Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Loading
Claude Platform su AWS utilizza AWS IAM per il controllo degli accessi. Ogni route dell'API corrisponde a un'azione IAM nel namespace aws-external-anthropic. Questa pagina elenca tutte le azioni, le route che ciascuna azione autorizza e le "managed policies" (policy gestite) disponibili per i pattern di accesso comuni. Per la configurazione della piattaforma e l'autenticazione, consulta Claude Platform su AWS.
| Attributo | Valore |
|---|---|
| Prefisso del servizio IAM | aws-external-anthropic |
| Tipi di risorsa | workspace |
Formato ARN del workspace:
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}La regione dell'ARN è sempre valorizzata e corrisponde alla regione a cui il workspace è associato. Il segmento della risorsa è l'ID del workspace con tag (wrkspc_...), lo stesso valore che passi nell'header anthropic-workspace-id.
Il servizio definisce 66 azioni. Le azioni seguono la convenzione AWS VerbNoun e utilizzano una disciplina dei verbi tale che i wildcard Get* e List* producano un confine di sola lettura pulito.
| Azione | Route autorizzate |
|---|---|
CreateInference | POST /v1/messages |
CountTokens | POST /v1/messages/count_tokens |
| Azione | Route autorizzate |
|---|---|
CreateBatchInference | POST /v1/messages/batches |
GetBatchInference | GET /v1/messages/batches/{id}GET /v1/messages/batches/{id}/results |
ListBatchInferences | GET /v1/messages/batches |
CancelBatchInference | POST /v1/messages/batches/{id}/cancel |
DeleteBatchInference | DELETE /v1/messages/batches/{id} |
| Azione | Route autorizzate |
|---|---|
GetModel | GET /v1/models/{id} |
ListModels | GET /v1/models |
| Azione | Route autorizzate |
|---|---|
CreateFile | POST /v1/files |
GetFile | GET /v1/files/{id}GET /v1/files/{id}/content |
ListFiles | GET /v1/files |
DeleteFile | DELETE /v1/files/{id} |
| Azione | Route autorizzate |
|---|---|
CreateSkill | POST /v1/skills |
GetSkill | GET /v1/skills/{id}GET /v1/skills/{id}/versionsGET /v1/skills/{id}/versions/{version}GET /v1/skills/{id}/versions/{version}/content |
ListSkills | GET /v1/skills |
UpdateSkill | POST /v1/skills/{id}/versionsDELETE /v1/skills/{id}/versions/{version} |
DeleteSkill | DELETE /v1/skills/{id} |
| Azione | Route autorizzate |
|---|---|
CreateAgent | POST /v1/agents |
GetAgent | GET /v1/agents/{id}GET /v1/agents/{id}/versions |
ListAgents | GET /v1/agents |
UpdateAgent | POST /v1/agents/{id} |
ArchiveAgent | POST /v1/agents/{id}/archive |
| Azione | Route autorizzate |
|---|---|
CreateSession | POST /v1/sessions |
GetSession | GET /v1/sessions/{id}GET /v1/sessions/{id}/eventsGET /v1/sessions/{id}/events/streamGET /v1/sessions/{id}/resourcesGET /v1/sessions/{id}/resources/{id} |
ListSessions | GET /v1/sessions |
UpdateSession | POST /v1/sessions/{id}POST /v1/sessions/{id}/eventsPOST /v1/sessions/{id}/resourcesPOST /v1/sessions/{id}/resources/{id}DELETE /v1/sessions/{id}/resources/{id} |
ArchiveSession | POST /v1/sessions/{id}/archive |
DeleteSession | DELETE /v1/sessions/{id} |
| Azione | Route autorizzate |
|---|---|
CreateEnvironment | POST /v1/environments |
GetEnvironment | GET /v1/environments/{id}GET /v1/environments/{id}/workGET /v1/environments/{id}/work/{work_id}GET /v1/environments/{id}/work/stats |
ListEnvironments | GET /v1/environments |
UpdateEnvironment | POST /v1/environments/{id} |
ArchiveEnvironment | POST /v1/environments/{id}/archive |
