---
title: Claude Platform on AWS の IAM アクション
url: https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions
description: AWS ポリシーを通じて Claude Platform on AWS へのアクセスを制御するための IAM アクションリファレンス。
---

Claude Platform on AWS はアクセス制御に AWS IAM を使用します。すべての API ルートは `aws-external-anthropic` 名前空間内の IAM アクションにマッピングされます。このページでは、すべてのアクション、各アクションが認可するルート、および一般的なアクセスパターン向けに用意されたマネージドポリシーを一覧で示します。プラットフォームのセットアップと認証については、[Claude Platform on AWS](https://platform.claude.com/docs/ja/build-with-claude/claude-platform-on-aws) を参照してください。

## サービスの詳細

| 属性                  | 値                        |
| ------------------- | ------------------------ |
| **IAM サービスプレフィックス** | `aws-external-anthropic` |
| **リソースタイプ**         | `workspace`              |

ワークスペース ARN の形式：

```text wrap
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}
```

ARN のリージョンは常に設定されており、ワークスペースがバインドされているリージョンと一致します。リソースセグメントはタグ付きワークスペース ID（`wrkspc_...`）であり、`anthropic-workspace-id` ヘッダーで渡す値と同じです。

## アクション

アクションは AWS の `VerbNoun` 規約に従い、`Get*` および `List*` ワイルドカードが明確な読み取り専用の境界を形成するよう、動詞の使い分けを徹底しています。

### 推論

| アクション             | 認可されるルート                         |
| ----------------- | -------------------------------- |
| `CreateInference` | `POST /v1/messages`              |
| `CountTokens`     | `POST /v1/messages/count_tokens` |

### バッチ処理

| アクション                  | 認可されるルート                                                                     |
| ---------------------- | ---------------------------------------------------------------------------- |
| `CreateBatchInference` | `POST /v1/messages/batches`                                                  |
| `GetBatchInference`    | `GET /v1/messages/batches/{id}`<br />`GET /v1/messages/batches/{id}/results` |
| `ListBatchInferences`  | `GET /v1/messages/batches`                                                   |
| `CancelBatchInference` | `POST /v1/messages/batches/{id}/cancel`                                      |
| `DeleteBatchInference` | `DELETE /v1/messages/batches/{id}`                                           |

<Note>
  `GetBatchInference` は、バッチメタデータの読み取りとバッチ結果のダウンロードの両方を認可します。`AnthropicReadOnlyAccess`、`AnthropicInferenceAccess`、および `AnthropicLimitedAccess` ポリシーの `Get*` ワイルドカードにはこのアクションが含まれます。
</Note>

### モデル

| アクション        | 認可されるルート              |
| ------------ | --------------------- |
| `GetModel`   | `GET /v1/models/{id}` |
| `ListModels` | `GET /v1/models`      |

### ファイル

| アクション        | 認可されるルート                                               |
| ------------ | ------------------------------------------------------ |
| `CreateFile` | `POST /v1/files`                                       |
| `GetFile`    | `GET /v1/files/{id}`<br />`GET /v1/files/{id}/content` |
| `ListFiles`  | `GET /v1/files`                                        |
| `DeleteFile` | `DELETE /v1/files/{id}`                                |

<Note>
  `GetFile` はメタデータとコンテンツのダウンロードの両方を認可します。読み取り専用アクセスを持つプリンシパルは、ファイルを一覧表示するだけでなく、ファイルのバイトデータをダウンロードできます。
</Note>

### スキル

| アクション         | 認可されるルート                                                                                                                                                      |
| ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSkill` | `POST /v1/skills`                                                                                                                                             |
| `GetSkill`    | `GET /v1/skills/{id}`<br />`GET /v1/skills/{id}/versions`<br />`GET /v1/skills/{id}/versions/{version}`<br />`GET /v1/skills/{id}/versions/{version}/content` |
| `ListSkills`  | `GET /v1/skills`                                                                                                                                              |
| `UpdateSkill` | `POST /v1/skills/{id}/versions`<br />`DELETE /v1/skills/{id}/versions/{version}`                                                                              |
| `DeleteSkill` | `DELETE /v1/skills/{id}`                                                                                                                                      |

<Note>
  `GetSkill` はスキルメタデータとスキルコンテンツのダウンロードの両方を認可します。読み取り専用アクセスを持つプリンシパルは、スキルを一覧表示するだけでなく、スキルのバイトデータをダウンロードできます。
</Note>

<Note>
  個々のスキルバージョンの作成または削除は、`CreateSkill` や `DeleteSkill` ではなく `UpdateSkill` にマッピングされます。`aws-external-anthropic:Delete*` を拒否するポリシーでもバージョンの削除は引き続き許可され、`aws-external-anthropic:Create*` を拒否するポリシーでもバージョンの作成は引き続き許可されます。スキルのあらゆる変更を防ぐ必要がある場合は、`UpdateSkill` と `CreateSkill` も拒否してください。
</Note>

### エージェント

| アクション          | 認可されるルート                                                  |
| -------------- | --------------------------------------------------------- |
| `CreateAgent`  | `POST /v1/agents`                                         |
| `GetAgent`     | `GET /v1/agents/{id}`<br />`GET /v1/agents/{id}/versions` |
| `ListAgents`   | `GET /v1/agents`                                          |
| `UpdateAgent`  | `POST /v1/agents/{id}`                                    |
| `ArchiveAgent` | `POST /v1/agents/{id}/archive`                            |

<Note>
  エージェントはアーカイブのみをサポートし、完全削除はサポートしません。`aws-external-anthropic:Delete*` を拒否するポリシーは `ArchiveAgent` をブロックしません。エージェントのあらゆる変更を防ぐ必要がある場合は、`ArchiveAgent`、`UpdateAgent`、および `CreateAgent` を拒否してください。
</Note>

