Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Claude Platform on AWS verwendet AWS IAM für die Zugriffskontrolle. Jede API-Route ist einer IAM-Aktion im Namespace aws-external-anthropic zugeordnet. Diese Seite listet alle Aktionen auf, die Routen, die jede Aktion autorisiert, sowie die verwalteten Richtlinien, die für gängige Zugriffsmuster verfügbar sind. Informationen zur Plattformeinrichtung und Authentifizierung findest du unter Claude Platform on AWS.
| Attribut | Wert |
|---|---|
| IAM-Service-Präfix | aws-external-anthropic |
| Ressourcentypen | workspace |
Workspace-ARN-Format:
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}Die ARN-Region ist immer ausgefüllt und entspricht der Region, an die der Workspace gebunden ist. Das Ressourcensegment ist die getaggte Workspace-ID (wrkspc_...), derselbe Wert, den du im Header anthropic-workspace-id übergibst.
Der Service definiert 66 Aktionen. Aktionen folgen der AWS-Konvention VerbNoun und verwenden eine konsequente Verb-Disziplin, sodass die Wildcards Get* und List* eine saubere Read-only-Grenze ergeben.
| Aktion | Autorisierte Routen |
|---|---|
CreateInference | POST /v1/messages |
CountTokens | POST /v1/messages/count_tokens |
| Aktion | Autorisierte Routen |
|---|---|
CreateBatchInference | POST /v1/messages/batches |
GetBatchInference | GET /v1/messages/batches/{id}GET /v1/messages/batches/{id}/results |
ListBatchInferences | GET /v1/messages/batches |
CancelBatchInference | POST /v1/messages/batches/{id}/cancel |
DeleteBatchInference | DELETE /v1/messages/batches/{id} |
| Aktion | Autorisierte Routen |
|---|---|
GetModel | GET /v1/models/{id} |
ListModels | GET /v1/models |
| Aktion | Autorisierte Routen |
|---|---|
CreateFile | POST /v1/files |
GetFile | GET /v1/files/{id}GET /v1/files/{id}/content |
ListFiles | GET /v1/files |
DeleteFile | DELETE /v1/files/{id} |
| Aktion | Autorisierte Routen |
|---|---|
CreateSkill | POST /v1/skills |
GetSkill | GET /v1/skills/{id}GET /v1/skills/{id}/versionsGET /v1/skills/{id}/versions/{version}GET /v1/skills/{id}/versions/{version}/content |
ListSkills | GET /v1/skills |
UpdateSkill | POST /v1/skills/{id}/versionsDELETE /v1/skills/{id}/versions/{version} |
DeleteSkill | DELETE /v1/skills/{id} |
| Aktion | Autorisierte Routen |
|---|---|
CreateAgent | POST /v1/agents |
GetAgent | GET /v1/agents/{id}GET /v1/agents/{id}/versions |
ListAgents | GET /v1/agents |
UpdateAgent | POST /v1/agents/{id} |
ArchiveAgent | POST /v1/agents/{id}/archive |
| Aktion | Autorisierte Routen |
|---|---|
CreateSession | POST /v1/sessions |
GetSession | GET /v1/sessions/{id}GET /v1/sessions/{id}/eventsGET /v1/sessions/{id}/events/streamGET /v1/sessions/{id}/resourcesGET /v1/sessions/{id}/resources/{id} |
ListSessions | GET /v1/sessions |
UpdateSession | POST /v1/sessions/{id}POST /v1/sessions/{id}/eventsPOST /v1/sessions/{id}/resourcesPOST /v1/sessions/{id}/resources/{id}DELETE /v1/sessions/{id}/resources/{id} |
ArchiveSession | POST /v1/sessions/{id}/archive |
DeleteSession | DELETE /v1/sessions/{id} |
| Aktion | Autorisierte Routen |
|---|---|
CreateEnvironment | POST /v1/environments |
GetEnvironment | GET /v1/environments/{id}GET /v1/environments/{id}/workGET /v1/environments/{id}/work/{work_id}GET /v1/environments/{id}/work/stats |
ListEnvironments | GET /v1/environments |
UpdateEnvironment | POST /v1/environments/{id} |
ArchiveEnvironment | POST /v1/environments/{id}/archive |
