---
title: Azioni IAM per Claude Platform on AWS
url: https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions
description: Riferimento delle azioni IAM per controllare l'accesso a Claude Platform on AWS tramite le policy AWS.
---

Claude Platform on AWS utilizza AWS IAM per il controllo degli accessi. Ogni route API corrisponde a un'azione IAM nel namespace `aws-external-anthropic`. Questa pagina elenca tutte le azioni, le route che ciascuna azione autorizza e le "managed policies" (policy gestite) disponibili per i pattern di accesso più comuni. Per la configurazione della piattaforma e l'autenticazione, consulta [Claude Platform on AWS](https://platform.claude.com/docs/it/build-with-claude/claude-platform-on-aws).

## Dettagli del servizio

| Attributo                     | Valore                   |
| ----------------------------- | ------------------------ |
| **Prefisso del servizio IAM** | `aws-external-anthropic` |
| **Tipi di risorsa**           | `workspace`              |

Formato ARN del workspace:

```text wrap
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}
```

La regione dell'ARN è sempre popolata e corrisponde alla regione a cui il workspace è associato. Il segmento della risorsa è l'ID del workspace con tag (`wrkspc_...`), lo stesso valore che passi nell'header `anthropic-workspace-id`.

## Azioni

Le azioni seguono la convenzione AWS `VerbNoun` e applicano una disciplina rigorosa sui verbi, in modo che i wildcard `Get*` e `List*` producano un confine netto di sola lettura.

### Inferenza

| Azione            | Route autorizzate                |
| ----------------- | -------------------------------- |
| `CreateInference` | `POST /v1/messages`              |
| `CountTokens`     | `POST /v1/messages/count_tokens` |

### Elaborazione batch

| Azione                 | Route autorizzate                                                            |
| ---------------------- | ---------------------------------------------------------------------------- |
| `CreateBatchInference` | `POST /v1/messages/batches`                                                  |
| `GetBatchInference`    | `GET /v1/messages/batches/{id}`<br />`GET /v1/messages/batches/{id}/results` |
| `ListBatchInferences`  | `GET /v1/messages/batches`                                                   |
| `CancelBatchInference` | `POST /v1/messages/batches/{id}/cancel`                                      |
| `DeleteBatchInference` | `DELETE /v1/messages/batches/{id}`                                           |

<Note>
  `GetBatchInference` autorizza sia la lettura dei metadati del batch sia il download dei risultati del batch. I wildcard `Get*` delle policy `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` includono questa azione.
</Note>

### Modelli

| Azione       | Route autorizzate     |
| ------------ | --------------------- |
| `GetModel`   | `GET /v1/models/{id}` |
| `ListModels` | `GET /v1/models`      |

### File

| Azione       | Route autorizzate                                      |
| ------------ | ------------------------------------------------------ |
| `CreateFile` | `POST /v1/files`                                       |
| `GetFile`    | `GET /v1/files/{id}`<br />`GET /v1/files/{id}/content` |
| `ListFiles`  | `GET /v1/files`                                        |
| `DeleteFile` | `DELETE /v1/files/{id}`                                |

<Note>
  `GetFile` autorizza sia i metadati sia il download del contenuto. Un principal con accesso in sola lettura può scaricare i byte dei file, non solo elencare i file.
</Note>

### Skill

| Azione        | Route autorizzate                                                                                                                                             |
| ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSkill` | `POST /v1/skills`                                                                                                                                             |
| `GetSkill`    | `GET /v1/skills/{id}`<br />`GET /v1/skills/{id}/versions`<br />`GET /v1/skills/{id}/versions/{version}`<br />`GET /v1/skills/{id}/versions/{version}/content` |
| `ListSkills`  | `GET /v1/skills`                                                                                                                                              |
| `UpdateSkill` | `POST /v1/skills/{id}/versions`<br />`DELETE /v1/skills/{id}/versions/{version}`                                                                              |
| `DeleteSkill` | `DELETE /v1/skills/{id}`                                                                                                                                      |

<Note>
  `GetSkill` autorizza sia i metadati della skill sia il download del contenuto della skill. Un principal con accesso in sola lettura può scaricare i byte delle skill, non solo elencare le skill.
</Note>

<Note>
  La creazione o l'eliminazione di una singola versione di una skill corrisponde a `UpdateSkill`, non a `CreateSkill` o `DeleteSkill`. Una policy che nega `aws-external-anthropic:Delete*` consente comunque l'eliminazione delle versioni, e una policy che nega `aws-external-anthropic:Create*` consente comunque la creazione delle versioni. Nega anche `UpdateSkill` e `CreateSkill` se devi impedire qualsiasi modifica alle skill.
</Note>

### Agenti

| Azione         | Route autorizzate                                         |
| -------------- | --------------------------------------------------------- |
| `CreateAgent`  | `POST /v1/agents`                                         |
| `GetAgent`     | `GET /v1/agents/{id}`<br />`GET /v1/agents/{id}/versions` |
| `ListAgents`   | `GET /v1/agents`                                          |
| `UpdateAgent`  | `POST /v1/agents/{id}`                                    |
| `ArchiveAgent` | `POST /v1/agents/{id}/archive`                            |

<Note>
  Gli agenti supportano solo l'archiviazione, non l'eliminazione definitiva. Una policy che nega `aws-external-anthropic:Delete*` non blocca `ArchiveAgent`. Nega `ArchiveAgent`, `UpdateAgent` e `CreateAgent` se devi impedire qualsiasi modifica agli agenti.
</Note>

