---
title: Actions IAM pour Claude Platform on AWS
url: https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions
description: Référence des actions IAM pour contrôler l'accès à Claude Platform on AWS au moyen de politiques AWS.
---

Claude Platform on AWS utilise AWS IAM pour le contrôle d'accès. Chaque route d'API correspond à une action IAM dans l'espace de noms `aws-external-anthropic`. Cette page répertorie toutes les actions, les routes que chaque action autorise, ainsi que les « managed policies » (politiques gérées) disponibles pour les modèles d'accès courants. Pour la configuration de la plateforme et l'authentification, consultez [Claude Platform on AWS](https://platform.claude.com/docs/fr/build-with-claude/claude-platform-on-aws).

## Détails du service

| Attribut                   | Valeur                   |
| -------------------------- | ------------------------ |
| **Préfixe de service IAM** | `aws-external-anthropic` |
| **Types de ressources**    | `workspace`              |

Format de l'ARN d'un workspace :

```text wrap
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}
```

La région de l'ARN est toujours renseignée et correspond à la région à laquelle le workspace est lié. Le segment de ressource est l'identifiant de workspace balisé (`wrkspc_...`), la même valeur que celle que vous transmettez dans l'en-tête `anthropic-workspace-id`.

## Actions

Les actions suivent la convention AWS `VerbNoun` et appliquent une discipline stricte sur les verbes afin que les caractères génériques `Get*` et `List*` produisent une frontière nette en lecture seule.

### Inférence

| Action            | Routes autorisées                |
| ----------------- | -------------------------------- |
| `CreateInference` | `POST /v1/messages`              |
| `CountTokens`     | `POST /v1/messages/count_tokens` |

### Traitement par lots

| Action                 | Routes autorisées                                                            |
| ---------------------- | ---------------------------------------------------------------------------- |
| `CreateBatchInference` | `POST /v1/messages/batches`                                                  |
| `GetBatchInference`    | `GET /v1/messages/batches/{id}`<br />`GET /v1/messages/batches/{id}/results` |
| `ListBatchInferences`  | `GET /v1/messages/batches`                                                   |
| `CancelBatchInference` | `POST /v1/messages/batches/{id}/cancel`                                      |
| `DeleteBatchInference` | `DELETE /v1/messages/batches/{id}`                                           |

<Note>
  `GetBatchInference` autorise à la fois la lecture des métadonnées d'un lot et le téléchargement des résultats du lot. Les caractères génériques `Get*` des politiques `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` et `AnthropicLimitedAccess` incluent cette action.
</Note>

### Modèles

| Action       | Routes autorisées     |
| ------------ | --------------------- |
| `GetModel`   | `GET /v1/models/{id}` |
| `ListModels` | `GET /v1/models`      |

### Fichiers

| Action       | Routes autorisées                                      |
| ------------ | ------------------------------------------------------ |
| `CreateFile` | `POST /v1/files`                                       |
| `GetFile`    | `GET /v1/files/{id}`<br />`GET /v1/files/{id}/content` |
| `ListFiles`  | `GET /v1/files`                                        |
| `DeleteFile` | `DELETE /v1/files/{id}`                                |

<Note>
  `GetFile` autorise à la fois les métadonnées et le téléchargement du contenu. Un principal disposant d'un accès en lecture seule peut télécharger les octets des fichiers, et pas seulement lister les fichiers.
</Note>

### Skills

| Action        | Routes autorisées                                                                                                                                             |
| ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSkill` | `POST /v1/skills`                                                                                                                                             |
| `GetSkill`    | `GET /v1/skills/{id}`<br />`GET /v1/skills/{id}/versions`<br />`GET /v1/skills/{id}/versions/{version}`<br />`GET /v1/skills/{id}/versions/{version}/content` |
| `ListSkills`  | `GET /v1/skills`                                                                                                                                              |
| `UpdateSkill` | `POST /v1/skills/{id}/versions`<br />`DELETE /v1/skills/{id}/versions/{version}`                                                                              |
| `DeleteSkill` | `DELETE /v1/skills/{id}`                                                                                                                                      |

<Note>
  `GetSkill` autorise à la fois les métadonnées d'une skill et le téléchargement du contenu de la skill. Un principal disposant d'un accès en lecture seule peut télécharger les octets des skills, et pas seulement lister les skills.
</Note>

<Note>
  La création ou la suppression d'une version individuelle de skill correspond à `UpdateSkill`, et non à `CreateSkill` ou `DeleteSkill`. Une politique qui refuse `aws-external-anthropic:Delete*` autorise toujours la suppression de versions, et une politique qui refuse `aws-external-anthropic:Create*` autorise toujours la création de versions. Refusez également `UpdateSkill` et `CreateSkill` si vous devez empêcher toute mutation de skill.
</Note>

### Agents

| Action         | Routes autorisées                                         |
| -------------- | --------------------------------------------------------- |
| `CreateAgent`  | `POST /v1/agents`                                         |
| `GetAgent`     | `GET /v1/agents/{id}`<br />`GET /v1/agents/{id}/versions` |
| `ListAgents`   | `GET /v1/agents`                                          |
| `UpdateAgent`  | `POST /v1/agents/{id}`                                    |
| `ArchiveAgent` | `POST /v1/agents/{id}/archive`                            |

<Note>
  Les agents ne prennent en charge que l'archivage, et non la suppression définitive. Une politique qui refuse `aws-external-anthropic:Delete*` ne bloque pas `ArchiveAgent`. Refusez `ArchiveAgent`, `UpdateAgent` et `CreateAgent` si vous devez empêcher toute mutation d'agent.
</Note>