DeleteEnvironment | DELETE /v1/environments/{id} |
ProcessEnvironmentWork | GET /v1/environments/{id}/work/pollPOST /v1/environments/{id}/work/{work_id}POST /v1/environments/{id}/work/{work_id}/ackPOST /v1/environments/{id}/work/{work_id}/heartbeatPOST /v1/environments/{id}/work/{work_id}/stop |
| Azione | Route autorizzate |
|---|---|
CreateVault | POST /v1/vaults |
GetVault | GET /v1/vaults/{id}GET /v1/vaults/{id}/credentialsGET /v1/vaults/{id}/credentials/{id} |
ListVaults | GET /v1/vaults |
UpdateVault | POST /v1/vaults/{id}POST /v1/vaults/{id}/credentialsPOST /v1/vaults/{id}/credentials/{id}POST /v1/vaults/{id}/credentials/{id}/archiveDELETE /v1/vaults/{id}/credentials/{id} |
ArchiveVault | POST /v1/vaults/{id}/archive |
DeleteVault | DELETE /v1/vaults/{id} |
| Azione | Route autorizzate |
|---|---|
CreateMemoryStore | POST /v1/memory_stores |
GetMemoryStore | GET /v1/memory_stores/{id}GET /v1/memory_stores/{id}/memoriesGET /v1/memory_stores/{id}/memories/{id}GET /v1/memory_stores/{id}/memory_versionsGET /v1/memory_stores/{id}/memory_versions/{id} |
ListMemoryStores | GET /v1/memory_stores |
UpdateMemoryStore | POST /v1/memory_stores/{id}POST /v1/memory_stores/{id}/memoriesPOST /v1/memory_stores/{id}/memories/{id}DELETE /v1/memory_stores/{id}/memories/{id}POST /v1/memory_stores/{id}/memory_versions/{id}/redact |
ArchiveMemoryStore | POST /v1/memory_stores/{id}/archive |
DeleteMemoryStore | DELETE /v1/memory_stores/{id} |
| Azione | Route autorizzate |
|---|---|
CreateWebhook | POST /v1/webhooks |
GetWebhook | GET /v1/webhooks/{id} |
ListWebhooks | GET /v1/webhooks |
UpdateWebhook | POST /v1/webhooks/{id} |
DeleteWebhook | DELETE /v1/webhooks/{id} |
RotateWebhookSecret | POST /v1/webhooks/{id}/regenerate_signing_secret |
| Azione | Route autorizzate |
|---|---|
CreateUserProfile | POST /v1/user_profiles |
GetUserProfile | GET /v1/user_profiles/{id} |
ListUserProfiles | GET /v1/user_profiles |
UpdateUserProfile | POST /v1/user_profiles/{id} |
| Azione | Route autorizzate |
|---|---|
CreateWorkspace | POST /v1/organizations/workspaces |
GetWorkspace | GET /v1/organizations/workspaces/{id} |
ListWorkspaces | GET /v1/organizations/workspaces |
UpdateWorkspace | POST /v1/organizations/workspaces/{id} |
ArchiveWorkspace | POST /v1/organizations/workspaces/{id}/archive |
| Azione | Route autorizzate |
|---|---|
ListComplianceActivities | GET /v1/compliance/activities |
| Azione | Route autorizzate |
|---|---|
CallWithBearerToken | (nessuna) |
CallWithBearerToken è un'autorizzazione a livello di autenticazione che consente a un principal di autenticarsi tramite una chiave API (bearer token) anziché AWS SigV4. Non corrisponde a una route. Concedila insieme alle azioni mappate alle route che vuoi che il titolare della chiave API possa eseguire.
| Azione | Route autorizzate |
|---|---|
AssumeConsole | (nessuna) |
AssumeConsole autorizza un principal ad aprire la Claude Console per un workspace di Claude Platform su AWS tramite il flusso di federazione della AWS Console. Non corrisponde a una route. Concedila ai principal che devono poter fare clic su Open Claude Console nella pagina del servizio Claude Platform su AWS nella AWS Console. Il ruolo della Claude Console (Admin o Developer) viene assegnato separatamente dal tuo rappresentante di account Anthropic; non è derivato dalle autorizzazioni IAM del principal. Consulta Utilizzo della Claude Console per il flusso di accesso e le descrizioni dei ruoli.