### Sessioni

| Azione           | Route autorizzate                                                                                                                                                                                 |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSession`  | `POST /v1/sessions`                                                                                                                                                                               |
| `GetSession`     | `GET /v1/sessions/{id}`<br />`GET /v1/sessions/{id}/events`<br />`GET /v1/sessions/{id}/events/stream`<br />`GET /v1/sessions/{id}/resources`<br />`GET /v1/sessions/{id}/resources/{id}`         |
| `ListSessions`   | `GET /v1/sessions`                                                                                                                                                                                |
| `UpdateSession`  | `POST /v1/sessions/{id}`<br />`POST /v1/sessions/{id}/events`<br />`POST /v1/sessions/{id}/resources`<br />`POST /v1/sessions/{id}/resources/{id}`<br />`DELETE /v1/sessions/{id}/resources/{id}` |
| `ArchiveSession` | `POST /v1/sessions/{id}/archive`                                                                                                                                                                  |
| `DeleteSession`  | `DELETE /v1/sessions/{id}`                                                                                                                                                                        |

<Note>
  `GetSession` autorizza la lettura dei metadati della sessione, dell'intero flusso di eventi (cronologia della conversazione) e delle risorse della sessione. I wildcard `Get*` delle policy `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` includono questa azione.
</Note>

<Note>
  La creazione, l'aggiornamento o l'eliminazione di una singola sotto-risorsa di sessione (eventi o risorse di sessione) corrisponde a `UpdateSession`, non a `CreateSession` o `DeleteSession`. Una policy che nega `aws-external-anthropic:Delete*` consente comunque l'eliminazione delle sotto-risorse, e una policy che nega `aws-external-anthropic:Create*` consente comunque la creazione delle sotto-risorse. Nega anche `UpdateSession`, `CreateSession` e `ArchiveSession` se devi impedire qualsiasi modifica alle sessioni.
</Note>

### Ambienti

| Azione                   | Route autorizzate                                                                                                                                                                                                                                            |
| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `CreateEnvironment`      | `POST /v1/environments`                                                                                                                                                                                                                                      |
| `GetEnvironment`         | `GET /v1/environments/{id}`<br />`GET /v1/environments/{id}/work`<br />`GET /v1/environments/{id}/work/{work_id}`<br />`GET /v1/environments/{id}/work/stats`                                                                                                |
| `ListEnvironments`       | `GET /v1/environments`                                                                                                                                                                                                                                       |
| `UpdateEnvironment`      | `POST /v1/environments/{id}`                                                                                                                                                                                                                                 |
| `ArchiveEnvironment`     | `POST /v1/environments/{id}/archive`                                                                                                                                                                                                                         |
| `DeleteEnvironment`      | `DELETE /v1/environments/{id}`                                                                                                                                                                                                                               |
| `ProcessEnvironmentWork` | `GET /v1/environments/{id}/work/poll`<br />`POST /v1/environments/{id}/work/{work_id}`<br />`POST /v1/environments/{id}/work/{work_id}/ack`<br />`POST /v1/environments/{id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{id}/work/{work_id}/stop` |

<Note>
  Una policy che nega `aws-external-anthropic:Delete*` non blocca `ArchiveEnvironment`. `ProcessEnvironmentWork` non viene intercettata dai wildcard `Create*`, `Update*`, `Delete*` o `Archive*`. Nega anche `ArchiveEnvironment`, `UpdateEnvironment`, `CreateEnvironment` e `ProcessEnvironmentWork` se devi impedire qualsiasi modifica agli ambienti.
</Note>

<Note>
  `ProcessEnvironmentWork` autorizza un worker di [sandbox self-hosted](https://platform.claude.com/docs/it/managed-agents/self-hosted-sandboxes) a eseguire il polling, confermare la ricezione (acknowledge), inviare heartbeat, arrestare e pubblicare i risultati degli elementi di lavoro dell'ambiente. Concedila solo ai principal che eseguono worker di ambienti self-hosted. La policy gestita `AnthropicSelfHostedEnvironmentAccess` include questa azione.
</Note>

### Vault

| Azione         | Route autorizzate                                                                                                                                                                                               |
| -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateVault`  | `POST /v1/vaults`                                                                                                                                                                                               |
| `GetVault`     | `GET /v1/vaults/{id}`<br />`GET /v1/vaults/{id}/credentials`<br />`GET /v1/vaults/{id}/credentials/{id}`                                                                                                        |
| `ListVaults`   | `GET /v1/vaults`                                                                                                                                                                                                |
| `UpdateVault`  | `POST /v1/vaults/{id}`<br />`POST /v1/vaults/{id}/credentials`<br />`POST /v1/vaults/{id}/credentials/{id}`<br />`POST /v1/vaults/{id}/credentials/{id}/archive`<br />`DELETE /v1/vaults/{id}/credentials/{id}` |
| `ArchiveVault` | `POST /v1/vaults/{id}/archive`                                                                                                                                                                                  |
| `DeleteVault`  | `DELETE /v1/vaults/{id}`                                                                                                                                                                                        |

<Note>
  La creazione, l'aggiornamento, l'archiviazione o l'eliminazione di una singola credenziale del vault corrisponde a `UpdateVault`. La lettura di una credenziale corrisponde a `GetVault`. I segreti delle credenziali del vault non vengono esposti: i campi segreti sono di sola scrittura e non vengono mai restituiti da `GetVault` (consulta [Autenticazione con i vault](https://platform.claude.com/docs/it/managed-agents/vaults)). Una policy che nega `aws-external-anthropic:Delete*` consente comunque l'eliminazione delle credenziali, e una policy che nega `aws-external-anthropic:Create*` consente comunque la creazione delle credenziali. Nega anche `UpdateVault`, `CreateVault` e `ArchiveVault` se devi impedire qualsiasi modifica ai vault.
</Note>

