Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Claude Platform en AWS utiliza AWS IAM para el control de acceso. Cada ruta de la API se asigna a una acción de IAM en el espacio de nombres aws-external-anthropic. Esta página enumera todas las acciones, las rutas que cada acción autoriza y las políticas administradas disponibles para patrones de acceso comunes. Para la configuración de la plataforma y la autenticación, consulta Claude Platform en AWS.
| Atributo | Valor |
|---|---|
| Prefijo de servicio de IAM | aws-external-anthropic |
| Tipos de recursos | workspace |
Formato del ARN de workspace:
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}La región del ARN siempre está presente y coincide con la región a la que está vinculado el workspace. El segmento de recurso es el ID de workspace etiquetado (wrkspc_...), el mismo valor que pasas en el encabezado anthropic-workspace-id.
El servicio define 66 acciones. Las acciones siguen la convención VerbNoun de AWS y aplican disciplina de verbos para que los comodines Get* y List* produzcan un límite limpio de solo lectura.
| Acción | Rutas autorizadas |
|---|---|
CreateInference | POST /v1/messages |
CountTokens | POST /v1/messages/count_tokens |
| Acción | Rutas autorizadas |
|---|---|
CreateBatchInference | POST /v1/messages/batches |
GetBatchInference | GET /v1/messages/batches/{id}GET /v1/messages/batches/{id}/results |
ListBatchInferences | GET /v1/messages/batches |
CancelBatchInference | POST /v1/messages/batches/{id}/cancel |
DeleteBatchInference | DELETE /v1/messages/batches/{id} |
| Acción | Rutas autorizadas |
|---|---|
GetModel | GET /v1/models/{id} |
ListModels | GET /v1/models |
| Acción | Rutas autorizadas |
|---|---|
CreateFile | POST /v1/files |
GetFile | GET /v1/files/{id}GET /v1/files/{id}/content |
ListFiles | GET /v1/files |
DeleteFile | DELETE /v1/files/{id} |
| Acción | Rutas autorizadas |
|---|---|
CreateSkill | POST /v1/skills |
GetSkill | GET /v1/skills/{id}GET /v1/skills/{id}/versionsGET /v1/skills/{id}/versions/{version}GET /v1/skills/{id}/versions/{version}/content |
ListSkills | GET /v1/skills |
UpdateSkill | POST /v1/skills/{id}/versionsDELETE /v1/skills/{id}/versions/{version} |
DeleteSkill | DELETE /v1/skills/{id} |
| Acción | Rutas autorizadas |
|---|---|
CreateAgent | POST /v1/agents |
GetAgent | GET /v1/agents/{id}GET /v1/agents/{id}/versions |
ListAgents | GET /v1/agents |
UpdateAgent | POST /v1/agents/{id} |
ArchiveAgent | POST /v1/agents/{id}/archive |
| Acción | Rutas autorizadas |
|---|---|
CreateSession | POST /v1/sessions |
GetSession | GET /v1/sessions/{id}GET /v1/sessions/{id}/eventsGET /v1/sessions/{id}/events/streamGET /v1/sessions/{id}/resourcesGET /v1/sessions/{id}/resources/{id} |
ListSessions | GET /v1/sessions |
UpdateSession | POST /v1/sessions/{id}POST /v1/sessions/{id}/eventsPOST /v1/sessions/{id}/resourcesPOST /v1/sessions/{id}/resources/{id}DELETE /v1/sessions/{id}/resources/{id} |
ArchiveSession | POST /v1/sessions/{id}/archive |
DeleteSession | DELETE /v1/sessions/{id} |
| Acción | Rutas autorizadas |
|---|---|
CreateEnvironment | POST /v1/environments |
GetEnvironment | GET /v1/environments/{id}GET /v1/environments/{id}/workGET /v1/environments/{id}/work/{work_id}GET /v1/environments/{id}/work/stats |
ListEnvironments | GET /v1/environments |
UpdateEnvironment | POST /v1/environments/{id} |
ArchiveEnvironment | POST /v1/environments/{id}/archive |
