---
title: Ações do IAM para o Claude Platform on AWS
url: https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions
description: Referência de ações do IAM para controlar o acesso ao Claude Platform on AWS por meio de políticas da AWS.
---

O Claude Platform on AWS usa o AWS IAM para controle de acesso. Cada rota da API é mapeada para uma ação do IAM no namespace `aws-external-anthropic`. Esta página lista todas as ações, as rotas que cada ação autoriza e as políticas gerenciadas disponíveis para padrões de acesso comuns. Para configuração da plataforma e autenticação, consulte [Claude Platform on AWS](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-platform-on-aws).

## Detalhes do serviço

| Atributo                      | Valor                    |
| ----------------------------- | ------------------------ |
| **Prefixo de serviço do IAM** | `aws-external-anthropic` |
| **Tipos de recurso**          | `workspace`              |

Formato do ARN de workspace:

```text wrap
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}
```

A região do ARN é sempre preenchida e corresponde à região à qual o workspace está vinculado. O segmento de recurso é o ID do workspace com tag (`wrkspc_...`), o mesmo valor que você passa no cabeçalho `anthropic-workspace-id`.

## Ações

As ações seguem a convenção `VerbNoun` da AWS e usam disciplina de verbos para que os "wildcards" (curingas) `Get*` e `List*` produzam um limite somente leitura bem definido.

### Inferência

| Ação              | Rotas autorizadas                |
| ----------------- | -------------------------------- |
| `CreateInference` | `POST /v1/messages`              |
| `CountTokens`     | `POST /v1/messages/count_tokens` |

### Processamento em lote

| Ação                   | Rotas autorizadas                                                            |
| ---------------------- | ---------------------------------------------------------------------------- |
| `CreateBatchInference` | `POST /v1/messages/batches`                                                  |
| `GetBatchInference`    | `GET /v1/messages/batches/{id}`<br />`GET /v1/messages/batches/{id}/results` |
| `ListBatchInferences`  | `GET /v1/messages/batches`                                                   |
| `CancelBatchInference` | `POST /v1/messages/batches/{id}/cancel`                                      |
| `DeleteBatchInference` | `DELETE /v1/messages/batches/{id}`                                           |

<Note>
  `GetBatchInference` autoriza tanto a leitura de metadados do lote quanto o download dos resultados do lote. Os curingas `Get*` das políticas `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` incluem esta ação.
</Note>

### Modelos

| Ação         | Rotas autorizadas     |
| ------------ | --------------------- |
| `GetModel`   | `GET /v1/models/{id}` |
| `ListModels` | `GET /v1/models`      |

### Arquivos

| Ação         | Rotas autorizadas                                      |
| ------------ | ------------------------------------------------------ |
| `CreateFile` | `POST /v1/files`                                       |
| `GetFile`    | `GET /v1/files/{id}`<br />`GET /v1/files/{id}/content` |
| `ListFiles`  | `GET /v1/files`                                        |
| `DeleteFile` | `DELETE /v1/files/{id}`                                |

<Note>
  `GetFile` autoriza tanto metadados quanto o download de conteúdo. Um principal com acesso somente leitura pode baixar os bytes dos arquivos, não apenas listar arquivos.
</Note>

### Skills

| Ação          | Rotas autorizadas                                                                                                                                             |
| ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSkill` | `POST /v1/skills`                                                                                                                                             |
| `GetSkill`    | `GET /v1/skills/{id}`<br />`GET /v1/skills/{id}/versions`<br />`GET /v1/skills/{id}/versions/{version}`<br />`GET /v1/skills/{id}/versions/{version}/content` |
| `ListSkills`  | `GET /v1/skills`                                                                                                                                              |
| `UpdateSkill` | `POST /v1/skills/{id}/versions`<br />`DELETE /v1/skills/{id}/versions/{version}`                                                                              |
| `DeleteSkill` | `DELETE /v1/skills/{id}`                                                                                                                                      |

<Note>
  `GetSkill` autoriza tanto metadados da skill quanto o download do conteúdo da skill. Um principal com acesso somente leitura pode baixar os bytes das skills, não apenas listar skills.
</Note>

<Note>
  Criar ou excluir uma versão individual de skill é mapeado para `UpdateSkill`, não para `CreateSkill` ou `DeleteSkill`. Uma política que nega `aws-external-anthropic:Delete*` ainda permite a exclusão de versões, e uma política que nega `aws-external-anthropic:Create*` ainda permite a criação de versões. Negue também `UpdateSkill` e `CreateSkill` se você precisar impedir qualquer mutação de skill.
</Note>