### セッション

| アクション            | 認可されるルート                                                                                                                                                                                          |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSession`  | `POST /v1/sessions`                                                                                                                                                                               |
| `GetSession`     | `GET /v1/sessions/{id}`<br />`GET /v1/sessions/{id}/events`<br />`GET /v1/sessions/{id}/events/stream`<br />`GET /v1/sessions/{id}/resources`<br />`GET /v1/sessions/{id}/resources/{id}`         |
| `ListSessions`   | `GET /v1/sessions`                                                                                                                                                                                |
| `UpdateSession`  | `POST /v1/sessions/{id}`<br />`POST /v1/sessions/{id}/events`<br />`POST /v1/sessions/{id}/resources`<br />`POST /v1/sessions/{id}/resources/{id}`<br />`DELETE /v1/sessions/{id}/resources/{id}` |
| `ArchiveSession` | `POST /v1/sessions/{id}/archive`                                                                                                                                                                  |
| `DeleteSession`  | `DELETE /v1/sessions/{id}`                                                                                                                                                                        |

<Note>
  `GetSession` は、セッションメタデータ、完全なイベントストリーム（会話履歴）、およびセッションリソースの読み取りを認可します。`AnthropicReadOnlyAccess`、`AnthropicInferenceAccess`、および `AnthropicLimitedAccess` ポリシーの `Get*` ワイルドカードにはこのアクションが含まれます。
</Note>

<Note>
  個々のセッションサブリソース（イベントまたはセッションリソース）の作成、更新、または削除は、`CreateSession` や `DeleteSession` ではなく `UpdateSession` にマッピングされます。`aws-external-anthropic:Delete*` を拒否するポリシーでもサブリソースの削除は引き続き許可され、`aws-external-anthropic:Create*` を拒否するポリシーでもサブリソースの作成は引き続き許可されます。セッションのあらゆる変更を防ぐ必要がある場合は、`UpdateSession`、`CreateSession`、および `ArchiveSession` も拒否してください。
</Note>

### 環境

| アクション                    | 認可されるルート                                                                                                                                                                                                                                                     |
| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `CreateEnvironment`      | `POST /v1/environments`                                                                                                                                                                                                                                      |
| `GetEnvironment`         | `GET /v1/environments/{id}`<br />`GET /v1/environments/{id}/work`<br />`GET /v1/environments/{id}/work/{work_id}`<br />`GET /v1/environments/{id}/work/stats`                                                                                                |
| `ListEnvironments`       | `GET /v1/environments`                                                                                                                                                                                                                                       |
| `UpdateEnvironment`      | `POST /v1/environments/{id}`                                                                                                                                                                                                                                 |
| `ArchiveEnvironment`     | `POST /v1/environments/{id}/archive`                                                                                                                                                                                                                         |
| `DeleteEnvironment`      | `DELETE /v1/environments/{id}`                                                                                                                                                                                                                               |
| `ProcessEnvironmentWork` | `GET /v1/environments/{id}/work/poll`<br />`POST /v1/environments/{id}/work/{work_id}`<br />`POST /v1/environments/{id}/work/{work_id}/ack`<br />`POST /v1/environments/{id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{id}/work/{work_id}/stop` |

<Note>
  `aws-external-anthropic:Delete*` を拒否するポリシーは `ArchiveEnvironment` をブロックしません。`ProcessEnvironmentWork` は `Create*`、`Update*`、`Delete*`、または `Archive*` ワイルドカードにはマッチしません。環境のあらゆる変更を防ぐ必要がある場合は、`ArchiveEnvironment`、`UpdateEnvironment`、`CreateEnvironment`、および `ProcessEnvironmentWork` も拒否してください。
</Note>

<Note>
  `ProcessEnvironmentWork` は、[セルフホスト型サンドボックス](https://platform.claude.com/docs/ja/managed-agents/self-hosted-sandboxes)ワーカーが環境の作業項目に対してポーリング、確認応答、ハートビート、停止、および結果の投稿を行うことを認可します。セルフホスト型環境ワーカーを実行するプリンシパルにのみ付与してください。`AnthropicSelfHostedEnvironmentAccess` マネージドポリシーにはこのアクションが含まれます。
</Note>

### ボールト

| アクション          | 認可されるルート                                                                                                                                                                                                        |
| -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateVault`  | `POST /v1/vaults`                                                                                                                                                                                               |
| `GetVault`     | `GET /v1/vaults/{id}`<br />`GET /v1/vaults/{id}/credentials`<br />`GET /v1/vaults/{id}/credentials/{id}`                                                                                                        |
| `ListVaults`   | `GET /v1/vaults`                                                                                                                                                                                                |
| `UpdateVault`  | `POST /v1/vaults/{id}`<br />`POST /v1/vaults/{id}/credentials`<br />`POST /v1/vaults/{id}/credentials/{id}`<br />`POST /v1/vaults/{id}/credentials/{id}/archive`<br />`DELETE /v1/vaults/{id}/credentials/{id}` |
| `ArchiveVault` | `POST /v1/vaults/{id}/archive`                                                                                                                                                                                  |
| `DeleteVault`  | `DELETE /v1/vaults/{id}`                                                                                                                                                                                        |

<Note>
  個々のボールト認証情報の作成、更新、アーカイブ、または削除は `UpdateVault` にマッピングされます。認証情報の読み取りは `GetVault` にマッピングされます。ボールト認証情報のシークレットは公開されません。シークレットフィールドは書き込み専用であり、`GetVault` によって返されることはありません（[ボールトによる認証](https://platform.claude.com/docs/ja/managed-agents/vaults)を参照）。`aws-external-anthropic:Delete*` を拒否するポリシーでも認証情報の削除は引き続き許可され、`aws-external-anthropic:Create*` を拒否するポリシーでも認証情報の作成は引き続き許可されます。ボールトのあらゆる変更を防ぐ必要がある場合は、`UpdateVault`、`CreateVault`、および `ArchiveVault` も拒否してください。
</Note>