La tabella seguente elenca ogni route su Claude Platform su AWS e l'azione IAM richiesta per chiamarla. Ogni azione IAM autorizza anche le richieste che utilizzano l'header anthropic-beta; le varianti beta di una route non richiedono un'azione IAM separata. CloudTrail classifica ogni azione come evento Data (operazioni del data plane ad alto volume) o evento Management (operazioni del control plane). Le azioni di vault e webhook sono classificate come eventi Management perché contengono segreti (credenziali del vault e segreti di firma dei webhook) e beneficiano del logging di audit attivo per impostazione predefinita. Anche le azioni di workspace e conformità sono classificate come eventi Management perché sono operazioni del control plane con ambito di organizzazione. Tutte le altre azioni, incluse inferenza, batch, modelli, file, skill, profili utente e le restanti azioni di Claude Managed Agents, sono classificate come eventi Data.
| Metodo | Route | Azione IAM | Tipo di evento CloudTrail |
|---|---|---|---|
POST | /v1/messages | CreateInference | Data |
POST | /v1/messages/count_tokens | CountTokens | Data |
POST | /v1/messages/batches | CreateBatchInference | Data |
GET | /v1/messages/batches | ListBatchInferences | Data |
GET | /v1/messages/batches/{id} | GetBatchInference | Data |
GET | /v1/messages/batches/{id}/results | GetBatchInference | Data |
POST | /v1/messages/batches/{id}/cancel | CancelBatchInference | Data |
DELETE | /v1/messages/batches/{id} | DeleteBatchInference | Data |
GET | /v1/models | ListModels | Data |
GET | /v1/models/{id} | GetModel | Data |
POST | /v1/files | CreateFile | Data |
GET | /v1/files | ListFiles | Data |
GET | /v1/files/{id} | GetFile | Data |
GET | /v1/files/{id}/content | GetFile | Data |
DELETE | /v1/files/{id} | DeleteFile | Data |
POST | /v1/skills | CreateSkill | Data |
GET | /v1/skills | ListSkills | Data |
GET | /v1/skills/{id} | GetSkill | Data |
DELETE | /v1/skills/{id} | DeleteSkill | Data |
POST | /v1/skills/{id}/versions | UpdateSkill | Data |
GET | /v1/skills/{id}/versions | GetSkill | Data |
GET | /v1/skills/{id}/versions/{version} | GetSkill | Data |
GET | /v1/skills/{id}/versions/{version}/content | GetSkill | Data |
DELETE | /v1/skills/{id}/versions/{version} | UpdateSkill | Data |
POST | /v1/user_profiles | CreateUserProfile | Data |
GET | /v1/user_profiles | ListUserProfiles | Data |
GET | /v1/user_profiles/{id} | GetUserProfile | Data |
POST | /v1/user_profiles/{id} | UpdateUserProfile | Data |
POST | /v1/organizations/workspaces | CreateWorkspace | Management |
GET | /v1/organizations/workspaces | ListWorkspaces | Management |
GET | /v1/organizations/workspaces/{id} | GetWorkspace | Management |
POST | /v1/organizations/workspaces/{id} | UpdateWorkspace | Management |
POST | /v1/organizations/workspaces/{id}/archive | ArchiveWorkspace | Management |
GET | /v1/compliance/activities | ListComplianceActivities | Management |
POST | /v1/agents | CreateAgent | Data |
GET | /v1/agents | ListAgents | Data |
GET | /v1/agents/{id} | GetAgent | Data |
POST | /v1/agents/{id} | UpdateAgent | Data |
POST | /v1/agents/{id}/archive | ArchiveAgent | Data |
GET | /v1/agents/{id}/versions | GetAgent | Data |
POST | /v1/sessions | CreateSession | Data |
GET | /v1/sessions | ListSessions | Data |
GET | /v1/sessions/{id} | GetSession | Data |
POST | /v1/sessions/{id} | UpdateSession | Data |
POST | /v1/sessions/{id}/archive | ArchiveSession | Data |
DELETE | /v1/sessions/{id} | DeleteSession | Data |