### Memory store

| Azione               | Route autorizzate                                                                                                                                                                                                                            |
| -------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateMemoryStore`  | `POST /v1/memory_stores`                                                                                                                                                                                                                     |
| `GetMemoryStore`     | `GET /v1/memory_stores/{id}`<br />`GET /v1/memory_stores/{id}/memories`<br />`GET /v1/memory_stores/{id}/memories/{id}`<br />`GET /v1/memory_stores/{id}/memory_versions`<br />`GET /v1/memory_stores/{id}/memory_versions/{id}`             |
| `ListMemoryStores`   | `GET /v1/memory_stores`                                                                                                                                                                                                                      |
| `UpdateMemoryStore`  | `POST /v1/memory_stores/{id}`<br />`POST /v1/memory_stores/{id}/memories`<br />`POST /v1/memory_stores/{id}/memories/{id}`<br />`DELETE /v1/memory_stores/{id}/memories/{id}`<br />`POST /v1/memory_stores/{id}/memory_versions/{id}/redact` |
| `ArchiveMemoryStore` | `POST /v1/memory_stores/{id}/archive`                                                                                                                                                                                                        |
| `DeleteMemoryStore`  | `DELETE /v1/memory_stores/{id}`                                                                                                                                                                                                              |

<Note>
  `GetMemoryStore` autorizza la lettura dei metadati dello store, di tutte le memorie e della cronologia delle versioni delle memorie. I wildcard `Get*` delle policy `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` includono questa azione.
</Note>

<Note>
  La creazione, l'aggiornamento o l'eliminazione di una singola memoria e la redazione di una versione di memoria corrispondono entrambe a `UpdateMemoryStore`, non a `CreateMemoryStore` o `DeleteMemoryStore`. Una policy che nega `aws-external-anthropic:Delete*` consente comunque l'eliminazione di singole memorie e la redazione delle versioni di memoria, e una policy che nega `aws-external-anthropic:Create*` consente comunque la creazione di singole memorie. Nega anche `UpdateMemoryStore`, `CreateMemoryStore` e `ArchiveMemoryStore` se devi impedire qualsiasi modifica ai memory store.
</Note>

### Webhook

| Azione                | Route autorizzate                                  |
| --------------------- | -------------------------------------------------- |
| `CreateWebhook`       | `POST /v1/webhooks`                                |
| `GetWebhook`          | `GET /v1/webhooks/{id}`                            |
| `ListWebhooks`        | `GET /v1/webhooks`                                 |
| `UpdateWebhook`       | `POST /v1/webhooks/{id}`                           |
| `DeleteWebhook`       | `DELETE /v1/webhooks/{id}`                         |
| `RotateWebhookSecret` | `POST /v1/webhooks/{id}/regenerate_signing_secret` |

<Note>
  I segreti di firma dei webhook sono di sola scrittura. `GetWebhook` restituisce solo i metadati del webhook; non restituisce il segreto di firma.
</Note>

<Note>
  `RotateWebhookSecret` non viene intercettata dai wildcard `aws-external-anthropic:Create*`, `Update*` o `Delete*`. Una policy che nega questi pattern consente comunque la rotazione del segreto. Nega `RotateWebhookSecret`, `UpdateWebhook`, `CreateWebhook` e `DeleteWebhook` se devi impedire qualsiasi modifica ai webhook.
</Note>

### Profili utente

| Azione                           | Route autorizzate                            |
| -------------------------------- | -------------------------------------------- |
| `CreateUserProfile`              | `POST /v1/user_profiles`                     |
| `GetUserProfile`                 | `GET /v1/user_profiles/{id}`                 |
| `ListUserProfiles`               | `GET /v1/user_profiles`                      |
| `UpdateUserProfile`              | `POST /v1/user_profiles/{id}`                |
| `CreateUserProfileEnrollmentUrl` | `POST /v1/user_profiles/{id}/enrollment_url` |

<Note>
  Le azioni sui profili utente hanno ambito a livello di account, come `ListWorkspaces`. Un'istruzione il cui `Resource` è un ARN di workspace non le concede; usa `Resource: "*"`.
</Note>

<Warning>
  La corrispondenza delle azioni IAM non distingue tra maiuscole e minuscole. Il wildcard `aws-external-anthropic:*File` corrisponde a `CreateFile`, `GetFile` e `DeleteFile`, ma non corrisponde a `ListFiles` (che termina in "files", non "file"). Inoltre corrisponde in eccesso a `CreateUserProfile`, `GetUserProfile` e `UpdateUserProfile` perché "Profile" termina in "file". Se intendi concedere o negare solo le azioni della Files API, elencale esplicitamente (`CreateFile`, `GetFile`, `ListFiles`, `DeleteFile`) invece di usare un pattern con suffisso `*File`.
</Warning>

### Workspace

| Azione             | Route autorizzate                                |
| ------------------ | ------------------------------------------------ |
| `CreateWorkspace`  | `POST /v1/organizations/workspaces`              |
| `GetWorkspace`     | `GET /v1/organizations/workspaces/{id}`          |
| `ListWorkspaces`   | `GET /v1/organizations/workspaces`               |
| `UpdateWorkspace`  | `POST /v1/organizations/workspaces/{id}`         |
| `ArchiveWorkspace` | `POST /v1/organizations/workspaces/{id}/archive` |

<Note>
  I workspace supportano solo l'archiviazione, non l'eliminazione definitiva. Una policy che nega `aws-external-anthropic:Delete*` non blocca `ArchiveWorkspace`. Nega `ArchiveWorkspace`, `UpdateWorkspace` e `CreateWorkspace` se devi impedire qualsiasi modifica ai workspace.
</Note>

### Chiavi di crittografia

| Azione        | Route autorizzate                             |
| ------------- | --------------------------------------------- |
| `RegisterKey` | `POST /v1/organizations/external_keys`        |
| `GetKey`      | `GET /v1/organizations/external_keys/{id}`    |
| `ListKeys`    | `GET /v1/organizations/external_keys`         |
| `UpdateKey`   | `POST /v1/organizations/external_keys/{id}`   |
| `DisableKey`  | `DELETE /v1/organizations/external_keys/{id}` |