DeleteEnvironment | DELETE /v1/environments/{id} |
ProcessEnvironmentWork | GET /v1/environments/{id}/work/pollPOST /v1/environments/{id}/work/{work_id}POST /v1/environments/{id}/work/{work_id}/ackPOST /v1/environments/{id}/work/{work_id}/heartbeatPOST /v1/environments/{id}/work/{work_id}/stop |
| Aktion | Autorisierte Routen |
|---|---|
CreateVault | POST /v1/vaults |
GetVault | GET /v1/vaults/{id}GET /v1/vaults/{id}/credentialsGET /v1/vaults/{id}/credentials/{id} |
ListVaults | GET /v1/vaults |
UpdateVault | POST /v1/vaults/{id}POST /v1/vaults/{id}/credentialsPOST /v1/vaults/{id}/credentials/{id}POST /v1/vaults/{id}/credentials/{id}/archiveDELETE /v1/vaults/{id}/credentials/{id} |
ArchiveVault | POST /v1/vaults/{id}/archive |
DeleteVault | DELETE /v1/vaults/{id} |
| Aktion | Autorisierte Routen |
|---|---|
CreateMemoryStore | POST /v1/memory_stores |
GetMemoryStore | GET /v1/memory_stores/{id}GET /v1/memory_stores/{id}/memoriesGET /v1/memory_stores/{id}/memories/{id}GET /v1/memory_stores/{id}/memory_versionsGET /v1/memory_stores/{id}/memory_versions/{id} |
ListMemoryStores | GET /v1/memory_stores |
UpdateMemoryStore | POST /v1/memory_stores/{id}POST /v1/memory_stores/{id}/memoriesPOST /v1/memory_stores/{id}/memories/{id}DELETE /v1/memory_stores/{id}/memories/{id}POST /v1/memory_stores/{id}/memory_versions/{id}/redact |
ArchiveMemoryStore | POST /v1/memory_stores/{id}/archive |
DeleteMemoryStore | DELETE /v1/memory_stores/{id} |
| Aktion | Autorisierte Routen |
|---|---|
CreateWebhook | POST /v1/webhooks |
GetWebhook | GET /v1/webhooks/{id} |
ListWebhooks | GET /v1/webhooks |
UpdateWebhook | POST /v1/webhooks/{id} |
DeleteWebhook | DELETE /v1/webhooks/{id} |
RotateWebhookSecret | POST /v1/webhooks/{id}/regenerate_signing_secret |
| Aktion | Autorisierte Routen |
|---|---|
CreateUserProfile | POST /v1/user_profiles |
GetUserProfile | GET /v1/user_profiles/{id} |
ListUserProfiles | GET /v1/user_profiles |
UpdateUserProfile | POST /v1/user_profiles/{id} |
| Aktion | Autorisierte Routen |
|---|---|
CreateWorkspace | POST /v1/organizations/workspaces |
GetWorkspace | GET /v1/organizations/workspaces/{id} |
ListWorkspaces | GET /v1/organizations/workspaces |
UpdateWorkspace | POST /v1/organizations/workspaces/{id} |
ArchiveWorkspace | POST /v1/organizations/workspaces/{id}/archive |
| Aktion | Autorisierte Routen |
|---|---|
ListComplianceActivities | GET /v1/compliance/activities |
| Aktion | Autorisierte Routen |
|---|---|
CallWithBearerToken | (keine) |
CallWithBearerToken ist eine Berechtigung auf Authentifizierungsebene, die einen Principal autorisiert, sich über einen API-Key (Bearer-Token) statt über AWS SigV4 zu authentifizieren. Sie ist keiner Route zugeordnet. Gewähre sie zusammen mit den routenbezogenen Aktionen, die der API-Key-Inhaber ausführen soll.
| Aktion | Autorisierte Routen |
|---|---|
AssumeConsole | (keine) |
AssumeConsole autorisiert einen Principal, die Claude Console für einen Claude Platform on AWS-Workspace über den AWS-Console-Federation-Flow zu öffnen. Sie ist keiner Route zugeordnet. Gewähre sie Principals, die auf der Claude Platform on AWS-Serviceseite in der AWS Console auf Open Claude Console klicken können sollen. Die Claude Console-Rolle (Admin oder Developer) wird separat von deinem Anthropic-Account-Ansprechpartner zugewiesen; sie wird nicht aus den IAM-Berechtigungen des Principals abgeleitet. Siehe Verwendung der Claude Console für den Anmeldeablauf und die Rollenbeschreibungen.