### メモリストア

| アクション                | 認可されるルート                                                                                                                                                                                                                                     |
| -------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateMemoryStore`  | `POST /v1/memory_stores`                                                                                                                                                                                                                     |
| `GetMemoryStore`     | `GET /v1/memory_stores/{id}`<br />`GET /v1/memory_stores/{id}/memories`<br />`GET /v1/memory_stores/{id}/memories/{id}`<br />`GET /v1/memory_stores/{id}/memory_versions`<br />`GET /v1/memory_stores/{id}/memory_versions/{id}`             |
| `ListMemoryStores`   | `GET /v1/memory_stores`                                                                                                                                                                                                                      |
| `UpdateMemoryStore`  | `POST /v1/memory_stores/{id}`<br />`POST /v1/memory_stores/{id}/memories`<br />`POST /v1/memory_stores/{id}/memories/{id}`<br />`DELETE /v1/memory_stores/{id}/memories/{id}`<br />`POST /v1/memory_stores/{id}/memory_versions/{id}/redact` |
| `ArchiveMemoryStore` | `POST /v1/memory_stores/{id}/archive`                                                                                                                                                                                                        |
| `DeleteMemoryStore`  | `DELETE /v1/memory_stores/{id}`                                                                                                                                                                                                              |

<Note>
  `GetMemoryStore` は、ストアメタデータ、すべてのメモリ、およびメモリバージョン履歴の読み取りを認可します。`AnthropicReadOnlyAccess`、`AnthropicInferenceAccess`、および `AnthropicLimitedAccess` ポリシーの `Get*` ワイルドカードにはこのアクションが含まれます。
</Note>

<Note>
  個々のメモリの作成、更新、または削除、およびメモリバージョンの墨消しは、いずれも `CreateMemoryStore` や `DeleteMemoryStore` ではなく `UpdateMemoryStore` にマッピングされます。`aws-external-anthropic:Delete*` を拒否するポリシーでも個々のメモリの削除とメモリバージョンの墨消しは引き続き許可され、`aws-external-anthropic:Create*` を拒否するポリシーでも個々のメモリの作成は引き続き許可されます。メモリストアのあらゆる変更を防ぐ必要がある場合は、`UpdateMemoryStore`、`CreateMemoryStore`、および `ArchiveMemoryStore` も拒否してください。
</Note>

### Webhook

| アクション                 | 認可されるルート                                           |
| --------------------- | -------------------------------------------------- |
| `CreateWebhook`       | `POST /v1/webhooks`                                |
| `GetWebhook`          | `GET /v1/webhooks/{id}`                            |
| `ListWebhooks`        | `GET /v1/webhooks`                                 |
| `UpdateWebhook`       | `POST /v1/webhooks/{id}`                           |
| `DeleteWebhook`       | `DELETE /v1/webhooks/{id}`                         |
| `RotateWebhookSecret` | `POST /v1/webhooks/{id}/regenerate_signing_secret` |

<Note>
  Webhook の署名シークレットは書き込み専用です。`GetWebhook` は Webhook のメタデータのみを返し、署名シークレットは返しません。
</Note>

<Note>
  `RotateWebhookSecret` は `aws-external-anthropic:Create*`、`Update*`、または `Delete*` ワイルドカードにはマッチしません。これらのパターンを拒否するポリシーでもシークレットのローテーションは引き続き許可されます。Webhook のあらゆる変更を防ぐ必要がある場合は、`RotateWebhookSecret`、`UpdateWebhook`、`CreateWebhook`、および `DeleteWebhook` を拒否してください。
</Note>

### ユーザープロファイル

| アクション                            | 認可されるルート                                     |
| -------------------------------- | -------------------------------------------- |
| `CreateUserProfile`              | `POST /v1/user_profiles`                     |
| `GetUserProfile`                 | `GET /v1/user_profiles/{id}`                 |
| `ListUserProfiles`               | `GET /v1/user_profiles`                      |
| `UpdateUserProfile`              | `POST /v1/user_profiles/{id}`                |
| `CreateUserProfileEnrollmentUrl` | `POST /v1/user_profiles/{id}/enrollment_url` |

<Note>
  ユーザープロファイルのアクションは、`ListWorkspaces` と同様にアカウントスコープです。`Resource` がワークスペース ARN であるステートメントではこれらは付与されません。`Resource: "*"` を使用してください。
</Note>

<Warning>
  IAM アクションのマッチングは大文字と小文字を区別しません。ワイルドカード `aws-external-anthropic:*File` は `CreateFile`、`GetFile`、および `DeleteFile` にマッチしますが、`ListFiles`（末尾が「file」ではなく「files」）にはマッチしません。また、「Profile」の末尾が「file」であるため、`CreateUserProfile`、`GetUserProfile`、および `UpdateUserProfile` にも過剰にマッチします。Files API のアクションのみを付与または拒否したい場合は、`*File` サフィックスパターンを使用するのではなく、明示的に列挙してください（`CreateFile`、`GetFile`、`ListFiles`、`DeleteFile`）。
</Warning>

### ワークスペース

| アクション              | 認可されるルート                                         |
| ------------------ | ------------------------------------------------ |
| `CreateWorkspace`  | `POST /v1/organizations/workspaces`              |
| `GetWorkspace`     | `GET /v1/organizations/workspaces/{id}`          |
| `ListWorkspaces`   | `GET /v1/organizations/workspaces`               |
| `UpdateWorkspace`  | `POST /v1/organizations/workspaces/{id}`         |
| `ArchiveWorkspace` | `POST /v1/organizations/workspaces/{id}/archive` |

<Note>
  ワークスペースはアーカイブのみをサポートし、完全削除はサポートしません。`aws-external-anthropic:Delete*` を拒否するポリシーは `ArchiveWorkspace` をブロックしません。ワークスペースのあらゆる変更を防ぐ必要がある場合は、`ArchiveWorkspace`、`UpdateWorkspace`、および `CreateWorkspace` を拒否してください。
</Note>

### 暗号化キー

| アクション         | 認可されるルート                                      |
| ------------- | --------------------------------------------- |
| `RegisterKey` | `POST /v1/organizations/external_keys`        |
| `GetKey`      | `GET /v1/organizations/external_keys/{id}`    |
| `ListKeys`    | `GET /v1/organizations/external_keys`         |
| `UpdateKey`   | `POST /v1/organizations/external_keys/{id}`   |
| `DisableKey`  | `DELETE /v1/organizations/external_keys/{id}` |

