---
title: Acciones de IAM para Claude Platform on AWS
url: https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions
description: Referencia de acciones de IAM para controlar el acceso a Claude Platform on AWS mediante políticas de AWS.
---

Claude Platform on AWS usa AWS IAM para el control de acceso. Cada ruta de la API se asigna a una acción de IAM en el espacio de nombres `aws-external-anthropic`. Esta página enumera todas las acciones, las rutas que autoriza cada acción y las políticas administradas disponibles para patrones de acceso comunes. Para la configuración de la plataforma y la autenticación, consulta [Claude Platform on AWS](https://platform.claude.com/docs/es/build-with-claude/claude-platform-on-aws).

## Detalles del servicio

| Atributo                       | Valor                    |
| ------------------------------ | ------------------------ |
| **Prefijo de servicio de IAM** | `aws-external-anthropic` |
| **Tipos de recursos**          | `workspace`              |

Formato del ARN de workspace:

```text wrap
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}
```

La región del ARN siempre está presente y coincide con la región a la que está vinculado el workspace. El segmento de recurso es el ID de workspace etiquetado (`wrkspc_...`), el mismo valor que pasas en el encabezado `anthropic-workspace-id`.

## Acciones

Las acciones siguen la convención `VerbNoun` de AWS y usan una disciplina de verbos para que los comodines `Get*` y `List*` produzcan un límite limpio de solo lectura.

### Inferencia

| Acción            | Rutas autorizadas                |
| ----------------- | -------------------------------- |
| `CreateInference` | `POST /v1/messages`              |
| `CountTokens`     | `POST /v1/messages/count_tokens` |

### Procesamiento por lotes

| Acción                 | Rutas autorizadas                                                            |
| ---------------------- | ---------------------------------------------------------------------------- |
| `CreateBatchInference` | `POST /v1/messages/batches`                                                  |
| `GetBatchInference`    | `GET /v1/messages/batches/{id}`<br />`GET /v1/messages/batches/{id}/results` |
| `ListBatchInferences`  | `GET /v1/messages/batches`                                                   |
| `CancelBatchInference` | `POST /v1/messages/batches/{id}/cancel`                                      |
| `DeleteBatchInference` | `DELETE /v1/messages/batches/{id}`                                           |

<Note>
  `GetBatchInference` autoriza tanto la lectura de metadatos del lote como la descarga de los resultados del lote. Los comodines `Get*` de las políticas `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` y `AnthropicLimitedAccess` incluyen esta acción.
</Note>

### Modelos

| Acción       | Rutas autorizadas     |
| ------------ | --------------------- |
| `GetModel`   | `GET /v1/models/{id}` |
| `ListModels` | `GET /v1/models`      |

### Archivos

| Acción       | Rutas autorizadas                                      |
| ------------ | ------------------------------------------------------ |
| `CreateFile` | `POST /v1/files`                                       |
| `GetFile`    | `GET /v1/files/{id}`<br />`GET /v1/files/{id}/content` |
| `ListFiles`  | `GET /v1/files`                                        |
| `DeleteFile` | `DELETE /v1/files/{id}`                                |

<Note>
  `GetFile` autoriza tanto los metadatos como la descarga del contenido. Un principal con acceso de solo lectura puede descargar los bytes de los archivos, no solo listar archivos.
</Note>

### Skills

| Acción        | Rutas autorizadas                                                                                                                                             |
| ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSkill` | `POST /v1/skills`                                                                                                                                             |
| `GetSkill`    | `GET /v1/skills/{id}`<br />`GET /v1/skills/{id}/versions`<br />`GET /v1/skills/{id}/versions/{version}`<br />`GET /v1/skills/{id}/versions/{version}/content` |
| `ListSkills`  | `GET /v1/skills`                                                                                                                                              |
| `UpdateSkill` | `POST /v1/skills/{id}/versions`<br />`DELETE /v1/skills/{id}/versions/{version}`                                                                              |
| `DeleteSkill` | `DELETE /v1/skills/{id}`                                                                                                                                      |

<Note>
  `GetSkill` autoriza tanto los metadatos de la skill como la descarga del contenido de la skill. Un principal con acceso de solo lectura puede descargar los bytes de las skills, no solo listar skills.
</Note>

<Note>
  Crear o eliminar una versión individual de una skill se asigna a `UpdateSkill`, no a `CreateSkill` ni a `DeleteSkill`. Una política que deniega `aws-external-anthropic:Delete*` sigue permitiendo la eliminación de versiones, y una política que deniega `aws-external-anthropic:Create*` sigue permitiendo la creación de versiones. Deniega también `UpdateSkill` y `CreateSkill` si necesitas impedir cualquier mutación de skills.
</Note>

### Agentes

| Acción         | Rutas autorizadas                                         |
| -------------- | --------------------------------------------------------- |
| `CreateAgent`  | `POST /v1/agents`                                         |
| `GetAgent`     | `GET /v1/agents/{id}`<br />`GET /v1/agents/{id}/versions` |
| `ListAgents`   | `GET /v1/agents`                                          |
| `UpdateAgent`  | `POST /v1/agents/{id}`                                    |
| `ArchiveAgent` | `POST /v1/agents/{id}/archive`                            |

<Note>
  Los agentes solo admiten archivado, no eliminación definitiva. Una política que deniega `aws-external-anthropic:Delete*` no bloquea `ArchiveAgent`. Deniega `ArchiveAgent`, `UpdateAgent` y `CreateAgent` si necesitas impedir cualquier mutación de agentes.
</Note>