Die folgende Tabelle listet jede Route auf Claude Platform on AWS und die IAM-Aktion auf, die zum Aufrufen erforderlich ist. Jede IAM-Aktion autorisiert auch Anfragen, die den Header anthropic-beta verwenden; Beta-Varianten einer Route erfordern keine separate IAM-Aktion. CloudTrail klassifiziert jede Aktion entweder als Data-Event (hochvolumige Data-Plane-Operationen) oder als Management-Event (Control-Plane-Operationen). Vault- und Webhook-Aktionen werden als Management-Events klassifiziert, weil sie Secrets enthalten (Vault-Credentials und Webhook-Signing-Secrets) und von standardmäßig aktiviertem Audit-Logging profitieren. Workspace- und Compliance-Aktionen werden ebenfalls als Management-Events klassifiziert, weil sie organisationsbezogene Control-Plane-Operationen sind. Alle anderen Aktionen, einschließlich Inferenz, Batch, Modell, Datei, Skill, User Profile und die übrigen Claude Managed Agents-Aktionen, werden als Data-Events klassifiziert.
| Methode | Route | IAM-Aktion | CloudTrail-Event-Typ |
|---|---|---|---|
POST | /v1/messages | CreateInference | Data |
POST | /v1/messages/count_tokens | CountTokens | Data |
POST | /v1/messages/batches | CreateBatchInference | Data |
GET | /v1/messages/batches | ListBatchInferences | Data |
GET | /v1/messages/batches/{id} | GetBatchInference | Data |
GET | /v1/messages/batches/{id}/results | GetBatchInference | Data |
POST | /v1/messages/batches/{id}/cancel | CancelBatchInference | Data |
DELETE | /v1/messages/batches/{id} | DeleteBatchInference | Data |
GET | /v1/models | ListModels | Data |
GET | /v1/models/{id} | GetModel | Data |
POST | /v1/files | CreateFile | Data |
GET | /v1/files | ListFiles | Data |
GET | /v1/files/{id} | GetFile | Data |
GET | /v1/files/{id}/content | GetFile | Data |
DELETE | /v1/files/{id} | DeleteFile | Data |
POST | /v1/skills | CreateSkill | Data |
GET | /v1/skills | ListSkills | Data |
GET | /v1/skills/{id} | GetSkill | Data |
DELETE | /v1/skills/{id} | DeleteSkill | Data |
POST | /v1/skills/{id}/versions | UpdateSkill | Data |
GET | /v1/skills/{id}/versions | GetSkill | Data |
GET | /v1/skills/{id}/versions/{version} | GetSkill | Data |
GET | /v1/skills/{id}/versions/{version}/content | GetSkill | Data |
DELETE | /v1/skills/{id}/versions/{version} | UpdateSkill | Data |
POST | /v1/user_profiles | CreateUserProfile | Data |
GET | /v1/user_profiles | ListUserProfiles | Data |
GET | /v1/user_profiles/{id} | GetUserProfile | Data |
POST | /v1/user_profiles/{id} | UpdateUserProfile | Data |
POST | /v1/organizations/workspaces | CreateWorkspace | Management |
GET | /v1/organizations/workspaces | ListWorkspaces | Management |
GET | /v1/organizations/workspaces/{id} | GetWorkspace | Management |
POST | /v1/organizations/workspaces/{id} | UpdateWorkspace | Management |
POST | /v1/organizations/workspaces/{id}/archive | ArchiveWorkspace | Management |
GET | /v1/compliance/activities | ListComplianceActivities | Management |
POST | /v1/agents | CreateAgent | Data |
GET | /v1/agents | ListAgents | Data |
GET | /v1/agents/{id} | GetAgent | Data |
POST | /v1/agents/{id} | UpdateAgent | Data |
POST | /v1/agents/{id}/archive | ArchiveAgent | Data |
GET | /v1/agents/{id}/versions | GetAgent | Data |
POST | /v1/sessions | CreateSession | Data |
GET | /v1/sessions | ListSessions | Data |
GET | /v1/sessions/{id} | GetSession | Data |
POST | /v1/sessions/{id} | UpdateSession | Data |
POST | /v1/sessions/{id}/archive | ArchiveSession | Data |
DELETE | /v1/sessions/{id} | DeleteSession | Data |
GET | /v1/sessions/{id}/events | GetSession | Data |