DeleteEnvironment | DELETE /v1/environments/{id} |
ProcessEnvironmentWork | GET /v1/environments/{id}/work/pollPOST /v1/environments/{id}/work/{work_id}POST /v1/environments/{id}/work/{work_id}/ackPOST /v1/environments/{id}/work/{work_id}/heartbeatPOST /v1/environments/{id}/work/{work_id}/stop |
| Acción | Rutas autorizadas |
|---|---|
CreateVault | POST /v1/vaults |
GetVault | GET /v1/vaults/{id}GET /v1/vaults/{id}/credentialsGET /v1/vaults/{id}/credentials/{id} |
ListVaults | GET /v1/vaults |
UpdateVault | POST /v1/vaults/{id}POST /v1/vaults/{id}/credentialsPOST /v1/vaults/{id}/credentials/{id}POST /v1/vaults/{id}/credentials/{id}/archiveDELETE /v1/vaults/{id}/credentials/{id} |
ArchiveVault | POST /v1/vaults/{id}/archive |
DeleteVault | DELETE /v1/vaults/{id} |
| Acción | Rutas autorizadas |
|---|---|
CreateMemoryStore | POST /v1/memory_stores |
GetMemoryStore | GET /v1/memory_stores/{id}GET /v1/memory_stores/{id}/memoriesGET /v1/memory_stores/{id}/memories/{id}GET /v1/memory_stores/{id}/memory_versionsGET /v1/memory_stores/{id}/memory_versions/{id} |
ListMemoryStores | GET /v1/memory_stores |
UpdateMemoryStore | POST /v1/memory_stores/{id}POST /v1/memory_stores/{id}/memoriesPOST /v1/memory_stores/{id}/memories/{id}DELETE /v1/memory_stores/{id}/memories/{id}POST /v1/memory_stores/{id}/memory_versions/{id}/redact |
ArchiveMemoryStore | POST /v1/memory_stores/{id}/archive |
DeleteMemoryStore | DELETE /v1/memory_stores/{id} |
| Acción | Rutas autorizadas |
|---|---|
CreateWebhook | POST /v1/webhooks |
GetWebhook | GET /v1/webhooks/{id} |
ListWebhooks | GET /v1/webhooks |
UpdateWebhook | POST /v1/webhooks/{id} |
DeleteWebhook | DELETE /v1/webhooks/{id} |
RotateWebhookSecret | POST /v1/webhooks/{id}/regenerate_signing_secret |
| Acción | Rutas autorizadas |
|---|---|
CreateUserProfile | POST /v1/user_profiles |
GetUserProfile | GET /v1/user_profiles/{id} |
ListUserProfiles | GET /v1/user_profiles |
UpdateUserProfile | POST /v1/user_profiles/{id} |
| Acción | Rutas autorizadas |
|---|---|
CreateWorkspace | POST /v1/organizations/workspaces |
GetWorkspace | GET /v1/organizations/workspaces/{id} |
ListWorkspaces | GET /v1/organizations/workspaces |
UpdateWorkspace | POST /v1/organizations/workspaces/{id} |
ArchiveWorkspace | POST /v1/organizations/workspaces/{id}/archive |
| Acción | Rutas autorizadas |
|---|---|
ListComplianceActivities | GET /v1/compliance/activities |
| Acción | Rutas autorizadas |
|---|---|
CallWithBearerToken | (ninguna) |
CallWithBearerToken es un permiso de la capa de autenticación que autoriza a un principal a autenticarse mediante una clave de API (bearer token) en lugar de AWS SigV4. No se asigna a ninguna ruta. Concédela junto con las acciones asignadas a rutas que quieras que el titular de la clave de API pueda realizar.
| Acción | Rutas autorizadas |
|---|---|
AssumeConsole | (ninguna) |
AssumeConsole autoriza a un principal a abrir Claude Console para un workspace de Claude Platform en AWS a través del flujo de federación de la consola de AWS. No se asigna a ninguna ruta. Concédela a los principales que deban poder hacer clic en Open Claude Console en la página del servicio Claude Platform en AWS dentro de la consola de AWS. El rol de Claude Console (Admin o Developer) lo asigna por separado tu representante de cuenta de Anthropic; no se deriva de los permisos de IAM del principal. Consulta Uso de Claude Console para conocer el flujo de inicio de sesión y las descripciones de los roles.