<Note>
  Queste azioni gestiscono le registrazioni delle ["customer-managed encryption key" (chiavi di crittografia gestite dal cliente), o CMEK](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms#claude-platform-on-aws), della tua organizzazione, ovvero il registro di quali ARN di chiavi AWS KMS sono registrati. Non creano, modificano né disabilitano le chiavi in AWS KMS. `DisableKey` rimuove una registrazione e viene rifiutata finché un qualsiasi workspace utilizza ancora la chiave. `RegisterKey` e `DisableKey` non vengono intercettate dai wildcard `Create*`, `Update*` o `Delete*`; nega `RegisterKey`, `UpdateKey` e `DisableKey` se devi impedire qualsiasi modifica alle registrazioni delle chiavi. In queste route, `{id}` è l'ARN della chiave KMS codificato come URL. L'associazione di una chiave registrata a un workspace è un'operazione sul workspace, autorizzata da `CreateWorkspace` o `UpdateWorkspace`; il principal che associa una chiave necessita anche di `kms:DescribeKey`, `kms:Encrypt` e `kms:Decrypt` su quella chiave (consulta i [prerequisiti](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms#claude-platform-on-aws)). Le azioni sulle chiavi esterne hanno ambito a livello di account: specificare un ARN di workspace su di esse non ha alcun effetto; usa `Resource: "*"`.
</Note>

### Conformità

| Azione                     | Route autorizzate               |
| -------------------------- | ------------------------------- |
| `ListComplianceActivities` | `GET /v1/compliance/activities` |

<Note>
  `ListComplianceActivities` autorizza la lettura dell'[Activity Feed](https://platform.claude.com/docs/it/manage-claude/compliance-activity-feed) della [Compliance API](https://platform.claude.com/docs/it/manage-claude/compliance-api), il log di audit a livello di organizzazione che include gli eventi di trasparenza degli accessi. La route restituisce un errore finché la Compliance API non viene [abilitata per la tua organizzazione](https://platform.claude.com/docs/it/manage-claude/compliance-api-access); l'abilitazione avviene su richiesta tramite il team del tuo account Anthropic. I wildcard `List*` delle policy `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` includono questa azione.
</Note>

<Note>
  `ListComplianceActivities` ha ambito a livello di account, come `ListWorkspaces`. Specificare un ARN di workspace su questa azione non ha alcun effetto; usa `Resource: "*"`.
</Note>

### Destinazioni di telemetria

| Azione                                      | Route autorizzate                                                                |
| ------------------------------------------- | -------------------------------------------------------------------------------- |
| `CreateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations`                                  |
| `GetAccountTelemetryDestination`            | `GET /v1/organizations/telemetry_destinations/{id}`                              |
| `ListAccountTelemetryDestinations`          | `GET /v1/organizations/telemetry_destinations`                                   |
| `UpdateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations/{id}`                             |
| `DeleteAccountTelemetryDestination`         | `DELETE /v1/organizations/telemetry_destinations/{id}`                           |
| `TestAccountTelemetryDestination`           | `POST /v1/organizations/telemetry_destinations/{id}/test`                        |
| `ListAccountTelemetryDestinationWorkspaces` | `GET /v1/organizations/telemetry_destinations/{id}/workspaces`                   |
| `AddTelemetryDestinationWorkspace`          | `POST /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}`   |
| `RemoveTelemetryDestinationWorkspace`       | `DELETE /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` |

<Note>
  Tutte queste azioni, tranne `AddTelemetryDestinationWorkspace` e `RemoveTelemetryDestinationWorkspace`, hanno ambito a livello di account, quindi un ARN di workspace su di esse non ha alcun effetto. Usa `Resource: "*"`. Una destinazione può esportare la telemetria di ogni workspace dell'organizzazione, in ogni regione. Concedi `CreateAccountTelemetryDestination` e `UpdateAccountTelemetryDestination` solo ai principal a cui affideresti tutti questi dati.
</Note>

<Note>
  `AddTelemetryDestinationWorkspace` e `RemoveTelemetryDestinationWorkspace` si applicano al workspace indicato nella route, e solo su una destinazione la cui opzione **Workspaces** è impostata su **Selected**. Per modificare un elenco **All except**, usa `UpdateAccountTelemetryDestination`. Una policy che nega `aws-external-anthropic:Create*`, `Update*` o `Delete*` consente comunque di aggiungere e rimuovere workspace. Per bloccare qualsiasi modifica alle destinazioni, nega anche `AddTelemetryDestinationWorkspace` e `RemoveTelemetryDestinationWorkspace`.
</Note>

### Autenticazione

| Azione                | Route autorizzate |
| --------------------- | ----------------- |
| `CallWithBearerToken` | (nessuna)         |

`CallWithBearerToken` è un permesso a livello di autenticazione che autorizza un principal ad autenticarsi tramite una chiave API (bearer token) anziché tramite AWS SigV4. Non corrisponde a una route. Concedilo insieme alle azioni mappate su route che vuoi che il titolare della chiave API possa eseguire.

### Accesso alla Console

| Azione          | Route autorizzate |
| --------------- | ----------------- |
| `AssumeConsole` | (nessuna)         |

`AssumeConsole` autorizza un principal ad aprire la Claude Console per un workspace di Claude Platform on AWS tramite il flusso di federazione della AWS Console. Non corrisponde a una route. Concedila ai principal che devono poter fare clic su **Open Claude Console** nella pagina del servizio Claude Platform on AWS nella AWS Console. Il ruolo nella Claude Console (Admin o Developer) viene assegnato separatamente dal tuo referente Anthropic; non deriva dai permessi IAM del principal. Consulta [Utilizzo della Claude Console](https://platform.claude.com/docs/it/build-with-claude/claude-platform-on-aws#using-the-claude-console) per il flusso di accesso e le descrizioni dei ruoli.