### Agentes

| Ação           | Rotas autorizadas                                         |
| -------------- | --------------------------------------------------------- |
| `CreateAgent`  | `POST /v1/agents`                                         |
| `GetAgent`     | `GET /v1/agents/{id}`<br />`GET /v1/agents/{id}/versions` |
| `ListAgents`   | `GET /v1/agents`                                          |
| `UpdateAgent`  | `POST /v1/agents/{id}`                                    |
| `ArchiveAgent` | `POST /v1/agents/{id}/archive`                            |

<Note>
  Agentes suportam apenas arquivamento, não exclusão definitiva. Uma política que nega `aws-external-anthropic:Delete*` não bloqueia `ArchiveAgent`. Negue `ArchiveAgent`, `UpdateAgent` e `CreateAgent` se você precisar impedir qualquer mutação de agente.
</Note>

### Sessões

| Ação             | Rotas autorizadas                                                                                                                                                                                 |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSession`  | `POST /v1/sessions`                                                                                                                                                                               |
| `GetSession`     | `GET /v1/sessions/{id}`<br />`GET /v1/sessions/{id}/events`<br />`GET /v1/sessions/{id}/events/stream`<br />`GET /v1/sessions/{id}/resources`<br />`GET /v1/sessions/{id}/resources/{id}`         |
| `ListSessions`   | `GET /v1/sessions`                                                                                                                                                                                |
| `UpdateSession`  | `POST /v1/sessions/{id}`<br />`POST /v1/sessions/{id}/events`<br />`POST /v1/sessions/{id}/resources`<br />`POST /v1/sessions/{id}/resources/{id}`<br />`DELETE /v1/sessions/{id}/resources/{id}` |
| `ArchiveSession` | `POST /v1/sessions/{id}/archive`                                                                                                                                                                  |
| `DeleteSession`  | `DELETE /v1/sessions/{id}`                                                                                                                                                                        |

<Note>
  `GetSession` autoriza a leitura de metadados da sessão, do fluxo completo de eventos (histórico da conversa) e dos recursos da sessão. Os curingas `Get*` das políticas `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` incluem esta ação.
</Note>

<Note>
  Criar, atualizar ou excluir um sub-recurso individual de sessão (eventos ou recursos de sessão) é mapeado para `UpdateSession`, não para `CreateSession` ou `DeleteSession`. Uma política que nega `aws-external-anthropic:Delete*` ainda permite a exclusão de sub-recursos, e uma política que nega `aws-external-anthropic:Create*` ainda permite a criação de sub-recursos. Negue também `UpdateSession`, `CreateSession` e `ArchiveSession` se você precisar impedir qualquer mutação de sessão.
</Note>

### Ambientes

| Ação                     | Rotas autorizadas                                                                                                                                                                                                                                            |
| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `CreateEnvironment`      | `POST /v1/environments`                                                                                                                                                                                                                                      |
| `GetEnvironment`         | `GET /v1/environments/{id}`<br />`GET /v1/environments/{id}/work`<br />`GET /v1/environments/{id}/work/{work_id}`<br />`GET /v1/environments/{id}/work/stats`                                                                                                |
| `ListEnvironments`       | `GET /v1/environments`                                                                                                                                                                                                                                       |
| `UpdateEnvironment`      | `POST /v1/environments/{id}`                                                                                                                                                                                                                                 |
| `ArchiveEnvironment`     | `POST /v1/environments/{id}/archive`                                                                                                                                                                                                                         |
| `DeleteEnvironment`      | `DELETE /v1/environments/{id}`                                                                                                                                                                                                                               |
| `ProcessEnvironmentWork` | `GET /v1/environments/{id}/work/poll`<br />`POST /v1/environments/{id}/work/{work_id}`<br />`POST /v1/environments/{id}/work/{work_id}/ack`<br />`POST /v1/environments/{id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{id}/work/{work_id}/stop` |

<Note>
  Uma política que nega `aws-external-anthropic:Delete*` não bloqueia `ArchiveEnvironment`. `ProcessEnvironmentWork` não é correspondido pelos curingas `Create*`, `Update*`, `Delete*` ou `Archive*`. Negue também `ArchiveEnvironment`, `UpdateEnvironment`, `CreateEnvironment` e `ProcessEnvironmentWork` se você precisar impedir qualquer mutação de ambiente.
</Note>