### Sessions

| Action           | Routes autorisées                                                                                                                                                                                 |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSession`  | `POST /v1/sessions`                                                                                                                                                                               |
| `GetSession`     | `GET /v1/sessions/{id}`<br />`GET /v1/sessions/{id}/events`<br />`GET /v1/sessions/{id}/events/stream`<br />`GET /v1/sessions/{id}/resources`<br />`GET /v1/sessions/{id}/resources/{id}`         |
| `ListSessions`   | `GET /v1/sessions`                                                                                                                                                                                |
| `UpdateSession`  | `POST /v1/sessions/{id}`<br />`POST /v1/sessions/{id}/events`<br />`POST /v1/sessions/{id}/resources`<br />`POST /v1/sessions/{id}/resources/{id}`<br />`DELETE /v1/sessions/{id}/resources/{id}` |
| `ArchiveSession` | `POST /v1/sessions/{id}/archive`                                                                                                                                                                  |
| `DeleteSession`  | `DELETE /v1/sessions/{id}`                                                                                                                                                                        |

<Note>
  `GetSession` autorise la lecture des métadonnées de session, du flux d'événements complet (historique de conversation) et des ressources de session. Les caractères génériques `Get*` des politiques `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` et `AnthropicLimitedAccess` incluent cette action.
</Note>

<Note>
  La création, la mise à jour ou la suppression d'une sous-ressource individuelle de session (événements ou ressources de session) correspond à `UpdateSession`, et non à `CreateSession` ou `DeleteSession`. Une politique qui refuse `aws-external-anthropic:Delete*` autorise toujours la suppression de sous-ressources, et une politique qui refuse `aws-external-anthropic:Create*` autorise toujours la création de sous-ressources. Refusez également `UpdateSession`, `CreateSession` et `ArchiveSession` si vous devez empêcher toute mutation de session.
</Note>

### Environnements

| Action                   | Routes autorisées                                                                                                                                                                                                                                            |
| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `CreateEnvironment`      | `POST /v1/environments`                                                                                                                                                                                                                                      |
| `GetEnvironment`         | `GET /v1/environments/{id}`<br />`GET /v1/environments/{id}/work`<br />`GET /v1/environments/{id}/work/{work_id}`<br />`GET /v1/environments/{id}/work/stats`                                                                                                |
| `ListEnvironments`       | `GET /v1/environments`                                                                                                                                                                                                                                       |
| `UpdateEnvironment`      | `POST /v1/environments/{id}`                                                                                                                                                                                                                                 |
| `ArchiveEnvironment`     | `POST /v1/environments/{id}/archive`                                                                                                                                                                                                                         |
| `DeleteEnvironment`      | `DELETE /v1/environments/{id}`                                                                                                                                                                                                                               |
| `ProcessEnvironmentWork` | `GET /v1/environments/{id}/work/poll`<br />`POST /v1/environments/{id}/work/{work_id}`<br />`POST /v1/environments/{id}/work/{work_id}/ack`<br />`POST /v1/environments/{id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{id}/work/{work_id}/stop` |

<Note>
  Une politique qui refuse `aws-external-anthropic:Delete*` ne bloque pas `ArchiveEnvironment`. `ProcessEnvironmentWork` n'est pas couvert par les caractères génériques `Create*`, `Update*`, `Delete*` ou `Archive*`. Refusez également `ArchiveEnvironment`, `UpdateEnvironment`, `CreateEnvironment` et `ProcessEnvironmentWork` si vous devez empêcher toute mutation d'environnement.
</Note>

<Note>
  `ProcessEnvironmentWork` autorise un worker de [sandbox auto-hébergée](https://platform.claude.com/docs/fr/managed-agents/self-hosted-sandboxes) à interroger, accuser réception, envoyer des signaux de vie (heartbeat), arrêter et publier des résultats sur les éléments de travail d'un environnement. Ne l'accordez qu'aux principaux qui exécutent des workers d'environnement auto-hébergés. La politique gérée `AnthropicSelfHostedEnvironmentAccess` inclut cette action.
</Note>

### Coffres-forts

| Action         | Routes autorisées                                                                                                                                                                                               |
| -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateVault`  | `POST /v1/vaults`                                                                                                                                                                                               |
| `GetVault`     | `GET /v1/vaults/{id}`<br />`GET /v1/vaults/{id}/credentials`<br />`GET /v1/vaults/{id}/credentials/{id}`                                                                                                        |
| `ListVaults`   | `GET /v1/vaults`                                                                                                                                                                                                |
| `UpdateVault`  | `POST /v1/vaults/{id}`<br />`POST /v1/vaults/{id}/credentials`<br />`POST /v1/vaults/{id}/credentials/{id}`<br />`POST /v1/vaults/{id}/credentials/{id}/archive`<br />`DELETE /v1/vaults/{id}/credentials/{id}` |
| `ArchiveVault` | `POST /v1/vaults/{id}/archive`                                                                                                                                                                                  |
| `DeleteVault`  | `DELETE /v1/vaults/{id}`                                                                                                                                                                                        |

<Note>
  La création, la mise à jour, l'archivage ou la suppression d'un identifiant individuel de vault correspond à `UpdateVault`. La lecture d'un identifiant correspond à `GetVault`. Les secrets des identifiants de vault ne sont pas exposés : les champs secrets sont en écriture seule et ne sont jamais renvoyés par `GetVault` (consultez [S'authentifier avec les vaults](https://platform.claude.com/docs/fr/managed-agents/vaults)). Une politique qui refuse `aws-external-anthropic:Delete*` autorise toujours la suppression d'identifiants, et une politique qui refuse `aws-external-anthropic:Create*` autorise toujours la création d'identifiants. Refusez également `UpdateVault`, `CreateVault` et `ArchiveVault` si vous devez empêcher toute mutation de vault.
</Note>