<Note>
  これらのアクションは、組織の[カスタマーマネージド暗号化キー（CMEK）](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#claude-platform-on-aws)の登録、つまりどの AWS KMS キー ARN が登録されているかの記録を管理します。AWS KMS 内のキーを作成、変更、または無効化するものではありません。`DisableKey` は登録を削除しますが、いずれかのワークスペースがまだそのキーを使用している間は拒否されます。`RegisterKey` と `DisableKey` は `Create*`、`Update*`、または `Delete*` ワイルドカードにはマッチしません。キー登録へのあらゆる変更を防ぐ必要がある場合は、`RegisterKey`、`UpdateKey`、および `DisableKey` を拒否してください。これらのルートでは、`{id}` は URL エンコードされた KMS キー ARN です。登録済みのキーをワークスペースにアタッチすることはワークスペース操作であり、`CreateWorkspace` または `UpdateWorkspace` によって認可されます。キーをアタッチするプリンシパルには、そのキーに対する `kms:DescribeKey`、`kms:Encrypt`、および `kms:Decrypt` も必要です（[前提条件](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#claude-platform-on-aws)を参照）。外部キーアクションはアカウントスコープです。これらにワークスペース ARN を指定しても効果はありません。`Resource: "*"` を使用してください。
</Note>

### コンプライアンス

| アクション                      | 認可されるルート                        |
| -------------------------- | ------------------------------- |
| `ListComplianceActivities` | `GET /v1/compliance/activities` |

<Note>
  `ListComplianceActivities` は、[Compliance API](https://platform.claude.com/docs/ja/manage-claude/compliance-api) の[アクティビティフィード](https://platform.claude.com/docs/ja/manage-claude/compliance-activity-feed)、つまりアクセス透明性イベントを含む組織全体の監査ログの読み取りを認可します。このルートは、Compliance API が[組織で有効化される](https://platform.claude.com/docs/ja/manage-claude/compliance-api-access)までエラーを返します。有効化は Anthropic アカウントチームを通じたリクエストに基づいて行われます。`AnthropicReadOnlyAccess`、`AnthropicInferenceAccess`、および `AnthropicLimitedAccess` ポリシーの `List*` ワイルドカードにはこのアクションが含まれます。
</Note>

<Note>
  `ListComplianceActivities` は `ListWorkspaces` と同様にアカウントスコープです。このアクションにワークスペース ARN を指定しても効果はありません。`Resource: "*"` を使用してください。
</Note>

### テレメトリ送信先

| アクション                                       | 認可されるルート                                                                         |
| ------------------------------------------- | -------------------------------------------------------------------------------- |
| `CreateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations`                                  |
| `GetAccountTelemetryDestination`            | `GET /v1/organizations/telemetry_destinations/{id}`                              |
| `ListAccountTelemetryDestinations`          | `GET /v1/organizations/telemetry_destinations`                                   |
| `UpdateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations/{id}`                             |
| `DeleteAccountTelemetryDestination`         | `DELETE /v1/organizations/telemetry_destinations/{id}`                           |
| `TestAccountTelemetryDestination`           | `POST /v1/organizations/telemetry_destinations/{id}/test`                        |
| `ListAccountTelemetryDestinationWorkspaces` | `GET /v1/organizations/telemetry_destinations/{id}/workspaces`                   |
| `AddTelemetryDestinationWorkspace`          | `POST /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}`   |
| `RemoveTelemetryDestinationWorkspace`       | `DELETE /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` |

<Note>
  `AddTelemetryDestinationWorkspace`と`RemoveTelemetryDestinationWorkspace`を除くこれらのすべてのアクションはアカウントスコープであるため、これらにワークスペースARNを指定しても効果はありません。`Resource: "*"`を使用してください。送信先は、すべてのリージョンにある組織のすべてのワークスペースのテレメトリをエクスポートできます。`CreateAccountTelemetryDestination`と`UpdateAccountTelemetryDestination`は、そのテレメトリのすべてを任せられる信頼できるプリンシパルにのみ付与してください。
</Note>

<Note>
  `AddTelemetryDestinationWorkspace`と`RemoveTelemetryDestinationWorkspace`はルート内のワークスペースに適用され、**Workspaces**オプションが**Selected**になっている送信先でのみ機能します。**All except**リストを変更するには、`UpdateAccountTelemetryDestination`を使用してください。`aws-external-anthropic:Create*`、`Update*`、`Delete*`を拒否するポリシーでも、ワークスペースの追加と削除は許可されます。送信先へのあらゆる変更をブロックするには、`AddTelemetryDestinationWorkspace`と`RemoveTelemetryDestinationWorkspace`も拒否してください。
</Note>

### 認証

| アクション                 | 認可されるルート |
| --------------------- | -------- |
| `CallWithBearerToken` | （なし）     |

`CallWithBearerToken` は、プリンシパルが AWS SigV4 ではなく APIキー（ベアラートークン）を通じて認証することを認可する、認証レイヤーの権限です。ルートにはマッピングされません。APIキーの保有者に実行させたいルートマッピング済みアクションと併せて付与してください。

### コンソールアクセス

| アクション           | 認可されるルート |
| --------------- | -------- |
| `AssumeConsole` | （なし）     |

`AssumeConsole` は、プリンシパルが AWS コンソールのフェデレーションフローを通じて Claude Platform on AWS ワークスペースの Claude Console を開くことを認可します。ルートにはマッピングされません。AWS コンソールの Claude Platform on AWS サービスページで **Open Claude Console** をクリックできるようにすべきプリンシパルに付与してください。Claude Console のロール（Admin または Developer）は Anthropic アカウント担当者によって別途割り当てられ、プリンシパルの IAM 権限から導出されるものではありません。サインインフローとロールの説明については、[Claude Console の使用](https://platform.claude.com/docs/ja/build-with-claude/claude-platform-on-aws#using-the-claude-console)を参照してください。