La siguiente tabla enumera todas las rutas de Claude Platform en AWS y la acción de IAM requerida para llamarlas. Cada acción de IAM también autoriza las solicitudes que usan el encabezado anthropic-beta; las variantes beta de una ruta no requieren una acción de IAM separada. CloudTrail clasifica cada acción como un evento de datos (Data event, operaciones de plano de datos de alto volumen) o un evento de administración (Management event, operaciones de plano de control). Las acciones de vault y webhook se clasifican como eventos de administración porque contienen secretos (credenciales de vault y secretos de firma de webhook) y se benefician del registro de auditoría activado por defecto. Las acciones de workspace y cumplimiento también se clasifican como eventos de administración porque son operaciones de plano de control con ámbito de organización. Todas las demás acciones, incluidas las de inferencia, lotes, modelos, archivos, skills, perfiles de usuario y las acciones restantes de Claude Managed Agents, se clasifican como eventos de datos.
| Método | Ruta | Acción de IAM | Tipo de evento de CloudTrail |
|---|---|---|---|
POST | /v1/messages | CreateInference | Data |
POST | /v1/messages/count_tokens | CountTokens | Data |
POST | /v1/messages/batches | CreateBatchInference | Data |
GET | /v1/messages/batches | ListBatchInferences | Data |
GET | /v1/messages/batches/{id} | GetBatchInference | Data |
GET | /v1/messages/batches/{id}/results | GetBatchInference | Data |
POST | /v1/messages/batches/{id}/cancel | CancelBatchInference | Data |
DELETE | /v1/messages/batches/{id} | DeleteBatchInference | Data |
GET | /v1/models | ListModels | Data |
GET | /v1/models/{id} | GetModel | Data |
POST | /v1/files | CreateFile | Data |
GET | /v1/files | ListFiles | Data |
GET | /v1/files/{id} | GetFile | Data |
GET | /v1/files/{id}/content | GetFile | Data |
DELETE | /v1/files/{id} | DeleteFile | Data |
POST | /v1/skills | CreateSkill | Data |
GET | /v1/skills | ListSkills | Data |
GET | /v1/skills/{id} | GetSkill | Data |
DELETE | /v1/skills/{id} | DeleteSkill | Data |
POST | /v1/skills/{id}/versions | UpdateSkill | Data |
GET | /v1/skills/{id}/versions | GetSkill | Data |
GET | /v1/skills/{id}/versions/{version} | GetSkill | Data |
GET | /v1/skills/{id}/versions/{version}/content | GetSkill | Data |
DELETE | /v1/skills/{id}/versions/{version} | UpdateSkill | Data |
POST | /v1/user_profiles | CreateUserProfile | Data |
GET | /v1/user_profiles | ListUserProfiles | Data |
GET | /v1/user_profiles/{id} | GetUserProfile | Data |
POST | /v1/user_profiles/{id} | UpdateUserProfile | Data |
POST | /v1/organizations/workspaces | CreateWorkspace | Management |
GET | /v1/organizations/workspaces | ListWorkspaces | Management |
GET | /v1/organizations/workspaces/{id} | GetWorkspace | Management |
POST | /v1/organizations/workspaces/{id} | UpdateWorkspace | Management |
POST | /v1/organizations/workspaces/{id}/archive | ArchiveWorkspace | Management |
GET | /v1/compliance/activities | ListComplianceActivities | Management |
POST | /v1/agents | CreateAgent | Data |
GET | /v1/agents | ListAgents | Data |
GET | /v1/agents/{id} | GetAgent | Data |
POST | /v1/agents/{id} | UpdateAgent | Data |
POST | /v1/agents/{id}/archive | ArchiveAgent | Data |
GET | /v1/agents/{id}/versions | GetAgent | Data |
POST | /v1/sessions | CreateSession | Data |
GET | /v1/sessions | ListSessions | Data |
GET | /v1/sessions/{id} | GetSession | Data |
POST | /v1/sessions/{id} | UpdateSession | Data |
POST | /v1/sessions/{id}/archive | ArchiveSession | Data |