### Magasins de mémoire

| Action               | Routes autorisées                                                                                                                                                                                                                            |
| -------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateMemoryStore`  | `POST /v1/memory_stores`                                                                                                                                                                                                                     |
| `GetMemoryStore`     | `GET /v1/memory_stores/{id}`<br />`GET /v1/memory_stores/{id}/memories`<br />`GET /v1/memory_stores/{id}/memories/{id}`<br />`GET /v1/memory_stores/{id}/memory_versions`<br />`GET /v1/memory_stores/{id}/memory_versions/{id}`             |
| `ListMemoryStores`   | `GET /v1/memory_stores`                                                                                                                                                                                                                      |
| `UpdateMemoryStore`  | `POST /v1/memory_stores/{id}`<br />`POST /v1/memory_stores/{id}/memories`<br />`POST /v1/memory_stores/{id}/memories/{id}`<br />`DELETE /v1/memory_stores/{id}/memories/{id}`<br />`POST /v1/memory_stores/{id}/memory_versions/{id}/redact` |
| `ArchiveMemoryStore` | `POST /v1/memory_stores/{id}/archive`                                                                                                                                                                                                        |
| `DeleteMemoryStore`  | `DELETE /v1/memory_stores/{id}`                                                                                                                                                                                                              |

<Note>
  `GetMemoryStore` autorise la lecture des métadonnées du store, de toutes les mémoires et de l'historique des versions de mémoire. Les caractères génériques `Get*` des politiques `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` et `AnthropicLimitedAccess` incluent cette action.
</Note>

<Note>
  La création, la mise à jour ou la suppression d'une mémoire individuelle ainsi que la rédaction (masquage) d'une version de mémoire correspondent toutes deux à `UpdateMemoryStore`, et non à `CreateMemoryStore` ou `DeleteMemoryStore`. Une politique qui refuse `aws-external-anthropic:Delete*` autorise toujours la suppression de mémoires individuelles et le masquage de versions de mémoire, et une politique qui refuse `aws-external-anthropic:Create*` autorise toujours la création de mémoires individuelles. Refusez également `UpdateMemoryStore`, `CreateMemoryStore` et `ArchiveMemoryStore` si vous devez empêcher toute mutation de memory store.
</Note>

### Webhooks

| Action                | Routes autorisées                                  |
| --------------------- | -------------------------------------------------- |
| `CreateWebhook`       | `POST /v1/webhooks`                                |
| `GetWebhook`          | `GET /v1/webhooks/{id}`                            |
| `ListWebhooks`        | `GET /v1/webhooks`                                 |
| `UpdateWebhook`       | `POST /v1/webhooks/{id}`                           |
| `DeleteWebhook`       | `DELETE /v1/webhooks/{id}`                         |
| `RotateWebhookSecret` | `POST /v1/webhooks/{id}/regenerate_signing_secret` |

<Note>
  Les secrets de signature des webhooks sont en écriture seule. `GetWebhook` renvoie uniquement les métadonnées du webhook ; il ne renvoie pas le secret de signature.
</Note>

<Note>
  `RotateWebhookSecret` n'est pas couvert par les caractères génériques `aws-external-anthropic:Create*`, `Update*` ou `Delete*`. Une politique qui refuse ces motifs autorise toujours la rotation du secret. Refusez `RotateWebhookSecret`, `UpdateWebhook`, `CreateWebhook` et `DeleteWebhook` si vous devez empêcher toute mutation de webhook.
</Note>

### Profils utilisateur

| Action                           | Routes autorisées                            |
| -------------------------------- | -------------------------------------------- |
| `CreateUserProfile`              | `POST /v1/user_profiles`                     |
| `GetUserProfile`                 | `GET /v1/user_profiles/{id}`                 |
| `ListUserProfiles`               | `GET /v1/user_profiles`                      |
| `UpdateUserProfile`              | `POST /v1/user_profiles/{id}`                |
| `CreateUserProfileEnrollmentUrl` | `POST /v1/user_profiles/{id}/enrollment_url` |

<Note>
  Les actions sur les profils utilisateur sont de portée compte, comme `ListWorkspaces`. Une instruction dont la `Resource` est un ARN de workspace ne les accorde pas ; utilisez `Resource: "*"`.
</Note>

<Warning>
  La correspondance des actions IAM est insensible à la casse. Le caractère générique `aws-external-anthropic:*File` correspond à `CreateFile`, `GetFile` et `DeleteFile`, mais ne correspond pas à `ListFiles` (qui se termine par « files », et non « file »). Il correspond également par excès à `CreateUserProfile`, `GetUserProfile` et `UpdateUserProfile`, car « Profile » se termine par « file ». Si vous souhaitez accorder ou refuser uniquement les actions de l'API Files, énumérez-les explicitement (`CreateFile`, `GetFile`, `ListFiles`, `DeleteFile`) plutôt que d'utiliser un motif de suffixe `*File`.
</Warning>

### Espaces de travail

| Action             | Routes autorisées                                |
| ------------------ | ------------------------------------------------ |
| `CreateWorkspace`  | `POST /v1/organizations/workspaces`              |
| `GetWorkspace`     | `GET /v1/organizations/workspaces/{id}`          |
| `ListWorkspaces`   | `GET /v1/organizations/workspaces`               |
| `UpdateWorkspace`  | `POST /v1/organizations/workspaces/{id}`         |
| `ArchiveWorkspace` | `POST /v1/organizations/workspaces/{id}/archive` |

<Note>
  Les workspaces ne prennent en charge que l'archivage, et non la suppression définitive. Une politique qui refuse `aws-external-anthropic:Delete*` ne bloque pas `ArchiveWorkspace`. Refusez `ArchiveWorkspace`, `UpdateWorkspace` et `CreateWorkspace` si vous devez empêcher toute mutation de workspace.
</Note>

### Clés de chiffrement

| Action        | Routes autorisées                             |
| ------------- | --------------------------------------------- |
| `RegisterKey` | `POST /v1/organizations/external_keys`        |
| `GetKey`      | `GET /v1/organizations/external_keys/{id}`    |
| `ListKeys`    | `GET /v1/organizations/external_keys`         |
| `UpdateKey`   | `POST /v1/organizations/external_keys/{id}`   |
| `DisableKey`  | `DELETE /v1/organizations/external_keys/{id}` |