## ルートからアクションへのマッピング

次の表は、Claude Platform on AWS 上のすべてのルートと、それを呼び出すために必要な IAM アクションを一覧で示します。各 IAM アクションは `anthropic-beta` ヘッダーを使用するリクエストも認可します。ルートのベータバリアントに別個の IAM アクションは必要ありません。CloudTrail は各アクションをデータイベント（大量のデータプレーン操作）または管理イベント（コントロールプレーン操作）のいずれかに分類します。ボールトおよび Webhook のアクションは、シークレット（ボールト認証情報と Webhook 署名シークレット）を保持しており、デフォルトで有効な監査ログの恩恵を受けるため、管理イベントに分類されます。ワークスペース、外部キー、テレメトリ送信先、およびコンプライアンスのアクションも、組織スコープのコントロールプレーン操作であるため、管理イベントに分類されます。推論、バッチ、モデル、ファイル、スキル、ユーザープロファイル、および残りの Claude Managed Agents アクションを含むその他すべてのアクションは、データイベントに分類されます。

| メソッド     | ルート                                                                       | IAM アクション                                   | CloudTrail イベントタイプ |
| -------- | ------------------------------------------------------------------------- | ------------------------------------------- | ------------------ |
| `POST`   | `/v1/messages`                                                            | `CreateInference`                           | データ                |
| `POST`   | `/v1/messages/count_tokens`                                               | `CountTokens`                               | データ                |
| `POST`   | `/v1/messages/batches`                                                    | `CreateBatchInference`                      | データ                |
| `GET`    | `/v1/messages/batches`                                                    | `ListBatchInferences`                       | データ                |
| `GET`    | `/v1/messages/batches/{id}`                                               | `GetBatchInference`                         | データ                |
| `GET`    | `/v1/messages/batches/{id}/results`                                       | `GetBatchInference`                         | データ                |
| `POST`   | `/v1/messages/batches/{id}/cancel`                                        | `CancelBatchInference`                      | データ                |
| `DELETE` | `/v1/messages/batches/{id}`                                               | `DeleteBatchInference`                      | データ                |
| `GET`    | `/v1/models`                                                              | `ListModels`                                | データ                |
| `GET`    | `/v1/models/{id}`                                                         | `GetModel`                                  | データ                |
| `POST`   | `/v1/files`                                                               | `CreateFile`                                | データ                |
| `GET`    | `/v1/files`                                                               | `ListFiles`                                 | データ                |
| `GET`    | `/v1/files/{id}`                                                          | `GetFile`                                   | データ                |
| `GET`    | `/v1/files/{id}/content`                                                  | `GetFile`                                   | データ                |
| `DELETE` | `/v1/files/{id}`                                                          | `DeleteFile`                                | データ                |
| `POST`   | `/v1/skills`                                                              | `CreateSkill`                               | データ                |
| `GET`    | `/v1/skills`                                                              | `ListSkills`                                | データ                |
| `GET`    | `/v1/skills/{id}`                                                         | `GetSkill`                                  | データ                |
| `DELETE` | `/v1/skills/{id}`                                                         | `DeleteSkill`                               | データ                |
| `POST`   | `/v1/skills/{id}/versions`                                                | `UpdateSkill`                               | データ                |
| `GET`    | `/v1/skills/{id}/versions`                                                | `GetSkill`                                  | データ                |
| `GET`    | `/v1/skills/{id}/versions/{version}`                                      | `GetSkill`                                  | データ                |
| `GET`    | `/v1/skills/{id}/versions/{version}/content`                              | `GetSkill`                                  | データ                |
| `DELETE` | `/v1/skills/{id}/versions/{version}`                                      | `UpdateSkill`                               | データ                |
| `POST`   | `/v1/user_profiles`                                                       | `CreateUserProfile`                         | データ                |
| `GET`    | `/v1/user_profiles`                                                       | `ListUserProfiles`                          | データ                |
| `GET`    | `/v1/user_profiles/{id}`                                                  | `GetUserProfile`                            | データ                |
| `POST`   | `/v1/user_profiles/{id}`                                                  | `UpdateUserProfile`                         | データ                |
| `POST`   | `/v1/user_profiles/{id}/enrollment_url`                                   | `CreateUserProfileEnrollmentUrl`            | データ                |
| `POST`   | `/v1/organizations/workspaces`                                            | `CreateWorkspace`                           | 管理                 |
| `GET`    | `/v1/organizations/workspaces`                                            | `ListWorkspaces`                            | 管理                 |
| `GET`    | `/v1/organizations/workspaces/{id}`                                       | `GetWorkspace`                              | 管理                 |
| `POST`   | `/v1/organizations/workspaces/{id}`                                       | `UpdateWorkspace`                           | 管理                 |
| `POST`   | `/v1/organizations/workspaces/{id}/archive`                               | `ArchiveWorkspace`                          | 管理                 |
| `POST`   | `/v1/organizations/external_keys`                                         | `RegisterKey`                               | 管理                 |
| `GET`    | `/v1/organizations/external_keys`                                         | `ListKeys`                                  | 管理                 |
| `GET`    | `/v1/organizations/external_keys/{id}`                                    | `GetKey`                                    | 管理                 |
| `POST`   | `/v1/organizations/external_keys/{id}`                                    | `UpdateKey`                                 | 管理                 |
| `DELETE` | `/v1/organizations/external_keys/{id}`                                    | `DisableKey`                                | 管理                 |
| `POST`   | `/v1/organizations/telemetry_destinations`                                | `CreateAccountTelemetryDestination`         | 管理                 |
| `GET`    | `/v1/organizations/telemetry_destinations`                                | `ListAccountTelemetryDestinations`          | 管理                 |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}`                           | `GetAccountTelemetryDestination`            | 管理                 |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}`                           | `UpdateAccountTelemetryDestination`         | 管理                 |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}`                           | `DeleteAccountTelemetryDestination`         | 管理                 |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/test`                      | `TestAccountTelemetryDestination`           | 管理                 |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}/workspaces`                | `ListAccountTelemetryDestinationWorkspaces` | 管理                 |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `AddTelemetryDestinationWorkspace`          | 管理                 |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `RemoveTelemetryDestinationWorkspace`       | 管理                 |
| `GET`    | `/v1/compliance/activities`                                               | `ListComplianceActivities`                  | 管理                 |
| `POST`   | `/v1/agents`                                                              | `CreateAgent`                               | データ                |
| `GET`    | `/v1/agents`                                                              | `ListAgents`                                | データ                |
| `GET`    | `/v1/agents/{id}`                                                         | `GetAgent`                                  | データ                |
| `POST`   | `/v1/agents/{id}`                                                         | `UpdateAgent`                               | データ                |
| `POST`   | `/v1/agents/{id}/archive`                                                 | `ArchiveAgent`                              | データ                |