### Sesiones

| Acción           | Rutas autorizadas                                                                                                                                                                                 |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSession`  | `POST /v1/sessions`                                                                                                                                                                               |
| `GetSession`     | `GET /v1/sessions/{id}`<br />`GET /v1/sessions/{id}/events`<br />`GET /v1/sessions/{id}/events/stream`<br />`GET /v1/sessions/{id}/resources`<br />`GET /v1/sessions/{id}/resources/{id}`         |
| `ListSessions`   | `GET /v1/sessions`                                                                                                                                                                                |
| `UpdateSession`  | `POST /v1/sessions/{id}`<br />`POST /v1/sessions/{id}/events`<br />`POST /v1/sessions/{id}/resources`<br />`POST /v1/sessions/{id}/resources/{id}`<br />`DELETE /v1/sessions/{id}/resources/{id}` |
| `ArchiveSession` | `POST /v1/sessions/{id}/archive`                                                                                                                                                                  |
| `DeleteSession`  | `DELETE /v1/sessions/{id}`                                                                                                                                                                        |

<Note>
  `GetSession` autoriza la lectura de los metadatos de la sesión, el flujo completo de eventos (historial de conversación) y los recursos de la sesión. Los comodines `Get*` de las políticas `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` y `AnthropicLimitedAccess` incluyen esta acción.
</Note>

<Note>
  Crear, actualizar o eliminar un subrecurso individual de una sesión (eventos o recursos de sesión) se asigna a `UpdateSession`, no a `CreateSession` ni a `DeleteSession`. Una política que deniega `aws-external-anthropic:Delete*` sigue permitiendo la eliminación de subrecursos, y una política que deniega `aws-external-anthropic:Create*` sigue permitiendo la creación de subrecursos. Deniega también `UpdateSession`, `CreateSession` y `ArchiveSession` si necesitas impedir cualquier mutación de sesiones.
</Note>

### Entornos

| Acción                   | Rutas autorizadas                                                                                                                                                                                                                                            |
| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `CreateEnvironment`      | `POST /v1/environments`                                                                                                                                                                                                                                      |
| `GetEnvironment`         | `GET /v1/environments/{id}`<br />`GET /v1/environments/{id}/work`<br />`GET /v1/environments/{id}/work/{work_id}`<br />`GET /v1/environments/{id}/work/stats`                                                                                                |
| `ListEnvironments`       | `GET /v1/environments`                                                                                                                                                                                                                                       |
| `UpdateEnvironment`      | `POST /v1/environments/{id}`                                                                                                                                                                                                                                 |
| `ArchiveEnvironment`     | `POST /v1/environments/{id}/archive`                                                                                                                                                                                                                         |
| `DeleteEnvironment`      | `DELETE /v1/environments/{id}`                                                                                                                                                                                                                               |
| `ProcessEnvironmentWork` | `GET /v1/environments/{id}/work/poll`<br />`POST /v1/environments/{id}/work/{work_id}`<br />`POST /v1/environments/{id}/work/{work_id}/ack`<br />`POST /v1/environments/{id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{id}/work/{work_id}/stop` |

<Note>
  Una política que deniega `aws-external-anthropic:Delete*` no bloquea `ArchiveEnvironment`. `ProcessEnvironmentWork` no coincide con los comodines `Create*`, `Update*`, `Delete*` ni `Archive*`. Deniega también `ArchiveEnvironment`, `UpdateEnvironment`, `CreateEnvironment` y `ProcessEnvironmentWork` si necesitas impedir cualquier mutación de entornos.
</Note>

<Note>
  `ProcessEnvironmentWork` autoriza a un worker de [sandbox autoalojado](https://platform.claude.com/docs/es/managed-agents/self-hosted-sandboxes) a sondear, confirmar, enviar heartbeats, detener y publicar resultados sobre elementos de trabajo del entorno. Concédela solo a los principales que ejecutan workers de entornos autoalojados. La política administrada `AnthropicSelfHostedEnvironmentAccess` incluye esta acción.
</Note>

### Vaults

| Acción         | Rutas autorizadas                                                                                                                                                                                               |
| -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateVault`  | `POST /v1/vaults`                                                                                                                                                                                               |
| `GetVault`     | `GET /v1/vaults/{id}`<br />`GET /v1/vaults/{id}/credentials`<br />`GET /v1/vaults/{id}/credentials/{id}`                                                                                                        |
| `ListVaults`   | `GET /v1/vaults`                                                                                                                                                                                                |
| `UpdateVault`  | `POST /v1/vaults/{id}`<br />`POST /v1/vaults/{id}/credentials`<br />`POST /v1/vaults/{id}/credentials/{id}`<br />`POST /v1/vaults/{id}/credentials/{id}/archive`<br />`DELETE /v1/vaults/{id}/credentials/{id}` |
| `ArchiveVault` | `POST /v1/vaults/{id}/archive`                                                                                                                                                                                  |
| `DeleteVault`  | `DELETE /v1/vaults/{id}`                                                                                                                                                                                        |

<Note>
  Crear, actualizar, archivar o eliminar una credencial individual de un vault se asigna a `UpdateVault`. Leer una credencial se asigna a `GetVault`. Los secretos de las credenciales de vault no se exponen: los campos secretos son de solo escritura y `GetVault` nunca los devuelve (consulta [Autenticar con vaults](https://platform.claude.com/docs/es/managed-agents/vaults)). Una política que deniega `aws-external-anthropic:Delete*` sigue permitiendo la eliminación de credenciales, y una política que deniega `aws-external-anthropic:Create*` sigue permitiendo la creación de credenciales. Deniega también `UpdateVault`, `CreateVault` y `ArchiveVault` si necesitas impedir cualquier mutación de vaults.
</Note>