<Note>
  Ces actions gèrent les enregistrements de [« customer-managed encryption key » (clé de chiffrement gérée par le client), ou CMEK](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms#claude-platform-on-aws) de votre organisation, c'est-à-dire le registre des ARN de clés AWS KMS enregistrés. Elles ne créent, ne modifient ni ne désactivent les clés dans AWS KMS. `DisableKey` supprime un enregistrement et est rejetée tant qu'un workspace utilise encore la clé. `RegisterKey` et `DisableKey` ne sont pas couvertes par les caractères génériques `Create*`, `Update*` ou `Delete*` ; refusez `RegisterKey`, `UpdateKey` et `DisableKey` si vous devez empêcher toute modification des enregistrements de clés. Dans ces routes, `{id}` est l'ARN de la clé KMS encodé pour URL. L'association d'une clé enregistrée à un workspace est une opération de workspace, autorisée par `CreateWorkspace` ou `UpdateWorkspace` ; le principal qui associe une clé a également besoin de `kms:DescribeKey`, `kms:Encrypt` et `kms:Decrypt` sur cette clé (consultez les [prérequis](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms#claude-platform-on-aws)). Les actions sur les clés externes sont de portée compte : spécifier un ARN de workspace sur celles-ci n'a aucun effet ; utilisez `Resource: "*"`.
</Note>

### Conformité

| Action                     | Routes autorisées               |
| -------------------------- | ------------------------------- |
| `ListComplianceActivities` | `GET /v1/compliance/activities` |

<Note>
  `ListComplianceActivities` autorise la lecture du [flux d'activité](https://platform.claude.com/docs/fr/manage-claude/compliance-activity-feed) de l'[API Compliance](https://platform.claude.com/docs/fr/manage-claude/compliance-api), le journal d'audit à l'échelle de l'organisation qui inclut les événements de transparence d'accès. La route renvoie une erreur tant que l'API Compliance n'est pas [activée pour votre organisation](https://platform.claude.com/docs/fr/manage-claude/compliance-api-access) ; l'activation se fait sur demande auprès de votre équipe de compte Anthropic. Les caractères génériques `List*` des politiques `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` et `AnthropicLimitedAccess` incluent cette action.
</Note>

<Note>
  `ListComplianceActivities` est de portée compte, comme `ListWorkspaces`. Spécifier un ARN de workspace sur cette action n'a aucun effet ; utilisez `Resource: "*"`.
</Note>

### Destinations de télémétrie

| Action                                      | Routes autorisées                                                                |
| ------------------------------------------- | -------------------------------------------------------------------------------- |
| `CreateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations`                                  |
| `GetAccountTelemetryDestination`            | `GET /v1/organizations/telemetry_destinations/{id}`                              |
| `ListAccountTelemetryDestinations`          | `GET /v1/organizations/telemetry_destinations`                                   |
| `UpdateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations/{id}`                             |
| `DeleteAccountTelemetryDestination`         | `DELETE /v1/organizations/telemetry_destinations/{id}`                           |
| `TestAccountTelemetryDestination`           | `POST /v1/organizations/telemetry_destinations/{id}/test`                        |
| `ListAccountTelemetryDestinationWorkspaces` | `GET /v1/organizations/telemetry_destinations/{id}/workspaces`                   |
| `AddTelemetryDestinationWorkspace`          | `POST /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}`   |
| `RemoveTelemetryDestinationWorkspace`       | `DELETE /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` |

<Note>
  Toutes ces actions, à l'exception de `AddTelemetryDestinationWorkspace` et `RemoveTelemetryDestinationWorkspace`, ont une portée au niveau du compte ; un ARN d'espace de travail sur celles-ci n'a donc aucun effet. Utilisez `Resource: "*"`. Une destination peut exporter la télémétrie de tous les espaces de travail de l'organisation, dans toutes les régions. Accordez `CreateAccountTelemetryDestination` et `UpdateAccountTelemetryDestination` uniquement aux principaux auxquels vous confiez l'ensemble de ces données.
</Note>

<Note>
  `AddTelemetryDestinationWorkspace` et `RemoveTelemetryDestinationWorkspace` s'appliquent à l'espace de travail indiqué dans la route, et uniquement sur une destination dont l'option **Workspaces** est définie sur **Selected**. Pour modifier une liste **All except**, utilisez `UpdateAccountTelemetryDestination`. Une politique qui refuse `aws-external-anthropic:Create*`, `Update*` ou `Delete*` autorise toujours l'ajout et le retrait d'espaces de travail. Pour bloquer toute modification des destinations, refusez également `AddTelemetryDestinationWorkspace` et `RemoveTelemetryDestinationWorkspace`.
</Note>

### Authentification

| Action                | Routes autorisées |
| --------------------- | ----------------- |
| `CallWithBearerToken` | (aucune)          |

`CallWithBearerToken` est une autorisation de la couche d'authentification qui autorise un principal à s'authentifier au moyen d'une clé API (jeton bearer) plutôt que par AWS SigV4. Elle ne correspond à aucune route. Accordez-la conjointement aux actions associées à des routes que vous souhaitez permettre au détenteur de la clé API d'effectuer.

### Accès à la console

| Action          | Routes autorisées |
| --------------- | ----------------- |
| `AssumeConsole` | (aucune)          |

`AssumeConsole` autorise un principal à ouvrir la Claude Console pour un workspace Claude Platform on AWS via le flux de fédération de la console AWS. Elle ne correspond à aucune route. Accordez-la aux principaux qui doivent pouvoir cliquer sur **Open Claude Console** sur la page du service Claude Platform on AWS dans la console AWS. Le rôle Claude Console (Admin ou Developer) est attribué séparément par votre représentant de compte Anthropic ; il n'est pas dérivé des autorisations IAM du principal. Consultez [Utiliser la Claude Console](https://platform.claude.com/docs/fr/build-with-claude/claude-platform-on-aws#using-the-claude-console) pour le flux de connexion et la description des rôles.