| `GET`    | `/v1/agents/{id}/versions`                                                | `GetAgent`                                  | データ                |
| `POST`   | `/v1/sessions`                                                            | `CreateSession`                             | データ                |
| `GET`    | `/v1/sessions`                                                            | `ListSessions`                              | データ                |
| `GET`    | `/v1/sessions/{id}`                                                       | `GetSession`                                | データ                |
| `POST`   | `/v1/sessions/{id}`                                                       | `UpdateSession`                             | データ                |
| `POST`   | `/v1/sessions/{id}/archive`                                               | `ArchiveSession`                            | データ                |
| `DELETE` | `/v1/sessions/{id}`                                                       | `DeleteSession`                             | データ                |
| `GET`    | `/v1/sessions/{id}/events`                                                | `GetSession`                                | データ                |
| `POST`   | `/v1/sessions/{id}/events`                                                | `UpdateSession`                             | データ                |
| `GET`    | `/v1/sessions/{id}/events/stream`                                         | `GetSession`                                | データ                |
| `GET`    | `/v1/sessions/{id}/resources`                                             | `GetSession`                                | データ                |
| `GET`    | `/v1/sessions/{id}/resources/{id}`                                        | `GetSession`                                | データ                |
| `POST`   | `/v1/sessions/{id}/resources`                                             | `UpdateSession`                             | データ                |
| `POST`   | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | データ                |
| `DELETE` | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | データ                |
| `POST`   | `/v1/environments`                                                        | `CreateEnvironment`                         | データ                |
| `GET`    | `/v1/environments`                                                        | `ListEnvironments`                          | データ                |
| `GET`    | `/v1/environments/{id}`                                                   | `GetEnvironment`                            | データ                |
| `POST`   | `/v1/environments/{id}`                                                   | `UpdateEnvironment`                         | データ                |
| `POST`   | `/v1/environments/{id}/archive`                                           | `ArchiveEnvironment`                        | データ                |
| `DELETE` | `/v1/environments/{id}`                                                   | `DeleteEnvironment`                         | データ                |
| `GET`    | `/v1/environments/{id}/work`                                              | `GetEnvironment`                            | データ                |
| `GET`    | `/v1/environments/{id}/work/poll`                                         | `ProcessEnvironmentWork`                    | データ                |
| `GET`    | `/v1/environments/{id}/work/{work_id}`                                    | `GetEnvironment`                            | データ                |
| `GET`    | `/v1/environments/{id}/work/stats`                                        | `GetEnvironment`                            | データ                |
| `POST`   | `/v1/environments/{id}/work/{work_id}`                                    | `ProcessEnvironmentWork`                    | データ                |
| `POST`   | `/v1/environments/{id}/work/{work_id}/ack`                                | `ProcessEnvironmentWork`                    | データ                |
| `POST`   | `/v1/environments/{id}/work/{work_id}/heartbeat`                          | `ProcessEnvironmentWork`                    | データ                |
| `POST`   | `/v1/environments/{id}/work/{work_id}/stop`                               | `ProcessEnvironmentWork`                    | データ                |
| `POST`   | `/v1/vaults`                                                              | `CreateVault`                               | 管理                 |
| `GET`    | `/v1/vaults`                                                              | `ListVaults`                                | 管理                 |
| `GET`    | `/v1/vaults/{id}`                                                         | `GetVault`                                  | 管理                 |
| `POST`   | `/v1/vaults/{id}`                                                         | `UpdateVault`                               | 管理                 |
| `POST`   | `/v1/vaults/{id}/archive`                                                 | `ArchiveVault`                              | 管理                 |
| `DELETE` | `/v1/vaults/{id}`                                                         | `DeleteVault`                               | 管理                 |
| `GET`    | `/v1/vaults/{id}/credentials`                                             | `GetVault`                                  | 管理                 |
| `POST`   | `/v1/vaults/{id}/credentials`                                             | `UpdateVault`                               | 管理                 |
| `GET`    | `/v1/vaults/{id}/credentials/{id}`                                        | `GetVault`                                  | 管理                 |
| `POST`   | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | 管理                 |
| `POST`   | `/v1/vaults/{id}/credentials/{id}/archive`                                | `UpdateVault`                               | 管理                 |
| `DELETE` | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | 管理                 |
| `POST`   | `/v1/memory_stores`                                                       | `CreateMemoryStore`                         | データ                |
| `GET`    | `/v1/memory_stores`                                                       | `ListMemoryStores`                          | データ                |
| `GET`    | `/v1/memory_stores/{id}`                                                  | `GetMemoryStore`                            | データ                |
| `POST`   | `/v1/memory_stores/{id}`                                                  | `UpdateMemoryStore`                         | データ                |
| `POST`   | `/v1/memory_stores/{id}/archive`                                          | `ArchiveMemoryStore`                        | データ                |
| `DELETE` | `/v1/memory_stores/{id}`                                                  | `DeleteMemoryStore`                         | データ                |
| `POST`   | `/v1/memory_stores/{id}/memories`                                         | `UpdateMemoryStore`                         | データ                |
| `GET`    | `/v1/memory_stores/{id}/memories`                                         | `GetMemoryStore`                            | データ                |
| `GET`    | `/v1/memory_stores/{id}/memories/{id}`                                    | `GetMemoryStore`                            | データ                |
| `POST`   | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | データ                |
| `DELETE` | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | データ                |
| `GET`    | `/v1/memory_stores/{id}/memory_versions`                                  | `GetMemoryStore`                            | データ                |
| `GET`    | `/v1/memory_stores/{id}/memory_versions/{id}`                             | `GetMemoryStore`                            | データ                |
| `POST`   | `/v1/memory_stores/{id}/memory_versions/{id}/redact`                      | `UpdateMemoryStore`                         | データ                |
| `GET`    | `/v1/webhooks`                                                            | `ListWebhooks`                              | 管理                 |
| `GET`    | `/v1/webhooks/{id}`                                                       | `GetWebhook`                                | 管理                 |
| `POST`   | `/v1/webhooks`                                                            | `CreateWebhook`                             | 管理                 |
| `POST`   | `/v1/webhooks/{id}`                                                       | `UpdateWebhook`                             | 管理                 |
| `DELETE` | `/v1/webhooks/{id}`                                                       | `DeleteWebhook`                             | 管理                 |
| `POST`   | `/v1/webhooks/{id}/regenerate_signing_secret`                             | `RotateWebhookSecret`                       | 管理                 |