### Almacenes de memoria

| Acción               | Rutas autorizadas                                                                                                                                                                                                                            |
| -------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateMemoryStore`  | `POST /v1/memory_stores`                                                                                                                                                                                                                     |
| `GetMemoryStore`     | `GET /v1/memory_stores/{id}`<br />`GET /v1/memory_stores/{id}/memories`<br />`GET /v1/memory_stores/{id}/memories/{id}`<br />`GET /v1/memory_stores/{id}/memory_versions`<br />`GET /v1/memory_stores/{id}/memory_versions/{id}`             |
| `ListMemoryStores`   | `GET /v1/memory_stores`                                                                                                                                                                                                                      |
| `UpdateMemoryStore`  | `POST /v1/memory_stores/{id}`<br />`POST /v1/memory_stores/{id}/memories`<br />`POST /v1/memory_stores/{id}/memories/{id}`<br />`DELETE /v1/memory_stores/{id}/memories/{id}`<br />`POST /v1/memory_stores/{id}/memory_versions/{id}/redact` |
| `ArchiveMemoryStore` | `POST /v1/memory_stores/{id}/archive`                                                                                                                                                                                                        |
| `DeleteMemoryStore`  | `DELETE /v1/memory_stores/{id}`                                                                                                                                                                                                              |

<Note>
  `GetMemoryStore` autoriza la lectura de los metadatos del almacén, todas las memorias y el historial de versiones de memoria. Los comodines `Get*` de las políticas `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` y `AnthropicLimitedAccess` incluyen esta acción.
</Note>

<Note>
  Crear, actualizar o eliminar una memoria individual y redactar una versión de memoria se asignan ambos a `UpdateMemoryStore`, no a `CreateMemoryStore` ni a `DeleteMemoryStore`. Una política que deniega `aws-external-anthropic:Delete*` sigue permitiendo la eliminación de memorias individuales y la redacción de versiones de memoria, y una política que deniega `aws-external-anthropic:Create*` sigue permitiendo la creación de memorias individuales. Deniega también `UpdateMemoryStore`, `CreateMemoryStore` y `ArchiveMemoryStore` si necesitas impedir cualquier mutación de almacenes de memoria.
</Note>

### Webhooks

| Acción                | Rutas autorizadas                                  |
| --------------------- | -------------------------------------------------- |
| `CreateWebhook`       | `POST /v1/webhooks`                                |
| `GetWebhook`          | `GET /v1/webhooks/{id}`                            |
| `ListWebhooks`        | `GET /v1/webhooks`                                 |
| `UpdateWebhook`       | `POST /v1/webhooks/{id}`                           |
| `DeleteWebhook`       | `DELETE /v1/webhooks/{id}`                         |
| `RotateWebhookSecret` | `POST /v1/webhooks/{id}/regenerate_signing_secret` |

<Note>
  Los secretos de firma de webhooks son de solo escritura. `GetWebhook` devuelve únicamente los metadatos del webhook; no devuelve el secreto de firma.
</Note>

<Note>
  `RotateWebhookSecret` no coincide con los comodines `aws-external-anthropic:Create*`, `Update*` ni `Delete*`. Una política que deniega esos patrones sigue permitiendo la rotación de secretos. Deniega `RotateWebhookSecret`, `UpdateWebhook`, `CreateWebhook` y `DeleteWebhook` si necesitas impedir cualquier mutación de webhooks.
</Note>

### Perfiles de usuario

| Acción                           | Rutas autorizadas                            |
| -------------------------------- | -------------------------------------------- |
| `CreateUserProfile`              | `POST /v1/user_profiles`                     |
| `GetUserProfile`                 | `GET /v1/user_profiles/{id}`                 |
| `ListUserProfiles`               | `GET /v1/user_profiles`                      |
| `UpdateUserProfile`              | `POST /v1/user_profiles/{id}`                |
| `CreateUserProfileEnrollmentUrl` | `POST /v1/user_profiles/{id}/enrollment_url` |

<Note>
  Las acciones de perfiles de usuario tienen alcance de cuenta, como `ListWorkspaces`. Una instrucción cuyo `Resource` es un ARN de workspace no las concede; usa `Resource: "*"`.
</Note>

<Warning>
  La coincidencia de acciones de IAM no distingue entre mayúsculas y minúsculas. El comodín `aws-external-anthropic:*File` coincide con `CreateFile`, `GetFile` y `DeleteFile`, pero no coincide con `ListFiles` (que termina en "files", no en "file"). También coincide en exceso con `CreateUserProfile`, `GetUserProfile` y `UpdateUserProfile` porque "Profile" termina en "file". Si tu intención es conceder o denegar únicamente las acciones de la Files API, enuméralas explícitamente (`CreateFile`, `GetFile`, `ListFiles`, `DeleteFile`) en lugar de usar un patrón de sufijo `*File`.
</Warning>

### Espacios de trabajo

| Acción             | Rutas autorizadas                                |
| ------------------ | ------------------------------------------------ |
| `CreateWorkspace`  | `POST /v1/organizations/workspaces`              |
| `GetWorkspace`     | `GET /v1/organizations/workspaces/{id}`          |
| `ListWorkspaces`   | `GET /v1/organizations/workspaces`               |
| `UpdateWorkspace`  | `POST /v1/organizations/workspaces/{id}`         |
| `ArchiveWorkspace` | `POST /v1/organizations/workspaces/{id}/archive` |

<Note>
  Los workspaces solo admiten archivado, no eliminación definitiva. Una política que deniega `aws-external-anthropic:Delete*` no bloquea `ArchiveWorkspace`. Deniega `ArchiveWorkspace`, `UpdateWorkspace` y `CreateWorkspace` si necesitas impedir cualquier mutación de workspaces.
</Note>

### Claves de cifrado

| Acción        | Rutas autorizadas                             |
| ------------- | --------------------------------------------- |
| `RegisterKey` | `POST /v1/organizations/external_keys`        |
| `GetKey`      | `GET /v1/organizations/external_keys/{id}`    |
| `ListKeys`    | `GET /v1/organizations/external_keys`         |
| `UpdateKey`   | `POST /v1/organizations/external_keys/{id}`   |
| `DisableKey`  | `DELETE /v1/organizations/external_keys/{id}` |