## Correspondance route-action

Le tableau suivant répertorie chaque route de Claude Platform on AWS et l'action IAM requise pour l'appeler. Chaque action IAM autorise également les requêtes qui utilisent l'en-tête `anthropic-beta` ; les variantes bêta d'une route ne nécessitent pas d'action IAM distincte. CloudTrail classe chaque action soit comme événement de données (« Data event », opérations du plan de données à fort volume), soit comme événement de gestion (« Management event », opérations du plan de contrôle). Les actions sur les vaults et les webhooks sont classées comme événements de gestion, car elles détiennent des secrets (identifiants de vault et secrets de signature de webhook) et bénéficient d'une journalisation d'audit activée par défaut. Les actions sur les workspaces, les clés externes, les destinations de télémétrie et la conformité sont également classées comme événements de gestion, car il s'agit d'opérations du plan de contrôle de portée organisation. Toutes les autres actions, y compris l'inférence, les lots, les modèles, les fichiers, les skills, les profils utilisateur et les autres actions Claude Managed Agents, sont classées comme événements de données.

| Méthode  | Route                                                                     | Action IAM                                  | Type d'événement CloudTrail |
| -------- | ------------------------------------------------------------------------- | ------------------------------------------- | --------------------------- |
| `POST`   | `/v1/messages`                                                            | `CreateInference`                           | Données                     |
| `POST`   | `/v1/messages/count_tokens`                                               | `CountTokens`                               | Données                     |
| `POST`   | `/v1/messages/batches`                                                    | `CreateBatchInference`                      | Données                     |
| `GET`    | `/v1/messages/batches`                                                    | `ListBatchInferences`                       | Données                     |
| `GET`    | `/v1/messages/batches/{id}`                                               | `GetBatchInference`                         | Données                     |
| `GET`    | `/v1/messages/batches/{id}/results`                                       | `GetBatchInference`                         | Données                     |
| `POST`   | `/v1/messages/batches/{id}/cancel`                                        | `CancelBatchInference`                      | Données                     |
| `DELETE` | `/v1/messages/batches/{id}`                                               | `DeleteBatchInference`                      | Données                     |
| `GET`    | `/v1/models`                                                              | `ListModels`                                | Données                     |
| `GET`    | `/v1/models/{id}`                                                         | `GetModel`                                  | Données                     |
| `POST`   | `/v1/files`                                                               | `CreateFile`                                | Données                     |
| `GET`    | `/v1/files`                                                               | `ListFiles`                                 | Données                     |
| `GET`    | `/v1/files/{id}`                                                          | `GetFile`                                   | Données                     |
| `GET`    | `/v1/files/{id}/content`                                                  | `GetFile`                                   | Données                     |
| `DELETE` | `/v1/files/{id}`                                                          | `DeleteFile`                                | Données                     |
| `POST`   | `/v1/skills`                                                              | `CreateSkill`                               | Données                     |
| `GET`    | `/v1/skills`                                                              | `ListSkills`                                | Données                     |
| `GET`    | `/v1/skills/{id}`                                                         | `GetSkill`                                  | Données                     |
| `DELETE` | `/v1/skills/{id}`                                                         | `DeleteSkill`                               | Données                     |
| `POST`   | `/v1/skills/{id}/versions`                                                | `UpdateSkill`                               | Données                     |
| `GET`    | `/v1/skills/{id}/versions`                                                | `GetSkill`                                  | Données                     |
| `GET`    | `/v1/skills/{id}/versions/{version}`                                      | `GetSkill`                                  | Données                     |
| `GET`    | `/v1/skills/{id}/versions/{version}/content`                              | `GetSkill`                                  | Données                     |
| `DELETE` | `/v1/skills/{id}/versions/{version}`                                      | `UpdateSkill`                               | Données                     |
| `POST`   | `/v1/user_profiles`                                                       | `CreateUserProfile`                         | Données                     |
| `GET`    | `/v1/user_profiles`                                                       | `ListUserProfiles`                          | Données                     |
| `GET`    | `/v1/user_profiles/{id}`                                                  | `GetUserProfile`                            | Données                     |
| `POST`   | `/v1/user_profiles/{id}`                                                  | `UpdateUserProfile`                         | Données                     |
| `POST`   | `/v1/user_profiles/{id}/enrollment_url`                                   | `CreateUserProfileEnrollmentUrl`            | Données                     |
| `POST`   | `/v1/organizations/workspaces`                                            | `CreateWorkspace`                           | Gestion                     |
| `GET`    | `/v1/organizations/workspaces`                                            | `ListWorkspaces`                            | Gestion                     |
| `GET`    | `/v1/organizations/workspaces/{id}`                                       | `GetWorkspace`                              | Gestion                     |
| `POST`   | `/v1/organizations/workspaces/{id}`                                       | `UpdateWorkspace`                           | Gestion                     |
| `POST`   | `/v1/organizations/workspaces/{id}/archive`                               | `ArchiveWorkspace`                          | Gestion                     |
| `POST`   | `/v1/organizations/external_keys`                                         | `RegisterKey`                               | Gestion                     |
| `GET`    | `/v1/organizations/external_keys`                                         | `ListKeys`                                  | Gestion                     |
| `GET`    | `/v1/organizations/external_keys/{id}`                                    | `GetKey`                                    | Gestion                     |
| `POST`   | `/v1/organizations/external_keys/{id}`                                    | `UpdateKey`                                 | Gestion                     |
| `DELETE` | `/v1/organizations/external_keys/{id}`                                    | `DisableKey`                                | Gestion                     |
| `POST`   | `/v1/organizations/telemetry_destinations`                                | `CreateAccountTelemetryDestination`         | Gestion                     |
| `GET`    | `/v1/organizations/telemetry_destinations`                                | `ListAccountTelemetryDestinations`          | Gestion                     |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}`                           | `GetAccountTelemetryDestination`            | Gestion                     |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}`                           | `UpdateAccountTelemetryDestination`         | Gestion                     |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}`                           | `DeleteAccountTelemetryDestination`         | Gestion                     |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/test`                      | `TestAccountTelemetryDestination`           | Gestion                     |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}/workspaces`                | `ListAccountTelemetryDestinationWorkspaces` | Gestion                     |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `AddTelemetryDestinationWorkspace`          | Gestion                     |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `RemoveTelemetryDestinationWorkspace`       | Gestion                     |
| `GET`    | `/v1/compliance/activities`                                               | `ListComplianceActivities`                  | Gestion                     |
| `POST`   | `/v1/agents`                                                              | `CreateAgent`                               | Données                     |
| `GET`    | `/v1/agents`                                                              | `ListAgents`                                | Données                     |
| `GET`    | `/v1/agents/{id}`                                                         | `GetAgent`                                  | Données                     |
