention(30日)のワークスペースに限られます。Claude Platformで鍵を持つワークスペースは、データを保持しなければなりません。

会話

「CMEKを付ければZDRより安全」ではない

1. 後輩

   鍵で暗号化できるなら、ZDRより強い保護になりませんか。

2. 先輩

   別の方向の保護です。ZDRは保存しないことで守ります。CMEKは保存したうえで、鍵を握ることで守ります。

3. 後輩

   つまりCMEKを選んだ時点で、30日は保持される前提なんですね。

4. 先輩

   そうです。保持を認めたうえで、読める人を自社の鍵で絞るという設計です。

選ぶ決め手は、規制や社内ルールの文言です。「保存しないこと」を求める条文ならZDR、「鍵の管理を自社が持つこと」を求める条文ならCMEKが当てはまります。

ZDR組織で鍵付きワークスペースを作る手順

ZDRの契約があっても、CMEKは使えます。組織全体のZDRを外す必要はありません。CMEK自体は任意の機能で、対象の組織が有効にするにはAnthropicのアカウント担当チームへの連絡が必要です。手順に入る前に、まずここを済ませておきます。切り替えるのは、鍵を付けたい1つのワークスペースだけです。

手順

ZDR組織で鍵付きワークスペースを用意する流れ

1. 1

   鍵用のワークスペースを決める

   既定のワークスペース(Default Workspace)は使えません。保持設定が組織の設定に従うためです。別のワークスペースを選ぶか、新しく作ります。

2. 2

   そのワークスペースをStandard data retentionに切り替える

   Claude Consoleの「Data retention」ページ(platform.claude.com/settings/privacy)で、上部のプルダウンから対象のワークスペースを選びます。「Standard data retention」(30日保持)を選んで「Save」を押すと、確認ダイアログが開きます。データ保持の条件を読んで同意するまで、保持はオンになりません。

3. 3

   鍵を紐づける

   AWS KMS・Google Cloud KMS・Azure Key Vaultのうち、使うサービスの設定ページを開き、その中の鍵を紐づける段に沿って進めます。紐づけるのは、手順1と2で切り替えたワークスペースです。

ほかのワークスペースは、ZDRのままです。したがって1つの組織の中に、ZDRのワークスペースと、30日保持で鍵付きのワークスペースが並ぶ形になります。保持を切り替える画面の細かい操作はZDR組織でワークスペースごとにデータ保持を有効にする手順にまとまっています。

鍵そのものの設定は、KMSの種類で手順が違います。CMEKで何が守られ、何が止まるかはClaude CMEKとはで扱っています。

一度鍵を付けると、保持は止められない

ここが最大の注意点です。鍵を付けたあとは、そのワークスペースのデータ保持をオフにできません。ZDRへ戻る方法は、新しいワークスペースを作ってトラフィックを移すことだけです。

前と後

鍵を付ける前と後で変わること

BEFORE

鍵を付ける前

ワークスペースの保持設定は、切り替えが可能です。ZDRにも30日保持にも寄せられます。

AFTER

鍵を付けた後

30日保持から戻せません。ZDRに戻したいときは、新しいワークスペースを作ってAPIキーと呼び出し先を付け替えます。

運用上の含意は2つあります。

• 試験的に鍵を付ける場合も、本番で使っているワークスペースは避けて、専用のワークスペースを用意します。
• ワークスペースを分ける前提で、APIキーや呼び出し側の設定を組織内でどう切り替えるかを先に決めておきます。

鍵を削除するとAnthropicはデータを復元できず、鍵が無効の間はClaudeがそのデータを読めません。「保持を戻せない」と「鍵を失うとデータも失う」は、別々の不可逆性です。

不可逆なのは保持の設定だけではありません。鍵そのものも、一度付けると外すことも別の鍵に差し替えることもできません。しかも鍵が守るのは、鍵が有効になった後に書き込まれたデータだけです。切り替え前に書き込まれたデータへ、後から鍵がかかることはありません。

Claude Enterpriseでは併用できるが、アーティファクトが使えない

Claude Enterpriseでは事情が違います。組織はCMEKとZDRを併用できます。ただし併用すると、アーティファクトを有効にできません。

止まるのは、会話中のアーティファクトと「Artifacts」タブのもの(Claude Design・Claude Slides・Claude Docsを含む)です。ZDRを併用する組織では、これらをオンにできません。HIPAA対応が有効な組織は、使う前にOwnerが条件に同意する必要があります。

Claude Enterpriseの保持期間そのものを変える手順はClaude Enterpriseのデータ保持期間にあります。

鍵の外で保全されるデータはあるのか

鍵を付けたワークスペースでも、Anthropicが特定の記録を鍵の外に保全する場合があります。保全されるのは、次の3つの限られたケースです。

• 法律で保存が義務づけられる場合(NCMEC報告の対象になる資料など)
• 重大な危害が差し迫っている場合(CBRNE兵器の開発、攻撃目的のサイバー作戦、暴力の切迫した脅威など)
• 商用規約D.4項、または顧客の別契約にある同等の条項への違反

保全は、CSAMスクリーニングを除き、人間のレビュー担当者が明示的に決めたときだけ行われます。保全した記録は商用データの保持ポリシーに従います。

鍵の外への保全は、黙って行われるわけではありません。保全のたびにCompliance APIのActivity Feedにイベントが出て、保全の目的を示す理由コードが付きます。イベントの種別は cmek_preserve です。保全された内容は鍵の外で再暗号化されますが、それ以外の保持データは鍵の下に残ります。

なお、安全性スクリーニングのメタデータ(パターンの識別子や一致の有無など)は、Anthropic管理の暗号化で保持されます。鍵を失効させても読めます。会話の内容ではなく、自動スキャンから派生した記録です。保全の全体像と、鍵の対象外になるデータの一覧はClaude CMEKとはにあります。

ZDRとCMEKのどちらを選ぶかの切り分け

切り分け

CMEKを導入する前の確認順

1. QAnthropicにプロンプトと応答を一切保存させない必要があるか?
   答えが次の問いへ

   ZDRのワークスペースを使います。鍵は付けられません。

   答えがはい
2. Q保存は許容できるが、鍵を自社で握りたいか?
   答えが標準の暗号化のままで足ります

   Standard data retentionのワークスペースにCMEKを付けます。

   答えがはい
3. QZDRの業務とCMEKの業務が同じ組織に混在するか?
   答えが1つのワークスペースで完結します

   ワークスペースを分けます。ZDRの組織なら、鍵用に既定以外のワークスペースを1つ用意します。

   答えがはい

Claude Enterpriseで併用する場合

アーティファクトが使えなくなることを、導入前に利用部門へ伝えます。

ZDRが適用される契約と範囲の考え方は、Claude APIのZDRとHIPAAの違いで整理しています。