<Note>
  Estas acciones administran los registros de [claves de cifrado administradas por el cliente (CMEK)](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms#claude-platform-on-aws) de tu organización, es decir, el registro de qué ARN de claves de AWS KMS están registrados. No crean, cambian ni deshabilitan las claves en AWS KMS. `DisableKey` elimina un registro y se rechaza mientras algún workspace siga usando la clave. `RegisterKey` y `DisableKey` no coinciden con los comodines `Create*`, `Update*` ni `Delete*`; deniega `RegisterKey`, `UpdateKey` y `DisableKey` si necesitas impedir cualquier cambio en los registros de claves. En estas rutas, `{id}` es el ARN de la clave de KMS codificado como URL. Asociar una clave registrada a un workspace es una operación de workspace, autorizada por `CreateWorkspace` o `UpdateWorkspace`; el principal que asocia una clave también necesita `kms:DescribeKey`, `kms:Encrypt` y `kms:Decrypt` sobre esa clave (consulta los [requisitos previos](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms#claude-platform-on-aws)). Las acciones de claves externas tienen alcance de cuenta: especificar un ARN de workspace en ellas no tiene efecto; usa `Resource: "*"`.
</Note>

### Cumplimiento

| Acción                     | Rutas autorizadas               |
| -------------------------- | ------------------------------- |
| `ListComplianceActivities` | `GET /v1/compliance/activities` |

<Note>
  `ListComplianceActivities` autoriza la lectura del [Activity Feed](https://platform.claude.com/docs/es/manage-claude/compliance-activity-feed) de la [Compliance API](https://platform.claude.com/docs/es/manage-claude/compliance-api), el registro de auditoría de toda la organización que incluye eventos de transparencia de acceso. La ruta devuelve un error hasta que la Compliance API esté [habilitada para tu organización](https://platform.claude.com/docs/es/manage-claude/compliance-api-access); la habilitación se realiza bajo solicitud a través de tu equipo de cuenta de Anthropic. Los comodines `List*` de las políticas `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` y `AnthropicLimitedAccess` incluyen esta acción.
</Note>

<Note>
  `ListComplianceActivities` tiene alcance de cuenta, al igual que `ListWorkspaces`. Especificar un ARN de workspace en esta acción no tiene efecto; usa `Resource: "*"`.
</Note>

### Destinos de telemetría

| Acción                                      | Rutas autorizadas                                                                |
| ------------------------------------------- | -------------------------------------------------------------------------------- |
| `CreateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations`                                  |
| `GetAccountTelemetryDestination`            | `GET /v1/organizations/telemetry_destinations/{id}`                              |
| `ListAccountTelemetryDestinations`          | `GET /v1/organizations/telemetry_destinations`                                   |
| `UpdateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations/{id}`                             |
| `DeleteAccountTelemetryDestination`         | `DELETE /v1/organizations/telemetry_destinations/{id}`                           |
| `TestAccountTelemetryDestination`           | `POST /v1/organizations/telemetry_destinations/{id}/test`                        |
| `ListAccountTelemetryDestinationWorkspaces` | `GET /v1/organizations/telemetry_destinations/{id}/workspaces`                   |
| `AddTelemetryDestinationWorkspace`          | `POST /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}`   |
| `RemoveTelemetryDestinationWorkspace`       | `DELETE /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` |

<Note>
  Todas estas acciones, excepto `AddTelemetryDestinationWorkspace` y `RemoveTelemetryDestinationWorkspace`, tienen alcance de cuenta, así que un ARN de espacio de trabajo en ellas no tiene efecto. Usa `Resource: "*"`. Un destino puede exportar la telemetría de todos los espacios de trabajo de la organización, en todas las regiones. Concede `CreateAccountTelemetryDestination` y `UpdateAccountTelemetryDestination` solo a entidades principales en las que confíes para toda esa telemetría.
</Note>

<Note>
  `AddTelemetryDestinationWorkspace` y `RemoveTelemetryDestinationWorkspace` se aplican al espacio de trabajo de la ruta, y solo en un destino cuya opción **Workspaces** sea **Selected**. Para cambiar una lista **All except**, usa `UpdateAccountTelemetryDestination`. Una política que deniega `aws-external-anthropic:Create*`, `Update*` o `Delete*` sigue permitiendo agregar y quitar espacios de trabajo. Para bloquear cualquier cambio en los destinos, deniega también `AddTelemetryDestinationWorkspace` y `RemoveTelemetryDestinationWorkspace`.
</Note>

### Autenticación

| Acción                | Rutas autorizadas |
| --------------------- | ----------------- |
| `CallWithBearerToken` | (ninguna)         |

`CallWithBearerToken` es un permiso de la capa de autenticación que autoriza a un principal a autenticarse mediante una clave de API (bearer token) en lugar de AWS SigV4. No se asigna a ninguna ruta. Concédelo junto con las acciones asignadas a rutas que quieras que el titular de la clave de API pueda realizar.

### Acceso a la consola

| Acción          | Rutas autorizadas |
| --------------- | ----------------- |
| `AssumeConsole` | (ninguna)         |

`AssumeConsole` autoriza a un principal a abrir la Claude Console para un workspace de Claude Platform on AWS mediante el flujo de federación de la consola de AWS. No se asigna a ninguna ruta. Concédelo a los principales que deban poder hacer clic en **Open Claude Console** en la página del servicio Claude Platform on AWS en la consola de AWS. El rol de la Claude Console (Admin o Developer) lo asigna por separado tu representante de cuenta de Anthropic; no se deriva de los permisos de IAM del principal. Consulta [Uso de la Claude Console](https://platform.claude.com/docs/es/build-with-claude/claude-platform-on-aws#using-the-claude-console) para ver el flujo de inicio de sesión y las descripciones de los roles.