| `POST`   | `/v1/agents/{id}`                                                         | `UpdateAgent`                               | Données                     |
| `POST`   | `/v1/agents/{id}/archive`                                                 | `ArchiveAgent`                              | Données                     |
| `GET`    | `/v1/agents/{id}/versions`                                                | `GetAgent`                                  | Données                     |
| `POST`   | `/v1/sessions`                                                            | `CreateSession`                             | Données                     |
| `GET`    | `/v1/sessions`                                                            | `ListSessions`                              | Données                     |
| `GET`    | `/v1/sessions/{id}`                                                       | `GetSession`                                | Données                     |
| `POST`   | `/v1/sessions/{id}`                                                       | `UpdateSession`                             | Données                     |
| `POST`   | `/v1/sessions/{id}/archive`                                               | `ArchiveSession`                            | Données                     |
| `DELETE` | `/v1/sessions/{id}`                                                       | `DeleteSession`                             | Données                     |
| `GET`    | `/v1/sessions/{id}/events`                                                | `GetSession`                                | Données                     |
| `POST`   | `/v1/sessions/{id}/events`                                                | `UpdateSession`                             | Données                     |
| `GET`    | `/v1/sessions/{id}/events/stream`                                         | `GetSession`                                | Données                     |
| `GET`    | `/v1/sessions/{id}/resources`                                             | `GetSession`                                | Données                     |
| `GET`    | `/v1/sessions/{id}/resources/{id}`                                        | `GetSession`                                | Données                     |
| `POST`   | `/v1/sessions/{id}/resources`                                             | `UpdateSession`                             | Données                     |
| `POST`   | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Données                     |
| `DELETE` | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Données                     |
| `POST`   | `/v1/environments`                                                        | `CreateEnvironment`                         | Données                     |
| `GET`    | `/v1/environments`                                                        | `ListEnvironments`                          | Données                     |
| `GET`    | `/v1/environments/{id}`                                                   | `GetEnvironment`                            | Données                     |
| `POST`   | `/v1/environments/{id}`                                                   | `UpdateEnvironment`                         | Données                     |
| `POST`   | `/v1/environments/{id}/archive`                                           | `ArchiveEnvironment`                        | Données                     |
| `DELETE` | `/v1/environments/{id}`                                                   | `DeleteEnvironment`                         | Données                     |
| `GET`    | `/v1/environments/{id}/work`                                              | `GetEnvironment`                            | Données                     |
| `GET`    | `/v1/environments/{id}/work/poll`                                         | `ProcessEnvironmentWork`                    | Données                     |
| `GET`    | `/v1/environments/{id}/work/{work_id}`                                    | `GetEnvironment`                            | Données                     |
| `GET`    | `/v1/environments/{id}/work/stats`                                        | `GetEnvironment`                            | Données                     |
| `POST`   | `/v1/environments/{id}/work/{work_id}`                                    | `ProcessEnvironmentWork`                    | Données                     |
| `POST`   | `/v1/environments/{id}/work/{work_id}/ack`                                | `ProcessEnvironmentWork`                    | Données                     |
| `POST`   | `/v1/environments/{id}/work/{work_id}/heartbeat`                          | `ProcessEnvironmentWork`                    | Données                     |
| `POST`   | `/v1/environments/{id}/work/{work_id}/stop`                               | `ProcessEnvironmentWork`                    | Données                     |
| `POST`   | `/v1/vaults`                                                              | `CreateVault`                               | Gestion                     |
| `GET`    | `/v1/vaults`                                                              | `ListVaults`                                | Gestion                     |
| `GET`    | `/v1/vaults/{id}`                                                         | `GetVault`                                  | Gestion                     |
| `POST`   | `/v1/vaults/{id}`                                                         | `UpdateVault`                               | Gestion                     |
| `POST`   | `/v1/vaults/{id}/archive`                                                 | `ArchiveVault`                              | Gestion                     |
| `DELETE` | `/v1/vaults/{id}`                                                         | `DeleteVault`                               | Gestion                     |
| `GET`    | `/v1/vaults/{id}/credentials`                                             | `GetVault`                                  | Gestion                     |
| `POST`   | `/v1/vaults/{id}/credentials`                                             | `UpdateVault`                               | Gestion                     |
| `GET`    | `/v1/vaults/{id}/credentials/{id}`                                        | `GetVault`                                  | Gestion                     |
| `POST`   | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Gestion                     |
| `POST`   | `/v1/vaults/{id}/credentials/{id}/archive`                                | `UpdateVault`                               | Gestion                     |
| `DELETE` | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Gestion                     |
| `POST`   | `/v1/memory_stores`                                                       | `CreateMemoryStore`                         | Données                     |
| `GET`    | `/v1/memory_stores`                                                       | `ListMemoryStores`                          | Données                     |
| `GET`    | `/v1/memory_stores/{id}`                                                  | `GetMemoryStore`                            | Données                     |
| `POST`   | `/v1/memory_stores/{id}`                                                  | `UpdateMemoryStore`                         | Données                     |
| `POST`   | `/v1/memory_stores/{id}/archive`                                          | `ArchiveMemoryStore`                        | Données                     |
| `DELETE` | `/v1/memory_stores/{id}`                                                  | `DeleteMemoryStore`                         | Données                     |
| `POST`   | `/v1/memory_stores/{id}/memories`                                         | `UpdateMemoryStore`                         | Données                     |
| `GET`    | `/v1/memory_stores/{id}/memories`                                         | `GetMemoryStore`                            | Données                     |
| `GET`    | `/v1/memory_stores/{id}/memories/{id}`                                    | `GetMemoryStore`                            | Données                     |
| `POST`   | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Données                     |
| `DELETE` | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Données                     |
| `GET`    | `/v1/memory_stores/{id}/memory_versions`                                  | `GetMemoryStore`                            | Données                     |
| `GET`    | `/v1/memory_stores/{id}/memory_versions/{id}`                             | `GetMemoryStore`                            | Données                     |
| `POST`   | `/v1/memory_stores/{id}/memory_versions/{id}/redact`                      | `UpdateMemoryStore`                         | Données                     |
| `GET`    | `/v1/webhooks`                                                            | `ListWebhooks`                              | Gestion                     |
| `GET`    | `/v1/webhooks/{id}`                                                       | `GetWebhook`                                | Gestion                     |
| `POST`   | `/v1/webhooks`                                                            | `CreateWebhook`                             | Gestion                     |
| `POST`   | `/v1/webhooks/{id}`                                                       | `UpdateWebhook`                             | Gestion                     |
| `DELETE` | `/v1/webhooks/{id}`                                                       | `DeleteWebhook`                             | Gestion                     |
| `POST`   | `/v1/webhooks/{id}/regenerate_signing_secret`                             | `RotateWebhookSecret`                       | Gestion                     |