GET | /v1/sessions/{id}/events | GetSession | Data |
POST | /v1/sessions/{id}/events | UpdateSession | Data |
GET | /v1/sessions/{id}/events/stream | GetSession | Data |
GET | /v1/sessions/{id}/resources | GetSession | Data |
GET | /v1/sessions/{id}/resources/{id} | GetSession | Data |
POST | /v1/sessions/{id}/resources | UpdateSession | Data |
POST | /v1/sessions/{id}/resources/{id} | UpdateSession | Data |
DELETE | /v1/sessions/{id}/resources/{id} | UpdateSession | Data |
POST | /v1/environments | CreateEnvironment | Data |
GET | /v1/environments | ListEnvironments | Data |
GET | /v1/environments/{id} | GetEnvironment | Data |
POST | /v1/environments/{id} | UpdateEnvironment | Data |
POST | /v1/environments/{id}/archive | ArchiveEnvironment | Data |
DELETE | /v1/environments/{id} | DeleteEnvironment | Data |
GET | /v1/environments/{id}/work | GetEnvironment | Data |
GET | /v1/environments/{id}/work/poll | ProcessEnvironmentWork | Data |
GET | /v1/environments/{id}/work/{work_id} | GetEnvironment | Data |
GET | /v1/environments/{id}/work/stats | GetEnvironment | Data |
POST | /v1/environments/{id}/work/{work_id} | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/ack | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/heartbeat | ProcessEnvironmentWork | Data |
POST | /v1/environments/{id}/work/{work_id}/stop | ProcessEnvironmentWork | Data |
POST | /v1/vaults | CreateVault | Management |
GET | /v1/vaults | ListVaults | Management |
GET | /v1/vaults/{id} | GetVault | Management |
POST | /v1/vaults/{id} | UpdateVault | Management |
POST | /v1/vaults/{id}/archive | ArchiveVault | Management |
DELETE | /v1/vaults/{id} | DeleteVault | Management |
GET | /v1/vaults/{id}/credentials | GetVault | Management |
POST | /v1/vaults/{id}/credentials | UpdateVault | Management |
GET | /v1/vaults/{id}/credentials/{id} | GetVault | Management |
POST | /v1/vaults/{id}/credentials/{id} | UpdateVault | Management |
POST | /v1/vaults/{id}/credentials/{id}/archive | UpdateVault | Management |
DELETE | /v1/vaults/{id}/credentials/{id} | UpdateVault | Management |
POST | /v1/memory_stores | CreateMemoryStore | Data |
GET | /v1/memory_stores | ListMemoryStores | Data |
GET | /v1/memory_stores/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id} | UpdateMemoryStore | Data |
POST | /v1/memory_stores/{id}/archive | ArchiveMemoryStore | Data |
DELETE | /v1/memory_stores/{id} | DeleteMemoryStore | Data |
POST | /v1/memory_stores/{id}/memories | UpdateMemoryStore | Data |
GET | /v1/memory_stores/{id}/memories | GetMemoryStore | Data |
GET | /v1/memory_stores/{id}/memories/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id}/memories/{id} | UpdateMemoryStore | Data |
DELETE | /v1/memory_stores/{id}/memories/{id} | UpdateMemoryStore | Data |
GET | /v1/memory_stores/{id}/memory_versions | GetMemoryStore | Data |
GET | /v1/memory_stores/{id}/memory_versions/{id} | GetMemoryStore | Data |
POST | /v1/memory_stores/{id}/memory_versions/{id}/redact | UpdateMemoryStore | Data |
GET | /v1/webhooks | ListWebhooks | Management |
GET | /v1/webhooks/{id} | GetWebhook | Management |
POST | /v1/webhooks | CreateWebhook | Management |
POST | /v1/webhooks/{id} | UpdateWebhook | Management |
DELETE | /v1/webhooks/{id} | DeleteWebhook | Management |
POST | /v1/webhooks/{id}/regenerate_signing_secret | RotateWebhookSecret | Management |
Le route non presenti in questa tabella non sono disponibili su Claude Platform su AWS. Il gateway nega per impostazione predefinita qualsiasi route non elencata qui.