## Mapeo de rutas a acciones

La siguiente tabla enumera todas las rutas de Claude Platform on AWS y la acción de IAM necesaria para llamarlas. Cada acción de IAM también autoriza las solicitudes que usan el encabezado `anthropic-beta`; las variantes beta de una ruta no requieren una acción de IAM separada. CloudTrail clasifica cada acción como evento de Datos (operaciones de plano de datos de alto volumen) o como evento de Administración (operaciones de plano de control). Las acciones de vaults y webhooks se clasifican como eventos de Administración porque contienen secretos (credenciales de vault y secretos de firma de webhooks) y se benefician del registro de auditoría activado por defecto. Las acciones de workspaces, claves externas, destinos de telemetría y cumplimiento también se clasifican como eventos de Administración porque son operaciones de plano de control con alcance de organización. Todas las demás acciones, incluidas las de inferencia, lotes, modelos, archivos, skills, perfiles de usuario y las restantes acciones de Claude Managed Agents, se clasifican como eventos de Datos.

| Método   | Ruta                                                                      | Acción de IAM                               | Tipo de evento de CloudTrail |
| -------- | ------------------------------------------------------------------------- | ------------------------------------------- | ---------------------------- |
| `POST`   | `/v1/messages`                                                            | `CreateInference`                           | Datos                        |
| `POST`   | `/v1/messages/count_tokens`                                               | `CountTokens`                               | Datos                        |
| `POST`   | `/v1/messages/batches`                                                    | `CreateBatchInference`                      | Datos                        |
| `GET`    | `/v1/messages/batches`                                                    | `ListBatchInferences`                       | Datos                        |
| `GET`    | `/v1/messages/batches/{id}`                                               | `GetBatchInference`                         | Datos                        |
| `GET`    | `/v1/messages/batches/{id}/results`                                       | `GetBatchInference`                         | Datos                        |
| `POST`   | `/v1/messages/batches/{id}/cancel`                                        | `CancelBatchInference`                      | Datos                        |
| `DELETE` | `/v1/messages/batches/{id}`                                               | `DeleteBatchInference`                      | Datos                        |
| `GET`    | `/v1/models`                                                              | `ListModels`                                | Datos                        |
| `GET`    | `/v1/models/{id}`                                                         | `GetModel`                                  | Datos                        |
| `POST`   | `/v1/files`                                                               | `CreateFile`                                | Datos                        |
| `GET`    | `/v1/files`                                                               | `ListFiles`                                 | Datos                        |
| `GET`    | `/v1/files/{id}`                                                          | `GetFile`                                   | Datos                        |
| `GET`    | `/v1/files/{id}/content`                                                  | `GetFile`                                   | Datos                        |
| `DELETE` | `/v1/files/{id}`                                                          | `DeleteFile`                                | Datos                        |
| `POST`   | `/v1/skills`                                                              | `CreateSkill`                               | Datos                        |
| `GET`    | `/v1/skills`                                                              | `ListSkills`                                | Datos                        |
| `GET`    | `/v1/skills/{id}`                                                         | `GetSkill`                                  | Datos                        |
| `DELETE` | `/v1/skills/{id}`                                                         | `DeleteSkill`                               | Datos                        |
| `POST`   | `/v1/skills/{id}/versions`                                                | `UpdateSkill`                               | Datos                        |
| `GET`    | `/v1/skills/{id}/versions`                                                | `GetSkill`                                  | Datos                        |
| `GET`    | `/v1/skills/{id}/versions/{version}`                                      | `GetSkill`                                  | Datos                        |
| `GET`    | `/v1/skills/{id}/versions/{version}/content`                              | `GetSkill`                                  | Datos                        |
| `DELETE` | `/v1/skills/{id}/versions/{version}`                                      | `UpdateSkill`                               | Datos                        |
| `POST`   | `/v1/user_profiles`                                                       | `CreateUserProfile`                         | Datos                        |
| `GET`    | `/v1/user_profiles`                                                       | `ListUserProfiles`                          | Datos                        |
| `GET`    | `/v1/user_profiles/{id}`                                                  | `GetUserProfile`                            | Datos                        |
| `POST`   | `/v1/user_profiles/{id}`                                                  | `UpdateUserProfile`                         | Datos                        |
| `POST`   | `/v1/user_profiles/{id}/enrollment_url`                                   | `CreateUserProfileEnrollmentUrl`            | Datos                        |
| `POST`   | `/v1/organizations/workspaces`                                            | `CreateWorkspace`                           | Administración               |
| `GET`    | `/v1/organizations/workspaces`                                            | `ListWorkspaces`                            | Administración               |
| `GET`    | `/v1/organizations/workspaces/{id}`                                       | `GetWorkspace`                              | Administración               |
| `POST`   | `/v1/organizations/workspaces/{id}`                                       | `UpdateWorkspace`                           | Administración               |
| `POST`   | `/v1/organizations/workspaces/{id}/archive`                               | `ArchiveWorkspace`                          | Administración               |
| `POST`   | `/v1/organizations/external_keys`                                         | `RegisterKey`                               | Administración               |
| `GET`    | `/v1/organizations/external_keys`                                         | `ListKeys`                                  | Administración               |
| `GET`    | `/v1/organizations/external_keys/{id}`                                    | `GetKey`                                    | Administración               |
| `POST`   | `/v1/organizations/external_keys/{id}`                                    | `UpdateKey`                                 | Administración               |
| `DELETE` | `/v1/organizations/external_keys/{id}`                                    | `DisableKey`                                | Administración               |
| `POST`   | `/v1/organizations/telemetry_destinations`                                | `CreateAccountTelemetryDestination`         | Administración               |
| `GET`    | `/v1/organizations/telemetry_destinations`                                | `ListAccountTelemetryDestinations`          | Administración               |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}`                           | `GetAccountTelemetryDestination`            | Administración               |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}`                           | `UpdateAccountTelemetryDestination`         | Administración               |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}`                           | `DeleteAccountTelemetryDestination`         | Administración               |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/test`                      | `TestAccountTelemetryDestination`           | Administración               |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}/workspaces`                | `ListAccountTelemetryDestinationWorkspaces` | Administración               |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `AddTelemetryDestinationWorkspace`          | Administración               |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `RemoveTelemetryDestinationWorkspace`       | Administración               |
| `GET`    | `/v1/compliance/activities`                                               | `ListComplianceActivities`                  | Administración               |
| `POST`   | `/v1/agents`                                                              | `CreateAgent`                               | Datos                        |
| `GET`    | `/v1/agents`                                                              | `ListAgents`                                | Datos                        |
| `GET`    | `/v1/agents/{id}`                                                         | `GetAgent`                                  | Datos                        |