DELETE | /v1/sessions/{id} | DeleteSession | Data |
GET | /v1/sessions/{id}/events | GetSession | Data |
POST | /v1/sessions/{id}/events | UpdateSession | Data |
GET | /v1/sessions/{id}/events/stream | GetSession | Data |
GET | /v1/sessions/{id}/resources | GetSession | Data |
GET | /v1/sessions/{id}/resources/{id} | GetSession | Data |
POST | /v1/sessions/{id}/resources | UpdateSession | Data |
POST | /v1/sessions/{id}/resources/{id} | UpdateSession | Data |
DELETE | /v1/sessions/{id}/resources/{id} | UpdateSession | Data |
POST | /v1/environments | CreateEnvironment | Data |
GET | /v1/environments | ListEnvironments | Data |
GET | /v1/environments/{id} | GetEnvironment | Data |
POST | /v1/environments/{id} | UpdateEnvironment | Data |
POST | /v1/environments/{id}/archive | ArchiveEnvironment | Data |
DELETE | /v1/environments/{id} | DeleteEnvironment | Data |
GET | /v1/environments/{id}/work | GetEnvironment | Data |
GET | /v1/environments/{id}/work/poll | ProcessEnvironmentWork | Data |
GET | /v1/environments/{id}/work/{work_id} | GetEnvironment | Data |
GET | /v1/environments/{id}/work/stats | GetEnvironment | Data |
POST | /v1/environments/{id}/work/{work_id} | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/ack | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/heartbeat | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/stop | ProcessEnvironmentWork | Data |
POST | /v1/vaults | CreateVault | Management |
GET | /v1/vaults | ListVaults | Management |
GET | /v1/vaults/{id} | GetVault | Management |
POST | /v1/vaults/{id} | UpdateVault | Management |
POST | /v1/vaults/{id}/archive | ArchiveVault | Management |
DELETE | /v1/vaults/{id} | DeleteVault | Management |
GET | /v1/vaults/{id}/credentials | GetVault | Management |
POST | /v1/vaults/{id}/credentials | UpdateVault | Management |
GET | /v1/vaults/{id}/credentials/{id} | GetVault | Management |
POST | /v1/vaults/{id}/credentials/{id} | UpdateVault | Management |
POST | /v1/vaults/{id}/credentials/{id}/archive | UpdateVault | Management |
DELETE | /v1/vaults/{id}/credentials/{id} | UpdateVault | Management |
POST | /v1/memory_stores | CreateMemoryStore | Data |
GET | /v1/memory_stores | ListMemoryStores | Data |
GET | /v1/memory_stores/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id} | UpdateMemoryStore | Data |
POST | /v1/memory_stores/{id}/archive | ArchiveMemoryStore | Data |
DELETE | /v1/memory_stores/{id} | DeleteMemoryStore | Data |
POST | /v1/memory_stores/{id}/memories | UpdateMemoryStore | Data |
GET | /v1/memory_stores/{id}/memories | GetMemoryStore | Data |
GET | /v1/memory_stores/{id}/memories/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id}/memories/{id} | UpdateMemoryStore | Data |
DELETE | /v1/memory_stores/{id}/memories/{id} | UpdateMemoryStore | Data |
GET | /v1/memory_stores/{id}/memory_versions | GetMemoryStore | Data |
GET | /v1/memory_stores/{id}/memory_versions/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id}/memory_versions/{id}/redact | UpdateMemoryStore | Data |
GET | /v1/webhooks | ListWebhooks | Management |
GET | /v1/webhooks/{id} | GetWebhook | Management |
POST | /v1/webhooks | CreateWebhook | Management |
POST | /v1/webhooks/{id} | UpdateWebhook | Management |
DELETE | /v1/webhooks/{id} | DeleteWebhook | Management |
POST | /v1/webhooks/{id}/regenerate_signing_secret | RotateWebhookSecret | Management |
Las rutas que no aparecen en esta tabla no están disponibles en Claude Platform en AWS. El gateway deniega por defecto cualquier ruta que no esté listada aquí.