AWS fornisce cinque managed policies per Claude Platform su AWS. Tutte le managed policies si applicano a Resource: "*".
| Policy | Concede |
|---|---|
AnthropicFullAccess | aws-external-anthropic:* |
AnthropicReadOnlyAccess | Get*, List*, CallWithBearerToken |
AnthropicInferenceAccess | Get*, List*, CreateInference, CreateBatchInference, CancelBatchInference, DeleteBatchInference, CountTokens, CallWithBearerToken |
AnthropicLimitedAccess | Tutte le azioni di AnthropicInferenceAccess, più tutte le azioni di Claude Managed Agents (agenti, sessioni, ambienti, vault, memory store, webhook e lavoro degli ambienti self-hosted) |
AnthropicSelfHostedEnvironmentAccess | GetEnvironment, ProcessEnvironmentWork, GetSession, UpdateSession, GetSkill, CallWithBearerToken |
AnthropicInferenceAccess è la managed policy più ristretta sufficiente per eseguire l'inferenza. Copre sia l'inferenza sincrona sia quella batch e, tramite i wildcard Get* e List*, concede accesso in lettura a ogni risorsa API nel namespace, incluse le risorse di "Claude Managed Agents" (CMA) (agenti, sessioni, ambienti, vault, memory store e webhook). Ciò include il download del contenuto dei file tramite GetFile (consulta la nota File), il download del contenuto delle skill tramite GetSkill (consulta la nota Skill) e i contenuti delle memorie tramite GetMemoryStore. I segreti delle credenziali del vault e i segreti di firma dei webhook non sono esposti: questi campi sono di sola scrittura e non vengono mai restituiti da GetVault o GetWebhook (consulta Autenticazione con i vault). AnthropicInferenceAccess non concede la creazione o l'eliminazione di file, la gestione delle skill, la gestione dei profili utente, la modifica dei workspace né alcuna azione di scrittura di Claude Managed Agents (create, update, archive, delete, process o rotate). Per escludere le letture CMA, sostituisci AnthropicInferenceAccess con una policy personalizzata che enumeri solo le azioni non-CMA specifiche di cui hai bisogno.
AnthropicLimitedAccess include tutte le azioni di Claude Managed Agents oltre alle azioni di inferenza.
AnthropicSelfHostedEnvironmentAccess è la managed policy più ristretta sufficiente per eseguire un worker di sandbox self-hosted. Associala al principal con cui si autentica il tuo worker di ambiente.
AssumeConsole non è inclusa in AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess o AnthropicSelfHostedEnvironmentAccess. I principal che necessitano dell'accesso alla Claude Console richiedono AnthropicFullAccess oppure una policy personalizzata che conceda aws-external-anthropic:AssumeConsole. Consulta Accesso alla Console.
Concede le autorizzazioni minime per un principal IAM che esegue inferenza su un workspace di produzione:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CreateInference",
"aws-external-anthropic:CountTokens",
"aws-external-anthropic:GetModel",
"aws-external-anthropic:ListModels",
"aws-external-anthropic:GetWorkspace"
],
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
}
]
}Limita un ruolo a un singolo workspace:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "aws-external-anthropic:*",
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
},
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CallWithBearerToken",
"aws-external-anthropic:AssumeConsole"
],
"Resource": "*"
}
]
}Blocca l'elaborazione batch e il caricamento di file su un workspace specifico lasciando disponibile l'inferenza sincrona. Utile quando un workspace gestisce dati Zero Data Retention (ZDR) che non devono persistere lato server. Associa questa policy insieme a una policy Allow come AnthropicInferenceAccess o l'esempio per singolo workspace; da sola, una policy di solo Deny non concede alcuna autorizzazione:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Deny",
"Action": [
"aws-external-anthropic:CreateBatchInference",
"aws-external-anthropic:CreateFile"
],
"Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
}
]
}Concede a un ruolo CI/CD le azioni necessarie per creare e gestire i workspace, senza alcuna autorizzazione di inferenza:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"aws-external-anthropic:CreateWorkspace",
"aws-external-anthropic:GetWorkspace",
"aws-external-anthropic:ListWorkspaces",
"aws-external-anthropic:UpdateWorkspace",
"aws-external-anthropic:ArchiveWorkspace"
],
"Resource": "*"
}
]
}CreateWorkspace e ListWorkspaces sono operazioni con ambito di account. Specificare un ARN di workspace su queste azioni non ha alcun effetto; usa Resource: "*".
Was this page helpful?