| `POST`   | `/v1/agents/{id}`                                                         | `UpdateAgent`                               | Datos                        |
| `POST`   | `/v1/agents/{id}/archive`                                                 | `ArchiveAgent`                              | Datos                        |
| `GET`    | `/v1/agents/{id}/versions`                                                | `GetAgent`                                  | Datos                        |
| `POST`   | `/v1/sessions`                                                            | `CreateSession`                             | Datos                        |
| `GET`    | `/v1/sessions`                                                            | `ListSessions`                              | Datos                        |
| `GET`    | `/v1/sessions/{id}`                                                       | `GetSession`                                | Datos                        |
| `POST`   | `/v1/sessions/{id}`                                                       | `UpdateSession`                             | Datos                        |
| `POST`   | `/v1/sessions/{id}/archive`                                               | `ArchiveSession`                            | Datos                        |
| `DELETE` | `/v1/sessions/{id}`                                                       | `DeleteSession`                             | Datos                        |
| `GET`    | `/v1/sessions/{id}/events`                                                | `GetSession`                                | Datos                        |
| `POST`   | `/v1/sessions/{id}/events`                                                | `UpdateSession`                             | Datos                        |
| `GET`    | `/v1/sessions/{id}/events/stream`                                         | `GetSession`                                | Datos                        |
| `GET`    | `/v1/sessions/{id}/resources`                                             | `GetSession`                                | Datos                        |
| `GET`    | `/v1/sessions/{id}/resources/{id}`                                        | `GetSession`                                | Datos                        |
| `POST`   | `/v1/sessions/{id}/resources`                                             | `UpdateSession`                             | Datos                        |
| `POST`   | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Datos                        |
| `DELETE` | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Datos                        |
| `POST`   | `/v1/environments`                                                        | `CreateEnvironment`                         | Datos                        |
| `GET`    | `/v1/environments`                                                        | `ListEnvironments`                          | Datos                        |
| `GET`    | `/v1/environments/{id}`                                                   | `GetEnvironment`                            | Datos                        |
| `POST`   | `/v1/environments/{id}`                                                   | `UpdateEnvironment`                         | Datos                        |
| `POST`   | `/v1/environments/{id}/archive`                                           | `ArchiveEnvironment`                        | Datos                        |
| `DELETE` | `/v1/environments/{id}`                                                   | `DeleteEnvironment`                         | Datos                        |
| `GET`    | `/v1/environments/{id}/work`                                              | `GetEnvironment`                            | Datos                        |
| `GET`    | `/v1/environments/{id}/work/poll`                                         | `ProcessEnvironmentWork`                    | Datos                        |
| `GET`    | `/v1/environments/{id}/work/{work_id}`                                    | `GetEnvironment`                            | Datos                        |
| `GET`    | `/v1/environments/{id}/work/stats`                                        | `GetEnvironment`                            | Datos                        |
| `POST`   | `/v1/environments/{id}/work/{work_id}`                                    | `ProcessEnvironmentWork`                    | Datos                        |
| `POST`   | `/v1/environments/{id}/work/{work_id}/ack`                                | `ProcessEnvironmentWork`                    | Datos                        |
| `POST`   | `/v1/environments/{id}/work/{work_id}/heartbeat`                          | `ProcessEnvironmentWork`                    | Datos                        |
| `POST`   | `/v1/environments/{id}/work/{work_id}/stop`                               | `ProcessEnvironmentWork`                    | Datos                        |
| `POST`   | `/v1/vaults`                                                              | `CreateVault`                               | Administración               |
| `GET`    | `/v1/vaults`                                                              | `ListVaults`                                | Administración               |
| `GET`    | `/v1/vaults/{id}`                                                         | `GetVault`                                  | Administración               |
| `POST`   | `/v1/vaults/{id}`                                                         | `UpdateVault`                               | Administración               |
| `POST`   | `/v1/vaults/{id}/archive`                                                 | `ArchiveVault`                              | Administración               |
| `DELETE` | `/v1/vaults/{id}`                                                         | `DeleteVault`                               | Administración               |
| `GET`    | `/v1/vaults/{id}/credentials`                                             | `GetVault`                                  | Administración               |
| `POST`   | `/v1/vaults/{id}/credentials`                                             | `UpdateVault`                               | Administración               |
| `GET`    | `/v1/vaults/{id}/credentials/{id}`                                        | `GetVault`                                  | Administración               |
| `POST`   | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Administración               |
| `POST`   | `/v1/vaults/{id}/credentials/{id}/archive`                                | `UpdateVault`                               | Administración               |
| `DELETE` | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Administración               |
| `POST`   | `/v1/memory_stores`                                                       | `CreateMemoryStore`                         | Datos                        |
| `GET`    | `/v1/memory_stores`                                                       | `ListMemoryStores`                          | Datos                        |
| `GET`    | `/v1/memory_stores/{id}`                                                  | `GetMemoryStore`                            | Datos                        |
| `POST`   | `/v1/memory_stores/{id}`                                                  | `UpdateMemoryStore`                         | Datos                        |
| `POST`   | `/v1/memory_stores/{id}/archive`                                          | `ArchiveMemoryStore`                        | Datos                        |
| `DELETE` | `/v1/memory_stores/{id}`                                                  | `DeleteMemoryStore`                         | Datos                        |
| `POST`   | `/v1/memory_stores/{id}/memories`                                         | `UpdateMemoryStore`                         | Datos                        |
| `GET`    | `/v1/memory_stores/{id}/memories`                                         | `GetMemoryStore`                            | Datos                        |
| `GET`    | `/v1/memory_stores/{id}/memories/{id}`                                    | `GetMemoryStore`                            | Datos                        |
| `POST`   | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Datos                        |
| `DELETE` | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Datos                        |
| `GET`    | `/v1/memory_stores/{id}/memory_versions`                                  | `GetMemoryStore`                            | Datos                        |
| `GET`    | `/v1/memory_stores/{id}/memory_versions/{id}`                             | `GetMemoryStore`                            | Datos                        |
| `POST`   | `/v1/memory_stores/{id}/memory_versions/{id}/redact`                      | `UpdateMemoryStore`                         | Datos                        |
| `GET`    | `/v1/webhooks`                                                            | `ListWebhooks`                              | Administración               |
| `GET`    | `/v1/webhooks/{id}`                                                       | `GetWebhook`                                | Administración               |
| `POST`   | `/v1/webhooks`                                                            | `CreateWebhook`                             | Administración               |
| `POST`   | `/v1/webhooks/{id}`                                                       | `UpdateWebhook`                             | Administración               |
| `DELETE` | `/v1/webhooks/{id}`                                                       | `DeleteWebhook`                             | Administración               |
| `POST`   | `/v1/webhooks/{id}/regenerate_signing_secret`                             | `RotateWebhookSecret`                       | Administración               |