AWS proporciona cinco políticas administradas para Claude Platform en AWS. Todas las políticas administradas se aplican a Resource: "*".
| Política | Concede |
|---|---|
AnthropicFullAccess | aws-external-anthropic:* |
AnthropicReadOnlyAccess | Get*, List*, CallWithBearerToken |
AnthropicInferenceAccess | Get*, List*, CreateInference, CreateBatchInference, CancelBatchInference, DeleteBatchInference, CountTokens, CallWithBearerToken |
AnthropicLimitedAccess | Todas las acciones de AnthropicInferenceAccess, más todas las acciones de Claude Managed Agents (agentes, sesiones, entornos, vaults, almacenes de memoria, webhooks y trabajo de entorno autoalojado) |
AnthropicSelfHostedEnvironmentAccess | GetEnvironment, ProcessEnvironmentWork, GetSession, UpdateSession, GetSkill, CallWithBearerToken |
AnthropicInferenceAccess es la política administrada más restrictiva que resulta suficiente para ejecutar inferencia. Cubre tanto la inferencia síncrona como la inferencia por lotes y, a través de los comodines Get* y List*, concede acceso de lectura a todos los recursos de la API en el espacio de nombres, incluidos los recursos de Claude Managed Agents (CMA): agentes, sesiones, entornos, vaults, almacenes de memoria y webhooks. Esto incluye la descarga de contenido de archivos mediante GetFile (consulta la nota de Archivos), la descarga de contenido de skills mediante GetSkill (consulta la nota de Skills) y el contenido de memorias mediante GetMemoryStore. Los secretos de las credenciales de vault y los secretos de firma de webhook no se exponen: esos campos son de solo escritura y nunca se devuelven mediante GetVault ni GetWebhook (consulta Autenticar con vaults). AnthropicInferenceAccess no concede creación ni eliminación de archivos, gestión de skills, gestión de perfiles de usuario, mutación de workspaces ni ninguna acción de escritura de Claude Managed Agents (crear, actualizar, archivar, eliminar, procesar o rotar). Para excluir las lecturas de CMA, reemplaza AnthropicInferenceAccess por una política personalizada que enumere únicamente las acciones específicas no relacionadas con CMA que necesites.
AnthropicLimitedAccess incluye todas las acciones de Claude Managed Agents además de las acciones de inferencia.
AnthropicSelfHostedEnvironmentAccess es la política administrada más restrictiva que resulta suficiente para ejecutar un worker de sandbox autoalojado. Adjúntala al principal con el que se autentica tu worker de entorno.
AssumeConsole no está incluida en AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess ni AnthropicSelfHostedEnvironmentAccess. Los principales que necesitan acceso a Claude Console requieren AnthropicFullAccess o una política personalizada que conceda aws-external-anthropic:AssumeConsole. Consulta Acceso a la consola.
Concede los permisos mínimos para un principal de IAM que ejecuta inferencia contra un workspace de producción:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CreateInference",
"aws-external-anthropic:CountTokens",
"aws-external-anthropic:GetModel",
"aws-external-anthropic:ListModels",
"aws-external-anthropic:GetWorkspace"
],
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
}
]
}Restringe un rol a un solo workspace:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "aws-external-anthropic:*",
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
},
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CallWithBearerToken",
"aws-external-anthropic:AssumeConsole"
],
"Resource": "*"
}
]
}Bloquea el procesamiento por lotes y la carga de archivos en un workspace específico, dejando disponible la inferencia síncrona. Útil cuando un workspace maneja datos de Zero Data Retention (ZDR) que no deben persistir en el servidor. Adjunta esta política junto con una política Allow como AnthropicInferenceAccess o el ejemplo de un solo workspace; por sí sola, una política que solo contiene Deny no concede ningún permiso:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"aws-external-anthropic:CreateBatchInference",
"aws-external-anthropic:CreateFile"
],
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
}
]
}Concede a un rol de CI/CD las acciones necesarias para crear y administrar workspaces, sin ningún permiso de inferencia:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CreateWorkspace",
"aws-external-anthropic:GetWorkspace",
"aws-external-anthropic:ListWorkspaces",
"aws-external-anthropic:UpdateWorkspace",
"aws-external-anthropic:ArchiveWorkspace"
],
"Resource": "*"
}
]
}CreateWorkspace y ListWorkspaces son operaciones con ámbito de cuenta. Especificar un ARN de workspace en estas acciones no tiene efecto; usa Resource: "*".
Was this page helpful?