## Mappatura route-azione

La tabella seguente elenca ogni route di Claude Platform on AWS e l'azione IAM richiesta per chiamarla. Ogni azione IAM autorizza anche le richieste che usano l'header `anthropic-beta`; le varianti beta di una route non richiedono un'azione IAM separata. CloudTrail classifica ogni azione come evento Data (operazioni del data plane ad alto volume) o come evento Management (operazioni del control plane). Le azioni su vault e webhook sono classificate come eventi Management perché contengono segreti (credenziali dei vault e segreti di firma dei webhook) e beneficiano del logging di audit attivo per impostazione predefinita. Anche le azioni su workspace, chiavi esterne, destinazioni di telemetria e conformità sono classificate come eventi Management perché sono operazioni del control plane con ambito a livello di organizzazione. Tutte le altre azioni, incluse inferenza, batch, modelli, file, skill, profili utente e le restanti azioni di Claude Managed Agents, sono classificate come eventi Data.

| Metodo   | Route                                                                     | Azione IAM                                  | Tipo di evento CloudTrail |
| -------- | ------------------------------------------------------------------------- | ------------------------------------------- | ------------------------- |
| `POST`   | `/v1/messages`                                                            | `CreateInference`                           | Data                      |
| `POST`   | `/v1/messages/count_tokens`                                               | `CountTokens`                               | Data                      |
| `POST`   | `/v1/messages/batches`                                                    | `CreateBatchInference`                      | Data                      |
| `GET`    | `/v1/messages/batches`                                                    | `ListBatchInferences`                       | Data                      |
| `GET`    | `/v1/messages/batches/{id}`                                               | `GetBatchInference`                         | Data                      |
| `GET`    | `/v1/messages/batches/{id}/results`                                       | `GetBatchInference`                         | Data                      |
| `POST`   | `/v1/messages/batches/{id}/cancel`                                        | `CancelBatchInference`                      | Data                      |
| `DELETE` | `/v1/messages/batches/{id}`                                               | `DeleteBatchInference`                      | Data                      |
| `GET`    | `/v1/models`                                                              | `ListModels`                                | Data                      |
| `GET`    | `/v1/models/{id}`                                                         | `GetModel`                                  | Data                      |
| `POST`   | `/v1/files`                                                               | `CreateFile`                                | Data                      |
| `GET`    | `/v1/files`                                                               | `ListFiles`                                 | Data                      |
| `GET`    | `/v1/files/{id}`                                                          | `GetFile`                                   | Data                      |
| `GET`    | `/v1/files/{id}/content`                                                  | `GetFile`                                   | Data                      |
| `DELETE` | `/v1/files/{id}`                                                          | `DeleteFile`                                | Data                      |
| `POST`   | `/v1/skills`                                                              | `CreateSkill`                               | Data                      |
| `GET`    | `/v1/skills`                                                              | `ListSkills`                                | Data                      |
| `GET`    | `/v1/skills/{id}`                                                         | `GetSkill`                                  | Data                      |
| `DELETE` | `/v1/skills/{id}`                                                         | `DeleteSkill`                               | Data                      |
| `POST`   | `/v1/skills/{id}/versions`                                                | `UpdateSkill`                               | Data                      |
| `GET`    | `/v1/skills/{id}/versions`                                                | `GetSkill`                                  | Data                      |
| `GET`    | `/v1/skills/{id}/versions/{version}`                                      | `GetSkill`                                  | Data                      |
| `GET`    | `/v1/skills/{id}/versions/{version}/content`                              | `GetSkill`                                  | Data                      |
| `DELETE` | `/v1/skills/{id}/versions/{version}`                                      | `UpdateSkill`                               | Data                      |
| `POST`   | `/v1/user_profiles`                                                       | `CreateUserProfile`                         | Data                      |
| `GET`    | `/v1/user_profiles`                                                       | `ListUserProfiles`                          | Data                      |
| `GET`    | `/v1/user_profiles/{id}`                                                  | `GetUserProfile`                            | Data                      |
| `POST`   | `/v1/user_profiles/{id}`                                                  | `UpdateUserProfile`                         | Data                      |
| `POST`   | `/v1/user_profiles/{id}/enrollment_url`                                   | `CreateUserProfileEnrollmentUrl`            | Data                      |
| `POST`   | `/v1/organizations/workspaces`                                            | `CreateWorkspace`                           | Management                |
| `GET`    | `/v1/organizations/workspaces`                                            | `ListWorkspaces`                            | Management                |
| `GET`    | `/v1/organizations/workspaces/{id}`                                       | `GetWorkspace`                              | Management                |
| `POST`   | `/v1/organizations/workspaces/{id}`                                       | `UpdateWorkspace`                           | Management                |
| `POST`   | `/v1/organizations/workspaces/{id}/archive`                               | `ArchiveWorkspace`                          | Management                |
| `POST`   | `/v1/organizations/external_keys`                                         | `RegisterKey`                               | Management                |
| `GET`    | `/v1/organizations/external_keys`                                         | `ListKeys`                                  | Management                |
| `GET`    | `/v1/organizations/external_keys/{id}`                                    | `GetKey`                                    | Management                |
| `POST`   | `/v1/organizations/external_keys/{id}`                                    | `UpdateKey`                                 | Management                |
| `DELETE` | `/v1/organizations/external_keys/{id}`                                    | `DisableKey`                                | Management                |
| `POST`   | `/v1/organizations/telemetry_destinations`                                | `CreateAccountTelemetryDestination`         | Management                |
| `GET`    | `/v1/organizations/telemetry_destinations`                                | `ListAccountTelemetryDestinations`          | Management                |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}`                           | `GetAccountTelemetryDestination`            | Management                |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}`                           | `UpdateAccountTelemetryDestination`         | Management                |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}`                           | `DeleteAccountTelemetryDestination`         | Management                |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/test`                      | `TestAccountTelemetryDestination`           | Management                |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}/workspaces`                | `ListAccountTelemetryDestinationWorkspaces` | Management                |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `AddTelemetryDestinationWorkspace`          | Management                |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `RemoveTelemetryDestinationWorkspace`       | Management                |
| `GET`    | `/v1/compliance/activities`                                               | `ListComplianceActivities`                  | Management                |
| `POST`   | `/v1/agents`                                                              | `CreateAgent`                               | Data                      |
| `GET`    | `/v1/agents`                                                              | `ListAgents`                                | Data                      |
| `GET`    | `/v1/agents/{id}`                                                         | `GetAgent`                                  | Data                      |