この表にないルートは Claude Platform on AWS では利用できません。ゲートウェイは、ここに記載されていないルートをデフォルトで拒否します。

<Note>
  ワークスペース、外部キー、およびテレメトリ送信先のルートは、Claude Platform on AWS で利用できる唯一の Admin API ルートです。ワークスペースの作成、更新、またはアーカイブは、AWS コンソールで、または Admin ロールがあれば Claude Console でも行えます。暗号化キーの登録とアタッチも Claude Console で行えます。
</Note>

## マネージドポリシー

AWS は Claude Platform on AWS 向けに 5 つのマネージドポリシーを提供しています。すべてのマネージドポリシーは `Resource: "*"` に適用されます。

| ポリシー                                   | 付与内容                                                                                                                                      |
| -------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------- |
| `AnthropicFullAccess`                  | `aws-external-anthropic:*`                                                                                                                |
| `AnthropicReadOnlyAccess`              | `Get*`、`List*`、`CallWithBearerToken`                                                                                                      |
| `AnthropicInferenceAccess`             | `Get*`、`List*`、`CreateInference`、`CreateBatchInference`、`CancelBatchInference`、`DeleteBatchInference`、`CountTokens`、`CallWithBearerToken` |
| `AnthropicLimitedAccess`               | `AnthropicInferenceAccess` のすべてのアクションに加え、すべての Claude Managed Agents アクション（エージェント、セッション、環境、ボールト、メモリストア、Webhook、およびセルフホスト型環境の作業）            |
| `AnthropicSelfHostedEnvironmentAccess` | `GetEnvironment`、`ProcessEnvironmentWork`、`GetSession`、`UpdateSession`、`GetSkill`、`CallWithBearerToken`                                   |

`AnthropicInferenceAccess` は、推論を実行するのに十分な最も狭いマネージドポリシーです。同期推論とバッチ推論の両方をカバーし、`Get*` および `List*` ワイルドカードを通じて、Claude Managed Agents（CMA）リソース（エージェント、セッション、環境、ボールト、メモリストア、および Webhook）を含む、名前空間内のすべての API リソースへの読み取りアクセスを付与します。これには、`GetFile` によるファイルコンテンツのダウンロード（[ファイル](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#files)の注記を参照）、`GetSkill` によるスキルコンテンツのダウンロード（[スキル](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#skills)の注記を参照）、および `GetMemoryStore` によるメモリ内容が含まれます。ボールト認証情報のシークレットと Webhook 署名シークレットは公開されません。これらのフィールドは書き込み専用であり、`GetVault` または `GetWebhook` によって返されることはありません（[ボールトによる認証](https://platform.claude.com/docs/ja/managed-agents/vaults)を参照）。`AnthropicInferenceAccess` は、ファイルの作成または削除、スキル管理、ユーザープロファイル管理、ワークスペースの変更、暗号化キー管理、テレメトリ送信先管理、または Claude Managed Agents のいかなる書き込みアクション（作成、更新、アーカイブ、削除、処理、またはローテーション）も付与しません。CMA の読み取りを除外するには、`AnthropicInferenceAccess` を、必要な特定の非 CMA アクションのみを列挙したカスタムポリシーに置き換えてください。

<Note>
  `AnthropicReadOnlyAccess`、`AnthropicInferenceAccess`、および `AnthropicLimitedAccess` はいずれも `Get*` および `List*` ワイルドカードを含んでおり、ワークスペース内のすべてのコンテンツ（ファイルのバイトデータ、スキルコンテンツ、バッチ結果、セッションの会話履歴、およびメモリの内容）への読み取りアクセスを付与します。これらのワイルドカードは `GetKey` と `ListKeys` も付与し、組織に登録された暗号化キーの構成（キー ARN とメタデータ。キーマテリアルは決して含まれません）を読み取ります。また、アカウントスコープの `GetUserProfile` と `ListUserProfiles` も付与し、ユーザープロファイルを読み取ります。`List*` ワイルドカードは `ListComplianceActivities` も付与し、組織で Compliance API が有効化されると、組織のコンプライアンス[アクティビティフィード](https://platform.claude.com/docs/ja/manage-claude/compliance-activity-feed)を読み取ります（[コンプライアンス](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#compliance)を参照）。また、これらのワイルドカードは `GetAccountTelemetryDestination`、`ListAccountTelemetryDestinations`、および `ListAccountTelemetryDestinationWorkspaces` も付与し、組織のテレメトリ送信先を読み取りますが、そのヘッダー値は決して読み取りません。ボールト認証情報のシークレットと Webhook 署名シークレットは公開されません。これらのフィールドは書き込み専用であり、`GetVault` や `GetWebhook` によって返されることはありません。プリンシパルに既存のコンテンツを読み取らせるべきでない場合は、必要なアクションのみを列挙したカスタムポリシーを使用してください。
</Note>