Les routes qui ne figurent pas dans ce tableau ne sont pas disponibles sur Claude Platform on AWS. La passerelle refuse par défaut toute route non répertoriée ici.

<Note>
  Les routes des workspaces, des clés externes et des destinations de télémétrie sont les seules routes de l'Admin API disponibles sur Claude Platform on AWS. Vous pouvez également créer, mettre à jour ou archiver des workspaces dans la console AWS ou, avec le rôle Admin, dans la Claude Console. Les clés de chiffrement peuvent également être enregistrées et associées dans la Claude Console.
</Note>

## Politiques gérées

AWS fournit cinq politiques gérées pour Claude Platform on AWS. Toutes les politiques gérées s'appliquent à `Resource: "*"`.

| Politique                              | Accorde                                                                                                                                                                                                     |
| -------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `AnthropicFullAccess`                  | `aws-external-anthropic:*`                                                                                                                                                                                  |
| `AnthropicReadOnlyAccess`              | `Get*`, `List*`, `CallWithBearerToken`                                                                                                                                                                      |
| `AnthropicInferenceAccess`             | `Get*`, `List*`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`                                                            |
| `AnthropicLimitedAccess`               | Toutes les actions de `AnthropicInferenceAccess`, plus toutes les actions Claude Managed Agents (agents, sessions, environnements, vaults, memory stores, webhooks et travail d'environnement auto-hébergé) |
| `AnthropicSelfHostedEnvironmentAccess` | `GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`                                                                                                |

`AnthropicInferenceAccess` est la politique gérée la plus restreinte suffisante pour exécuter de l'inférence. Elle couvre à la fois l'inférence synchrone et l'inférence par lots et, via les caractères génériques `Get*` et `List*`, accorde un accès en lecture à chaque ressource d'API de l'espace de noms, y compris les ressources Claude Managed Agents (CMA) (agents, sessions, environnements, vaults, memory stores et webhooks). Cela inclut le téléchargement du contenu des fichiers via `GetFile` (consultez la note [Fichiers](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#files)), le téléchargement du contenu des skills via `GetSkill` (consultez la note [Skills](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#skills)) et le contenu des mémoires via `GetMemoryStore`. Les secrets des identifiants de vault et les secrets de signature des webhooks ne sont pas exposés : ces champs sont en écriture seule et ne sont jamais renvoyés par `GetVault` ou `GetWebhook` (consultez [S'authentifier avec les vaults](https://platform.claude.com/docs/fr/managed-agents/vaults)). `AnthropicInferenceAccess` n'accorde pas la création ou la suppression de fichiers, la gestion des skills, la gestion des profils utilisateur, la mutation de workspaces, la gestion des clés de chiffrement, la gestion des destinations de télémétrie, ni aucune action d'écriture Claude Managed Agents (création, mise à jour, archivage, suppression, traitement ou rotation). Pour exclure les lectures CMA, remplacez `AnthropicInferenceAccess` par une politique personnalisée qui énumère uniquement les actions non-CMA spécifiques dont vous avez besoin.

<Note>
  `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` et `AnthropicLimitedAccess` comportent toutes les caractères génériques `Get*` et `List*`, qui accordent un accès en lecture à tout le contenu du workspace : octets des fichiers, contenu des skills, résultats des lots, historique des conversations des sessions et contenu des mémoires. Les caractères génériques accordent également `GetKey` et `ListKeys`, qui lisent les configurations des clés de chiffrement enregistrées de l'organisation (ARN des clés et métadonnées, jamais le matériel de clé). Ils accordent aussi `GetUserProfile` et `ListUserProfiles`, de portée compte, qui lisent les profils utilisateur. Le caractère générique `List*` accorde également `ListComplianceActivities`, qui lit le [flux d'activité](https://platform.claude.com/docs/fr/manage-claude/compliance-activity-feed) de conformité de l'organisation une fois l'API Compliance activée pour l'organisation (consultez [Conformité](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#compliance)). Les caractères génériques accordent aussi `GetAccountTelemetryDestination`, `ListAccountTelemetryDestinations` et `ListAccountTelemetryDestinationWorkspaces`, qui lisent les destinations de télémétrie de l'organisation, mais jamais leurs valeurs d'en-tête. Les secrets des identifiants de vault et les secrets de signature des webhooks ne sont pas exposés ; ces champs sont en écriture seule et ne sont jamais renvoyés par `GetVault` ou `GetWebhook`. Si votre principal ne doit pas lire le contenu existant, utilisez une politique personnalisée qui énumère uniquement les actions dont vous avez besoin.
</Note>

`AnthropicLimitedAccess` inclut toutes les actions Claude Managed Agents en plus des actions d'inférence.