| `POST`   | `/v1/agents/{id}`                                                         | `UpdateAgent`                               | Data                      |
| `POST`   | `/v1/agents/{id}/archive`                                                 | `ArchiveAgent`                              | Data                      |
| `GET`    | `/v1/agents/{id}/versions`                                                | `GetAgent`                                  | Data                      |
| `POST`   | `/v1/sessions`                                                            | `CreateSession`                             | Data                      |
| `GET`    | `/v1/sessions`                                                            | `ListSessions`                              | Data                      |
| `GET`    | `/v1/sessions/{id}`                                                       | `GetSession`                                | Data                      |
| `POST`   | `/v1/sessions/{id}`                                                       | `UpdateSession`                             | Data                      |
| `POST`   | `/v1/sessions/{id}/archive`                                               | `ArchiveSession`                            | Data                      |
| `DELETE` | `/v1/sessions/{id}`                                                       | `DeleteSession`                             | Data                      |
| `GET`    | `/v1/sessions/{id}/events`                                                | `GetSession`                                | Data                      |
| `POST`   | `/v1/sessions/{id}/events`                                                | `UpdateSession`                             | Data                      |
| `GET`    | `/v1/sessions/{id}/events/stream`                                         | `GetSession`                                | Data                      |
| `GET`    | `/v1/sessions/{id}/resources`                                             | `GetSession`                                | Data                      |
| `GET`    | `/v1/sessions/{id}/resources/{id}`                                        | `GetSession`                                | Data                      |
| `POST`   | `/v1/sessions/{id}/resources`                                             | `UpdateSession`                             | Data                      |
| `POST`   | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Data                      |
| `DELETE` | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Data                      |
| `POST`   | `/v1/environments`                                                        | `CreateEnvironment`                         | Data                      |
| `GET`    | `/v1/environments`                                                        | `ListEnvironments`                          | Data                      |
| `GET`    | `/v1/environments/{id}`                                                   | `GetEnvironment`                            | Data                      |
| `POST`   | `/v1/environments/{id}`                                                   | `UpdateEnvironment`                         | Data                      |
| `POST`   | `/v1/environments/{id}/archive`                                           | `ArchiveEnvironment`                        | Data                      |
| `DELETE` | `/v1/environments/{id}`                                                   | `DeleteEnvironment`                         | Data                      |
| `GET`    | `/v1/environments/{id}/work`                                              | `GetEnvironment`                            | Data                      |
| `GET`    | `/v1/environments/{id}/work/poll`                                         | `ProcessEnvironmentWork`                    | Data                      |
| `GET`    | `/v1/environments/{id}/work/{work_id}`                                    | `GetEnvironment`                            | Data                      |
| `GET`    | `/v1/environments/{id}/work/stats`                                        | `GetEnvironment`                            | Data                      |
| `POST`   | `/v1/environments/{id}/work/{work_id}`                                    | `ProcessEnvironmentWork`                    | Data                      |
| `POST`   | `/v1/environments/{id}/work/{work_id}/ack`                                | `ProcessEnvironmentWork`                    | Data                      |
| `POST`   | `/v1/environments/{id}/work/{work_id}/heartbeat`                          | `ProcessEnvironmentWork`                    | Data                      |
| `POST`   | `/v1/environments/{id}/work/{work_id}/stop`                               | `ProcessEnvironmentWork`                    | Data                      |
| `POST`   | `/v1/vaults`                                                              | `CreateVault`                               | Management                |
| `GET`    | `/v1/vaults`                                                              | `ListVaults`                                | Management                |
| `GET`    | `/v1/vaults/{id}`                                                         | `GetVault`                                  | Management                |
| `POST`   | `/v1/vaults/{id}`                                                         | `UpdateVault`                               | Management                |
| `POST`   | `/v1/vaults/{id}/archive`                                                 | `ArchiveVault`                              | Management                |
| `DELETE` | `/v1/vaults/{id}`                                                         | `DeleteVault`                               | Management                |
| `GET`    | `/v1/vaults/{id}/credentials`                                             | `GetVault`                                  | Management                |
| `POST`   | `/v1/vaults/{id}/credentials`                                             | `UpdateVault`                               | Management                |
| `GET`    | `/v1/vaults/{id}/credentials/{id}`                                        | `GetVault`                                  | Management                |
| `POST`   | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Management                |
| `POST`   | `/v1/vaults/{id}/credentials/{id}/archive`                                | `UpdateVault`                               | Management                |
| `DELETE` | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Management                |
| `POST`   | `/v1/memory_stores`                                                       | `CreateMemoryStore`                         | Data                      |
| `GET`    | `/v1/memory_stores`                                                       | `ListMemoryStores`                          | Data                      |
| `GET`    | `/v1/memory_stores/{id}`                                                  | `GetMemoryStore`                            | Data                      |
| `POST`   | `/v1/memory_stores/{id}`                                                  | `UpdateMemoryStore`                         | Data                      |
| `POST`   | `/v1/memory_stores/{id}/archive`                                          | `ArchiveMemoryStore`                        | Data                      |
| `DELETE` | `/v1/memory_stores/{id}`                                                  | `DeleteMemoryStore`                         | Data                      |
| `POST`   | `/v1/memory_stores/{id}/memories`                                         | `UpdateMemoryStore`                         | Data                      |
| `GET`    | `/v1/memory_stores/{id}/memories`                                         | `GetMemoryStore`                            | Data                      |
| `GET`    | `/v1/memory_stores/{id}/memories/{id}`                                    | `GetMemoryStore`                            | Data                      |
| `POST`   | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Data                      |
| `DELETE` | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Data                      |
| `GET`    | `/v1/memory_stores/{id}/memory_versions`                                  | `GetMemoryStore`                            | Data                      |
| `GET`    | `/v1/memory_stores/{id}/memory_versions/{id}`                             | `GetMemoryStore`                            | Data                      |
| `POST`   | `/v1/memory_stores/{id}/memory_versions/{id}/redact`                      | `UpdateMemoryStore`                         | Data                      |
| `GET`    | `/v1/webhooks`                                                            | `ListWebhooks`                              | Management                |
| `GET`    | `/v1/webhooks/{id}`                                                       | `GetWebhook`                                | Management                |
| `POST`   | `/v1/webhooks`                                                            | `CreateWebhook`                             | Management                |
| `POST`   | `/v1/webhooks/{id}`                                                       | `UpdateWebhook`                             | Management                |
| `DELETE` | `/v1/webhooks/{id}`                                                       | `DeleteWebhook`                             | Management                |
| `POST`   | `/v1/webhooks/{id}/regenerate_signing_secret`                             | `RotateWebhookSecret`                       | Management                |