POST | /v1/sessions/{id}/events | UpdateSession | Data |
GET | /v1/sessions/{id}/events/stream | GetSession | Data |
GET | /v1/sessions/{id}/resources | GetSession | Data |
GET | /v1/sessions/{id}/resources/{id} | GetSession | Data |
POST | /v1/sessions/{id}/resources | UpdateSession | Data |
POST | /v1/sessions/{id}/resources/{id} | UpdateSession | Data |
DELETE | /v1/sessions/{id}/resources/{id} | UpdateSession | Data |
POST | /v1/environments | CreateEnvironment | Data |
GET | /v1/environments | ListEnvironments | Data |
GET | /v1/environments/{id} | GetEnvironment | Data |
POST | /v1/environments/{id} | UpdateEnvironment | Data |
POST | /v1/environments/{id}/archive | ArchiveEnvironment | Data |
DELETE | /v1/environments/{id} | DeleteEnvironment | Data |
GET | /v1/environments/{id}/work | GetEnvironment | Data |
GET | /v1/environments/{id}/work/poll | ProcessEnvironmentWork | Data |
GET | /v1/environments/{id}/work/{work_id} | GetEnvironment | Data |
GET | /v1/environments/{id}/work/stats | GetEnvironment | Data |
POST | /v1/environments/{id}/work/{work_id} | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/ack | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/heartbeat | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/stop | ProcessEnvironmentWork | Data |
POST | /v1/vaults | CreateVault | Management |
GET | /v1/vaults | ListVaults | Management |
GET | /v1/vaults/{id} | GetVault | Management |
POST | /v1/vaults/{id} | UpdateVault | Management |
POST | /v1/vaults/{id}/archive | ArchiveVault | Management |
DELETE | /v1/vaults/{id} | DeleteVault | Management |
GET | /v1/vaults/{id}/credentials | GetVault | Management |
POST | /v1/vaults/{id}/credentials | UpdateVault | Management |
GET | /v1/vaults/{id}/credentials/{id} | GetVault | Management |
POST | /v1/vaults/{id}/credentials/{id} | UpdateVault | Management |
POST | /v1/vaults/{id}/credentials/{id}/archive | UpdateVault | Management |
DELETE | /v1/vaults/{id}/credentials/{id} | UpdateVault | Management |
POST | /v1/memory_stores | CreateMemoryStore | Data |
GET | /v1/memory_stores | ListMemoryStores | Data |
GET | /v1/memory_stores/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id} | UpdateMemoryStore | Data |
POST | /v1/memory_stores/{id}/archive | ArchiveMemoryStore | Data |
DELETE | /v1/memory_stores/{id} | DeleteMemoryStore | Data |
POST | /v1/memory_stores/{id}/memories | UpdateMemoryStore | Data |
GET | /v1/memory_stores/{id}/memories | GetMemoryStore | Data |
GET | /v1/memory_stores/{id}/memories/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id}/memories/{id} | UpdateMemoryStore | Data |
DELETE | /v1/memory_stores/{id}/memories/{id} | UpdateMemoryStore | Data |
GET | /v1/memory_stores/{id}/memory_versions | GetMemoryStore | Data |
GET | /v1/memory_stores/{id}/memory_versions/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id}/memory_versions/{id}/redact | UpdateMemoryStore | Data |
GET | /v1/webhooks | ListWebhooks | Management |
GET | /v1/webhooks/{id} | GetWebhook | Management |
POST | /v1/webhooks | CreateWebhook | Management |
POST | /v1/webhooks/{id} | UpdateWebhook | Management |
DELETE | /v1/webhooks/{id} | DeleteWebhook | Management |
POST | /v1/webhooks/{id}/regenerate_signing_secret | RotateWebhookSecret | Management |
Routen, die nicht in dieser Tabelle aufgeführt sind, sind auf Claude Platform on AWS nicht verfügbar. Das Gateway verweigert standardmäßig jede hier nicht aufgeführte Route.
AWS stellt fünf verwaltete Richtlinien für Claude Platform on AWS bereit. Alle verwalteten Richtlinien gelten für Resource: "*".