Las rutas que no aparecen en esta tabla no están disponibles en Claude Platform on AWS. El gateway deniega por defecto cualquier ruta que no figure aquí.

<Note>
  Las rutas de workspaces, de claves externas y de destinos de telemetría son las únicas rutas de la Admin API disponibles en Claude Platform on AWS. También puedes crear, actualizar o archivar workspaces en la consola de AWS o, con el rol Admin, en la Claude Console. Las claves de cifrado también se pueden registrar y asociar en la Claude Console.
</Note>

## Políticas administradas

AWS proporciona cinco políticas administradas para Claude Platform on AWS. Todas las políticas administradas se aplican a `Resource: "*"`.

| Política                               | Concede                                                                                                                                                                                                    |
| -------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `AnthropicFullAccess`                  | `aws-external-anthropic:*`                                                                                                                                                                                 |
| `AnthropicReadOnlyAccess`              | `Get*`, `List*`, `CallWithBearerToken`                                                                                                                                                                     |
| `AnthropicInferenceAccess`             | `Get*`, `List*`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`                                                           |
| `AnthropicLimitedAccess`               | Todas las acciones de `AnthropicInferenceAccess`, más todas las acciones de Claude Managed Agents (agentes, sesiones, entornos, vaults, almacenes de memoria, webhooks y trabajo de entornos autoalojados) |
| `AnthropicSelfHostedEnvironmentAccess` | `GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`                                                                                               |

`AnthropicInferenceAccess` es la política administrada más restrictiva que basta para ejecutar inferencia. Cubre tanto la inferencia síncrona como la por lotes y, a través de los comodines `Get*` y `List*`, concede acceso de lectura a todos los recursos de la API en el espacio de nombres, incluidos los recursos de Claude Managed Agents (CMA) (agentes, sesiones, entornos, vaults, almacenes de memoria y webhooks). Esto incluye la descarga del contenido de archivos mediante `GetFile` (consulta la nota de [Archivos](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#files)), la descarga del contenido de skills mediante `GetSkill` (consulta la nota de [Skills](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#skills)) y el contenido de las memorias mediante `GetMemoryStore`. Los secretos de las credenciales de vault y los secretos de firma de webhooks no se exponen: esos campos son de solo escritura y `GetVault` o `GetWebhook` nunca los devuelven (consulta [Autenticar con vaults](https://platform.claude.com/docs/es/managed-agents/vaults)). `AnthropicInferenceAccess` no concede la creación ni eliminación de archivos, la administración de skills, la administración de perfiles de usuario, la mutación de workspaces, la administración de claves de cifrado, la administración de destinos de telemetría ni ninguna acción de escritura de Claude Managed Agents (crear, actualizar, archivar, eliminar, procesar o rotar). Para excluir las lecturas de CMA, reemplaza `AnthropicInferenceAccess` por una política personalizada que enumere únicamente las acciones específicas no relacionadas con CMA que necesites.

<Note>
  `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` y `AnthropicLimitedAccess` incluyen los comodines `Get*` y `List*`, que conceden acceso de lectura a todo el contenido del workspace: bytes de archivos, contenido de skills, resultados de lotes, historial de conversaciones de sesiones y contenido de memorias. Los comodines también conceden `GetKey` y `ListKeys`, que leen las configuraciones de claves de cifrado registradas de la organización (ARN de claves y metadatos, nunca el material de las claves). También conceden `GetUserProfile` y `ListUserProfiles`, con alcance de cuenta, que leen los perfiles de usuario. El comodín `List*` también concede `ListComplianceActivities`, que lee el [Activity Feed](https://platform.claude.com/docs/es/manage-claude/compliance-activity-feed) de cumplimiento de la organización una vez que la Compliance API está habilitada para la organización (consulta [Cumplimiento](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#compliance)). Los comodines también conceden `GetAccountTelemetryDestination`, `ListAccountTelemetryDestinations` y `ListAccountTelemetryDestinationWorkspaces`, que leen los destinos de telemetría de la organización, pero nunca sus valores de encabezado. Los secretos de las credenciales de vault y los secretos de firma de webhooks no se exponen; esos campos son de solo escritura y `GetVault` o `GetWebhook` nunca los devuelven. Si tu principal no debe leer el contenido existente, usa una política personalizada que enumere solo las acciones que necesitas.
</Note>

`AnthropicLimitedAccess` incluye todas las acciones de Claude Managed Agents además de las acciones de inferencia.