Le route non presenti in questa tabella non sono disponibili su Claude Platform on AWS. Il gateway nega per impostazione predefinita qualsiasi route non elencata qui.

<Note>
  Le route dei workspace, delle chiavi esterne e delle destinazioni di telemetria sono le uniche route della Admin API disponibili su Claude Platform on AWS. Puoi anche creare, aggiornare o archiviare i workspace nella AWS Console oppure, con il ruolo Admin, nella Claude Console. Le chiavi di crittografia possono anche essere registrate e associate nella Claude Console.
</Note>

## Policy gestite

AWS fornisce cinque policy gestite per Claude Platform on AWS. Tutte le policy gestite si applicano a `Resource: "*"`.

| Policy                                 | Concede                                                                                                                                                                                    |
| -------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `AnthropicFullAccess`                  | `aws-external-anthropic:*`                                                                                                                                                                 |
| `AnthropicReadOnlyAccess`              | `Get*`, `List*`, `CallWithBearerToken`                                                                                                                                                     |
| `AnthropicInferenceAccess`             | `Get*`, `List*`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`                                           |
| `AnthropicLimitedAccess`               | Tutte le azioni di `AnthropicInferenceAccess`, più tutte le azioni di Claude Managed Agents (agenti, sessioni, ambienti, vault, memory store, webhook e lavoro degli ambienti self-hosted) |
| `AnthropicSelfHostedEnvironmentAccess` | `GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`                                                                               |

`AnthropicInferenceAccess` è la policy gestita più ristretta sufficiente per eseguire l'inferenza. Copre sia l'inferenza sincrona sia quella batch e, tramite i wildcard `Get*` e `List*`, concede l'accesso in lettura a ogni risorsa API nel namespace, incluse le risorse di Claude Managed Agents (CMA) (agenti, sessioni, ambienti, vault, memory store e webhook). Questo include il download del contenuto dei file tramite `GetFile` (consulta la nota [File](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#files)), il download del contenuto delle skill tramite `GetSkill` (consulta la nota [Skill](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#skills)) e il contenuto delle memorie tramite `GetMemoryStore`. I segreti delle credenziali dei vault e i segreti di firma dei webhook non vengono esposti: quei campi sono di sola scrittura e non vengono mai restituiti da `GetVault` o `GetWebhook` (consulta [Autenticazione con i vault](https://platform.claude.com/docs/it/managed-agents/vaults)). `AnthropicInferenceAccess` non concede la creazione o l'eliminazione di file, la gestione delle skill, la gestione dei profili utente, la modifica dei workspace, la gestione delle chiavi di crittografia, la gestione delle destinazioni di telemetria né alcuna azione di scrittura di Claude Managed Agents (create, update, archive, delete, process o rotate). Per escludere le letture CMA, sostituisci `AnthropicInferenceAccess` con una policy personalizzata che elenchi solo le specifiche azioni non CMA di cui hai bisogno.

<Note>
  `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` includono tutte i wildcard `Get*` e `List*`, che concedono l'accesso in lettura a tutto il contenuto del workspace: byte dei file, contenuto delle skill, risultati dei batch, cronologia delle conversazioni delle sessioni e contenuto delle memorie. I wildcard concedono anche `GetKey` e `ListKeys`, che leggono le configurazioni delle chiavi di crittografia registrate dell'organizzazione (ARN delle chiavi e metadati, mai il materiale delle chiavi). Concedono inoltre `GetUserProfile` e `ListUserProfiles`, con ambito a livello di account, che leggono i profili utente. Il wildcard `List*` concede anche `ListComplianceActivities`, che legge l'[Activity Feed](https://platform.claude.com/docs/it/manage-claude/compliance-activity-feed) di conformità dell'organizzazione una volta che la Compliance API è abilitata per l'organizzazione (consulta [Conformità](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#compliance)). I wildcard concedono inoltre `GetAccountTelemetryDestination`, `ListAccountTelemetryDestinations` e `ListAccountTelemetryDestinationWorkspaces`, che leggono le destinazioni di telemetria dell'organizzazione ma mai i valori dei loro header. I segreti delle credenziali dei vault e i segreti di firma dei webhook non vengono esposti; questi campi sono di sola scrittura e non vengono mai restituiti da `GetVault` o `GetWebhook`. Se il tuo principal non deve leggere il contenuto esistente, usa una policy personalizzata che elenchi solo le azioni di cui hai bisogno.
</Note>

`AnthropicLimitedAccess` include tutte le azioni di Claude Managed Agents oltre alle azioni di inferenza.