`AnthropicLimitedAccess` には、推論アクションに加えてすべての Claude Managed Agents アクションが含まれます。

`AnthropicSelfHostedEnvironmentAccess` は、[セルフホスト型サンドボックス](https://platform.claude.com/docs/ja/managed-agents/self-hosted-sandboxes)ワーカーを実行するのに十分な最も狭いマネージドポリシーです。環境ワーカーが認証に使用するプリンシパルにアタッチしてください。

`AssumeConsole` は `AnthropicReadOnlyAccess`、`AnthropicInferenceAccess`、`AnthropicLimitedAccess`、または `AnthropicSelfHostedEnvironmentAccess` には含まれていません。Claude Console へのアクセスが必要なプリンシパルには、`AnthropicFullAccess` または `aws-external-anthropic:AssumeConsole` を付与するカスタムポリシーのいずれかが必要です。[コンソールアクセス](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#console-access)を参照してください。

<Note>
  `CreateInference` と `CreateBatchInference` は別個のアクションです。一方を拒否しても他方はブロックされません。すべてのモデル呼び出しを防ぎたい場合は、両方を拒否してください。
</Note>

## ポリシーの例

### 単一ワークスペースでの同期推論

1 つの本番ワークスペースに対して推論を実行する IAM プリンシパルに最小限の権限を付与します。

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  `ListWorkspaces` はアカウントスコープです（[プロビジョニングの自動化](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#provisioning-automation)を参照）。サービスアカウントがワークスペースを列挙する必要がある場合は、`Resource: "*"` を指定した `ListWorkspaces` 用の別個の `Allow` ステートメントを追加してください。

  このポリシーは AWS SigV4 認証を前提としています。プリンシパルが APIキーで認証する場合は、`Resource: "*"` を指定した `aws-external-anthropic:CallWithBearerToken` 用の別個の `Allow` ステートメントを追加してください。`CallWithBearerToken` はワークスペース ARN にバインドされない、ルートを持たないアクションです。2 ステートメントのパターンについては、[顧客ごとのワークスペース分離](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#per-customer-workspace-isolation)を参照してください。
</Note>

### 顧客ごとのワークスペース分離

ロールを単一のワークスペースに制限します。

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}
```

<Note>
  最初のステートメントの `aws-external-anthropic:*` ワイルドカードには、アカウントスコープのアクション（`CreateWorkspace`、`ListWorkspaces`、`ListComplianceActivities`、外部キーのアクション、アカウントスコープのテレメトリ送信先のアクション、およびユーザープロファイルのアクション）が含まれますが、これらはワークスペース ARN の制約によって暗黙的に除外されます。これは「分離」の意図と一致しています（このロールは、ワークスペースの作成、ワークスペースの列挙、暗号化キー登録の管理、コンプライアンスアクティビティフィードの読み取り、またはユーザープロファイルの読み取りや管理を行うことはできず、テレメトリ送信先の作成、読み取り、変更もできませんが、`UpdateWorkspace` を通じて登録済みのキーを自身のワークスペースにアタッチすることは引き続き可能です。また、送信先の ID がわかれば、自身のワークスペースを送信先に追加したり、送信先から削除したりすることもできます）。ただし、このポリシーには効果のない権限が含まれています。ロールにユーザープロファイルが必要な場合は、`Resource: "*"` を指定したユーザープロファイルのアクション用の別の `Allow` ステートメントを追加してください。アカウントスコープのパターンについては、[プロビジョニングの自動化](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#provisioning-automation)を参照してください。

  `CallWithBearerToken` と `AssumeConsole` はワークスペース ARN にバインドされない、ルートを持たないアクションです。2 番目のステートメントはこれらを `Resource: "*"` に対して付与するため、ロールは APIキーで認証し、Claude Console を開くことができます。ロールが SigV4 のみを使用し、Claude Console へのアクセスを必要としない場合は、このステートメントを省略してください。
</Note>

### ZDR の影響を受けるワークスペースの機能ロックダウン

同期推論を利用可能なまま残しつつ、特定のワークスペースでバッチ処理とファイルアップロードをブロックします。サーバー側に保持してはならない[ゼロデータ保持（ZDR）](https://platform.claude.com/docs/ja/manage-claude/api-and-data-retention)データをワークスペースが扱う場合に便利です。このポリシーは、`AnthropicInferenceAccess` や[単一ワークスペースの例](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#synchronous-inference-on-a-single-workspace)などの Allow ポリシーと併せてアタッチしてください。Deny のみのポリシーは単独では何の権限も付与しません。

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  この拒否は作成のみをブロックします。他のファイルおよびバッチのアクションは、同様に列挙しない限り拒否されません。ワークスペースがファイルやバッチを決して保持してはならない完全なロックダウンを行うには、`aws-external-anthropic:GetFile`、`aws-external-anthropic:ListFiles`、`aws-external-anthropic:DeleteFile`、`aws-external-anthropic:GetBatchInference`、`aws-external-anthropic:ListBatchInferences`、`aws-external-anthropic:CancelBatchInference`、および `aws-external-anthropic:DeleteBatchInference` も拒否してください。
</Note>

### プロビジョニングの自動化

<Note>
  Admin API以外にも、AWS Consoleで、またはAdminロールを持っている場合はClaude Consoleで、ワークスペースを作成、更新、またはアーカイブできます。
</Note>

CI/CDロールに対して、推論の権限を一切付与せずに、ワークスペースの作成と管理に必要なアクションを付与します。

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}
```

`CreateWorkspace`と`ListWorkspaces`はアカウントスコープの操作です。これらのアクションにワークスペースARNを指定しても効果はありません。`Resource: "*"`を使用してください。

## 関連項目

* セットアップ、認証、プラットフォームの概要については、[Claude Platform on AWS](https://platform.claude.com/docs/ja/build-with-claude/claude-platform-on-aws)を参照してください
* IAMポリシーの構文と評価ロジックについては、[AWS IAMユーザーガイド](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html)を参照してください
* 監査ログの設定については、[AWS CloudTrailユーザーガイド](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/)を参照してください