`AnthropicSelfHostedEnvironmentAccess` es la política administrada más restrictiva que basta para ejecutar un worker de [sandbox autoalojado](https://platform.claude.com/docs/es/managed-agents/self-hosted-sandboxes). Asóciala al principal con el que se autentica tu worker de entorno.

`AssumeConsole` no está incluida en `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess`, `AnthropicLimitedAccess` ni `AnthropicSelfHostedEnvironmentAccess`. Los principales que necesitan acceso a la Claude Console requieren `AnthropicFullAccess` o una política personalizada que conceda `aws-external-anthropic:AssumeConsole`. Consulta [Acceso a la consola](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#console-access).

<Note>
  `CreateInference` y `CreateBatchInference` son acciones separadas. Denegar una no bloquea la otra. Si tu intención es impedir todas las llamadas al modelo, deniega ambas.
</Note>

## Políticas de ejemplo

### Inferencia síncrona en un único workspace

Concede los permisos mínimos para un principal de IAM que ejecuta inferencia contra un workspace de producción:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  `ListWorkspaces` tiene alcance de cuenta (consulta [Automatización del aprovisionamiento](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#provisioning-automation)). Si tu cuenta de servicio necesita enumerar workspaces, agrega una instrucción `Allow` separada para `ListWorkspaces` con `Resource: "*"`.

  Esta política asume autenticación con AWS SigV4. Si el principal se autentica con una clave de API, agrega una instrucción `Allow` separada para `aws-external-anthropic:CallWithBearerToken` con `Resource: "*"`. `CallWithBearerToken` es una acción sin ruta que no se vincula a un ARN de workspace. Consulta [Aislamiento de workspace por cliente](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#per-customer-workspace-isolation) para ver el patrón de dos instrucciones.
</Note>

### Aislamiento de workspace por cliente

Restringe un rol a un único workspace:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}
```

<Note>
  El comodín `aws-external-anthropic:*` de la primera instrucción incluye acciones con alcance de cuenta (`CreateWorkspace`, `ListWorkspaces`, `ListComplianceActivities`, las acciones de claves externas, las acciones de destinos de telemetría con alcance de cuenta y las acciones de perfiles de usuario) que la restricción del ARN de workspace filtra de forma silenciosa. Esto es coherente con la intención de "aislamiento" (el rol no puede crear workspaces, enumerar workspaces, administrar registros de claves de cifrado, leer el Activity Feed de cumplimiento ni leer o administrar perfiles de usuario, y tampoco puede crear, leer ni cambiar destinos de telemetría; aún puede asociar una clave ya registrada a su propio workspace mediante `UpdateWorkspace`, y agregar su propio workspace a un destino, o quitarlo de uno, si conoce el ID del destino), pero la política contiene permisos que no tienen efecto. Si el rol necesita perfiles de usuario, agrega una instrucción `Allow` separada para las acciones de perfiles de usuario con `Resource: "*"`. Consulta [Automatización del aprovisionamiento](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#provisioning-automation) para ver el patrón con alcance de cuenta.

  `CallWithBearerToken` y `AssumeConsole` son acciones sin ruta que no se vinculan a un ARN de workspace. La segunda instrucción las concede sobre `Resource: "*"` para que el rol pueda autenticarse con una clave de API y abrir la Claude Console. Omite esta instrucción si el rol usa únicamente SigV4 y no necesita acceso a la Claude Console.
</Note>

### Bloqueo de funciones para un workspace sensible a ZDR

Bloquea el procesamiento por lotes y la carga de archivos en un workspace específico mientras deja disponible la inferencia síncrona. Es útil cuando un workspace maneja datos de [Zero Data Retention (ZDR)](https://platform.claude.com/docs/es/manage-claude/api-and-data-retention) que no deben persistir del lado del servidor. Asocia esta política junto con una política Allow como `AnthropicInferenceAccess` o el [ejemplo de un único workspace](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#synchronous-inference-on-a-single-workspace); por sí sola, una política solo de Deny no concede ningún permiso:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  Esta denegación bloquea únicamente la creación. Las demás acciones de archivos y lotes no se deniegan a menos que también las incluyas. Para un bloqueo completo en el que el workspace nunca deba contener archivos ni lotes, deniega también `aws-external-anthropic:GetFile`, `aws-external-anthropic:ListFiles`, `aws-external-anthropic:DeleteFile`, `aws-external-anthropic:GetBatchInference`, `aws-external-anthropic:ListBatchInferences`, `aws-external-anthropic:CancelBatchInference` y `aws-external-anthropic:DeleteBatchInference`.
</Note>

### Automatización del aprovisionamiento

<Note>
  Además de la Admin API, puedes crear, actualizar o archivar espacios de trabajo en la consola de AWS o, con el rol Admin, en la Claude Console.
</Note>

Otorga a un rol de CI/CD las acciones necesarias para crear y administrar espacios de trabajo, sin ningún permiso de inferencia:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}
```

`CreateWorkspace` y `ListWorkspaces` son operaciones con alcance de cuenta. Especificar un ARN de espacio de trabajo en estas acciones no tiene ningún efecto; usa `Resource: "*"`.

## Ver también

* [Claude Platform on AWS](https://platform.claude.com/docs/es/build-with-claude/claude-platform-on-aws) para la configuración, la autenticación y una descripción general de la plataforma
* [Guía del usuario de AWS IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) para la sintaxis de políticas de IAM y la lógica de evaluación
* [Guía del usuario de AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/) para la configuración del registro de auditoría