`AnthropicSelfHostedEnvironmentAccess` è la policy gestita più ristretta sufficiente per eseguire un worker di [sandbox self-hosted](https://platform.claude.com/docs/it/managed-agents/self-hosted-sandboxes). Associala al principal con cui si autentica il worker del tuo ambiente.

`AssumeConsole` non è inclusa in `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess`, `AnthropicLimitedAccess` o `AnthropicSelfHostedEnvironmentAccess`. I principal che necessitano dell'accesso alla Claude Console richiedono `AnthropicFullAccess` oppure una policy personalizzata che conceda `aws-external-anthropic:AssumeConsole`. Consulta [Accesso alla Console](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#console-access).

<Note>
  `CreateInference` e `CreateBatchInference` sono azioni separate. Negare una non blocca l'altra. Se intendi impedire tutte le chiamate al modello, negale entrambe.
</Note>

## Policy di esempio

### Inferenza sincrona su un singolo workspace

Concede i permessi minimi per un principal IAM che esegue l'inferenza su un workspace di produzione:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  `ListWorkspaces` ha ambito a livello di account (consulta [Automazione del provisioning](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#provisioning-automation)). Se il tuo service account deve elencare i workspace, aggiungi un'istruzione `Allow` separata per `ListWorkspaces` con `Resource: "*"`.

  Questa policy presuppone l'autenticazione AWS SigV4. Se il principal si autentica con una chiave API, aggiungi un'istruzione `Allow` separata per `aws-external-anthropic:CallWithBearerToken` con `Resource: "*"`. `CallWithBearerToken` è un'azione senza route che non si lega a un ARN di workspace. Consulta [Isolamento del workspace per cliente](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#per-customer-workspace-isolation) per il pattern a due istruzioni.
</Note>

### Isolamento del workspace per cliente

Limita un ruolo a un singolo workspace:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}
```

<Note>
  Il wildcard `aws-external-anthropic:*` nella prima istruzione include azioni con ambito a livello di account (`CreateWorkspace`, `ListWorkspaces`, `ListComplianceActivities`, le azioni sulle chiavi esterne, le azioni sulle destinazioni di telemetria con ambito a livello di account e le azioni sui profili utente) che il vincolo sull'ARN del workspace filtra silenziosamente. Ciò è coerente con l'intento di "isolamento" (il ruolo non può creare workspace, enumerare workspace, gestire le registrazioni delle chiavi di crittografia, leggere l'Activity Feed di conformità né leggere o gestire i profili utente, e non può creare, leggere o modificare destinazioni di telemetria; può comunque associare una chiave già registrata al proprio workspace tramite `UpdateWorkspace` e aggiungere il proprio workspace a una destinazione o rimuoverlo da una, dato l'ID della destinazione), ma la policy contiene autorizzazioni che non hanno alcun effetto. Se il ruolo necessita dei profili utente, aggiungi un'istruzione `Allow` separata per le azioni sui profili utente con `Resource: "*"`. Consulta [Automazione del provisioning](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#provisioning-automation) per il pattern con ambito a livello di account.

  `CallWithBearerToken` e `AssumeConsole` sono azioni senza route che non si legano a un ARN di workspace. La seconda istruzione le concede su `Resource: "*"` in modo che il ruolo possa autenticarsi con una chiave API e aprire la Claude Console. Ometti questa istruzione se il ruolo usa solo SigV4 e non necessita dell'accesso alla Claude Console.
</Note>

### Blocco delle funzionalità per un workspace sensibile a ZDR

Blocca l'elaborazione batch e il caricamento di file su un workspace specifico lasciando disponibile l'inferenza sincrona. Utile quando un workspace gestisce dati ["Zero Data Retention" (conservazione zero dei dati), o ZDR](https://platform.claude.com/docs/it/manage-claude/api-and-data-retention), che non devono persistere lato server. Associa questa policy insieme a una policy Allow come `AnthropicInferenceAccess` o l'[esempio a singolo workspace](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#synchronous-inference-on-a-single-workspace); da sola, una policy di solo Deny non concede alcun permesso:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  Questo deny blocca solo la creazione. Le altre azioni su file e batch non vengono negate a meno che non le elenchi anch'esse. Per un blocco completo in cui il workspace non deve mai contenere file o batch, nega anche `aws-external-anthropic:GetFile`, `aws-external-anthropic:ListFiles`, `aws-external-anthropic:DeleteFile`, `aws-external-anthropic:GetBatchInference`, `aws-external-anthropic:ListBatchInferences`, `aws-external-anthropic:CancelBatchInference` e `aws-external-anthropic:DeleteBatchInference`.
</Note>

### Automazione del provisioning

<Note>
  Oltre all'Admin API, puoi creare, aggiornare o archiviare i workspace nella AWS Console oppure, con il ruolo Admin, nella Claude Console.
</Note>

Concede a un ruolo CI/CD le azioni necessarie per creare e gestire i workspace, senza alcun permesso di inferenza:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}
```

`CreateWorkspace` e `ListWorkspaces` sono operazioni con ambito a livello di account. Specificare un ARN di workspace su queste azioni non ha alcun effetto; usa `Resource: "*"`.

## Vedi anche

* [Claude Platform on AWS](https://platform.claude.com/docs/it/build-with-claude/claude-platform-on-aws) per la configurazione, l'autenticazione e la panoramica della piattaforma
* [AWS IAM User Guide](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) per la sintassi delle policy IAM e la logica di valutazione
* [AWS CloudTrail User Guide](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/) per la configurazione della registrazione di audit