| Richtlinie | Gewährt |
|---|---|
AnthropicFullAccess | aws-external-anthropic:* |
AnthropicReadOnlyAccess | Get*, List*, CallWithBearerToken |
AnthropicInferenceAccess | Get*, List*, CreateInference, CreateBatchInference, CancelBatchInference, DeleteBatchInference, CountTokens, CallWithBearerToken |
AnthropicLimitedAccess | Alle AnthropicInferenceAccess-Aktionen plus alle Claude Managed Agents-Aktionen (Agents, Sessions, Environments, Vaults, Memory Stores, Webhooks und selbst gehostete Environment-Work) |
AnthropicSelfHostedEnvironmentAccess | GetEnvironment, ProcessEnvironmentWork, GetSession, UpdateSession, GetSkill, CallWithBearerToken |
AnthropicInferenceAccess ist die engste verwaltete Richtlinie, die zum Ausführen von Inferenz ausreicht. Sie deckt sowohl synchrone als auch Batch-Inferenz ab und gewährt über die Wildcards Get* und List* Lesezugriff auf jede API-Ressource im Namespace, einschließlich Claude Managed Agents (CMA)-Ressourcen (Agents, Sessions, Environments, Vaults, Memory Stores und Webhooks). Dies schließt den Download von Dateiinhalten über GetFile (siehe Hinweis unter Dateien), den Download von Skill-Inhalten über GetSkill (siehe Hinweis unter Skills) und Memory-Inhalte über GetMemoryStore ein. Vault-Credential-Secrets und Webhook-Signing-Secrets werden nicht offengelegt: Diese Felder sind write-only und werden niemals von GetVault oder GetWebhook zurückgegeben (siehe Mit Vaults authentifizieren). AnthropicInferenceAccess gewährt keine Dateierstellung oder -löschung, kein Skill-Management, kein User-Profile-Management, keine Workspace-Änderung und keine Claude Managed Agents-Schreibaktion (Erstellen, Aktualisieren, Archivieren, Löschen, Verarbeiten oder Rotieren). Um CMA-Lesezugriffe auszuschließen, ersetze AnthropicInferenceAccess durch eine benutzerdefinierte Richtlinie, die nur die spezifischen Nicht-CMA-Aktionen aufzählt, die du benötigst.
AnthropicLimitedAccess enthält zusätzlich zu den Inferenz-Aktionen alle Claude Managed Agents-Aktionen.
AnthropicSelfHostedEnvironmentAccess ist die engste verwaltete Richtlinie, die zum Ausführen eines selbst gehosteten Sandbox-Workers ausreicht. Weise sie dem Principal zu, als der sich dein Environment-Worker authentifiziert.
AssumeConsole ist nicht in AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess oder AnthropicSelfHostedEnvironmentAccess enthalten. Principals, die Claude Console-Zugriff benötigen, brauchen entweder AnthropicFullAccess oder eine benutzerdefinierte Richtlinie, die aws-external-anthropic:AssumeConsole gewährt. Siehe Console-Zugriff.
Gewährt die minimalen Berechtigungen für einen IAM-Principal, der Inferenz gegen einen Produktions-Workspace ausführt:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CreateInference",
"aws-external-anthropic:CountTokens",
"aws-external-anthropic:GetModel",
"aws-external-anthropic:ListModels",
"aws-external-anthropic:GetWorkspace"
],
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
}
]
}Beschränkt eine Rolle auf einen einzelnen Workspace:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "aws-external-anthropic:*",
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
},
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CallWithBearerToken",
"aws-external-anthropic:AssumeConsole"
],
"Resource": "*"
}
]
}Blockiert Batch-Verarbeitung und Datei-Upload auf einem bestimmten Workspace, während synchrone Inferenz verfügbar bleibt. Nützlich, wenn ein Workspace Zero Data Retention (ZDR)-Daten verarbeitet, die nicht serverseitig persistiert werden dürfen. Weise diese Richtlinie zusammen mit einer Allow-Richtlinie wie AnthropicInferenceAccess oder dem Single-Workspace-Beispiel zu; für sich allein gewährt eine reine Deny-Richtlinie keine Berechtigungen:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"aws-external-anthropic:CreateBatchInference",
"aws-external-anthropic:CreateFile"
],
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
}
]
}Gewährt einer CI/CD-Rolle die Aktionen, die zum Erstellen und Verwalten von Workspaces erforderlich sind, ohne jegliche Inferenz-Berechtigungen:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CreateWorkspace",
"aws-external-anthropic:GetWorkspace",
"aws-external-anthropic:ListWorkspaces",
"aws-external-anthropic:UpdateWorkspace",
"aws-external-anthropic:ArchiveWorkspace"
],
"Resource": "*"
}
]
}CreateWorkspace und ListWorkspaces sind account-scoped Operationen. Die Angabe einer Workspace-ARN für diese Aktionen hat keine Wirkung; verwende Resource: "*".
Was this page helpful?