`AnthropicSelfHostedEnvironmentAccess` est la politique gérée la plus restreinte suffisante pour exécuter un worker de [sandbox auto-hébergée](https://platform.claude.com/docs/fr/managed-agents/self-hosted-sandboxes). Attachez-la au principal sous lequel votre worker d'environnement s'authentifie.

`AssumeConsole` n'est pas incluse dans `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess`, `AnthropicLimitedAccess` ni `AnthropicSelfHostedEnvironmentAccess`. Les principaux qui ont besoin d'accéder à la Claude Console nécessitent soit `AnthropicFullAccess`, soit une politique personnalisée qui accorde `aws-external-anthropic:AssumeConsole`. Consultez [Accès à la console](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#console-access).

<Note>
  `CreateInference` et `CreateBatchInference` sont des actions distinctes. Refuser l'une ne bloque pas l'autre. Si vous souhaitez empêcher tous les appels de modèle, refusez les deux.
</Note>

## Exemples de politiques

### Inférence synchrone sur un seul workspace

Accorde les autorisations minimales pour un principal IAM qui exécute de l'inférence sur un workspace de production :

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  `ListWorkspaces` est de portée compte (consultez [Automatisation du provisionnement](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#provisioning-automation)). Si votre compte de service doit énumérer les workspaces, ajoutez une instruction `Allow` distincte pour `ListWorkspaces` avec `Resource: "*"`.

  Cette politique suppose une authentification AWS SigV4. Si le principal s'authentifie avec une clé API, ajoutez une instruction `Allow` distincte pour `aws-external-anthropic:CallWithBearerToken` avec `Resource: "*"`. `CallWithBearerToken` est une action sans route qui ne se lie pas à un ARN de workspace. Consultez [Isolation de workspace par client](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#per-customer-workspace-isolation) pour le modèle à deux instructions.
</Note>

### Isolation de workspace par client

Restreint un rôle à un seul workspace :

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}
```

<Note>
  Le caractère générique `aws-external-anthropic:*` de la première instruction inclut des actions de portée compte (`CreateWorkspace`, `ListWorkspaces`, `ListComplianceActivities`, les actions sur les clés externes, les actions sur les destinations de télémétrie de portée compte et les actions sur les profils utilisateur) que la contrainte d'ARN de workspace filtre silencieusement. Cela est cohérent avec l'intention d'« isolation » (le rôle ne peut pas créer de workspaces, énumérer les workspaces, gérer les enregistrements de clés de chiffrement, lire le flux d'activité de conformité, ni lire ou gérer les profils utilisateur, et il ne peut pas créer, lire ou modifier des destinations de télémétrie ; il peut toujours associer une clé déjà enregistrée à son propre workspace via `UpdateWorkspace`, et ajouter son propre workspace à une destination, ou l'en retirer, à partir de l'ID de la destination), mais la politique contient des autorisations sans effet. Si le rôle a besoin des profils utilisateur, ajoutez une instruction `Allow` distincte pour les actions sur les profils utilisateur avec `Resource: "*"`. Consultez [Automatisation du provisionnement](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#provisioning-automation) pour le modèle de portée compte.

  `CallWithBearerToken` et `AssumeConsole` sont des actions sans route qui ne se lient pas à un ARN de workspace. La seconde instruction les accorde sur `Resource: "*"` afin que le rôle puisse s'authentifier avec une clé API et ouvrir la Claude Console. Omettez cette instruction si le rôle utilise uniquement SigV4 et n'a pas besoin d'accéder à la Claude Console.
</Note>

### Verrouillage de fonctionnalités pour un workspace sensible au ZDR

Bloque le traitement par lots et le téléversement de fichiers sur un workspace spécifique tout en laissant l'inférence synchrone disponible. Utile lorsqu'un workspace traite des données soumises à la [« Zero Data Retention » (rétention zéro des données), ou ZDR](https://platform.claude.com/docs/fr/manage-claude/api-and-data-retention), qui ne doivent pas persister côté serveur. Attachez cette politique conjointement à une politique Allow telle que `AnthropicInferenceAccess` ou l'[exemple à workspace unique](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#synchronous-inference-on-a-single-workspace) ; à elle seule, une politique composée uniquement de Deny n'accorde aucune autorisation :

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  Ce refus bloque uniquement la création. Les autres actions sur les fichiers et les lots ne sont pas refusées, sauf si vous les répertoriez également. Pour un verrouillage complet où le workspace ne doit jamais contenir de fichiers ni de lots, refusez également `aws-external-anthropic:GetFile`, `aws-external-anthropic:ListFiles`, `aws-external-anthropic:DeleteFile`, `aws-external-anthropic:GetBatchInference`, `aws-external-anthropic:ListBatchInferences`, `aws-external-anthropic:CancelBatchInference` et `aws-external-anthropic:DeleteBatchInference`.
</Note>

### Automatisation du provisionnement

<Note>
  Outre l'Admin API, vous pouvez créer, mettre à jour ou archiver des espaces de travail dans la console AWS ou, avec le rôle Admin, dans la Claude Console.
</Note>

Accorde à un rôle CI/CD les actions nécessaires pour créer et gérer des espaces de travail, sans aucune autorisation d'inférence :

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}
```

`CreateWorkspace` et `ListWorkspaces` sont des opérations à portée de compte. Spécifier un ARN d'espace de travail pour ces actions n'a aucun effet ; utilisez `Resource: "*"`.

## Voir aussi

* [Claude Platform on AWS](https://platform.claude.com/docs/fr/build-with-claude/claude-platform-on-aws) pour la configuration, l'authentification et la présentation de la plateforme
* [Guide de l'utilisateur AWS IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) pour la syntaxe des politiques IAM et la logique d'évaluation
* [Guide de l'utilisateur AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/) pour la configuration de la journalisation d'audit