<Note>
  `ProcessEnvironmentWork` autoriza um worker de [sandbox auto-hospedado](https://platform.claude.com/docs/pt-BR/managed-agents/self-hosted-sandboxes) a consultar, confirmar, enviar heartbeat, interromper e publicar resultados em itens de trabalho do ambiente. Conceda-a apenas a principals que executam workers de ambiente auto-hospedados. A política gerenciada `AnthropicSelfHostedEnvironmentAccess` inclui esta ação.
</Note>

### Vaults

| Ação           | Rotas autorizadas                                                                                                                                                                                               |
| -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateVault`  | `POST /v1/vaults`                                                                                                                                                                                               |
| `GetVault`     | `GET /v1/vaults/{id}`<br />`GET /v1/vaults/{id}/credentials`<br />`GET /v1/vaults/{id}/credentials/{id}`                                                                                                        |
| `ListVaults`   | `GET /v1/vaults`                                                                                                                                                                                                |
| `UpdateVault`  | `POST /v1/vaults/{id}`<br />`POST /v1/vaults/{id}/credentials`<br />`POST /v1/vaults/{id}/credentials/{id}`<br />`POST /v1/vaults/{id}/credentials/{id}/archive`<br />`DELETE /v1/vaults/{id}/credentials/{id}` |
| `ArchiveVault` | `POST /v1/vaults/{id}/archive`                                                                                                                                                                                  |
| `DeleteVault`  | `DELETE /v1/vaults/{id}`                                                                                                                                                                                        |

<Note>
  Criar, atualizar, arquivar ou excluir uma credencial individual de vault é mapeado para `UpdateVault`. Ler uma credencial é mapeado para `GetVault`. Os segredos das credenciais de vault não são expostos: os campos de segredo são somente gravação e nunca são retornados por `GetVault` (consulte [Autenticar com vaults](https://platform.claude.com/docs/pt-BR/managed-agents/vaults)). Uma política que nega `aws-external-anthropic:Delete*` ainda permite a exclusão de credenciais, e uma política que nega `aws-external-anthropic:Create*` ainda permite a criação de credenciais. Negue também `UpdateVault`, `CreateVault` e `ArchiveVault` se você precisar impedir qualquer mutação de vault.
</Note>

### Memory stores

| Ação                 | Rotas autorizadas                                                                                                                                                                                                                            |
| -------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateMemoryStore`  | `POST /v1/memory_stores`                                                                                                                                                                                                                     |
| `GetMemoryStore`     | `GET /v1/memory_stores/{id}`<br />`GET /v1/memory_stores/{id}/memories`<br />`GET /v1/memory_stores/{id}/memories/{id}`<br />`GET /v1/memory_stores/{id}/memory_versions`<br />`GET /v1/memory_stores/{id}/memory_versions/{id}`             |
| `ListMemoryStores`   | `GET /v1/memory_stores`                                                                                                                                                                                                                      |
| `UpdateMemoryStore`  | `POST /v1/memory_stores/{id}`<br />`POST /v1/memory_stores/{id}/memories`<br />`POST /v1/memory_stores/{id}/memories/{id}`<br />`DELETE /v1/memory_stores/{id}/memories/{id}`<br />`POST /v1/memory_stores/{id}/memory_versions/{id}/redact` |
| `ArchiveMemoryStore` | `POST /v1/memory_stores/{id}/archive`                                                                                                                                                                                                        |
| `DeleteMemoryStore`  | `DELETE /v1/memory_stores/{id}`                                                                                                                                                                                                              |

<Note>
  `GetMemoryStore` autoriza a leitura de metadados do store, de todas as memórias e do histórico de versões de memória. Os curingas `Get*` das políticas `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` incluem esta ação.
</Note>

<Note>
  Criar, atualizar ou excluir uma memória individual e redigir uma versão de memória são ambos mapeados para `UpdateMemoryStore`, não para `CreateMemoryStore` ou `DeleteMemoryStore`. Uma política que nega `aws-external-anthropic:Delete*` ainda permite a exclusão de memórias individuais e a redação de versões de memória, e uma política que nega `aws-external-anthropic:Create*` ainda permite a criação de memórias individuais. Negue também `UpdateMemoryStore`, `CreateMemoryStore` e `ArchiveMemoryStore` se você precisar impedir qualquer mutação de memory store.
</Note>

### Webhooks

| Ação                  | Rotas autorizadas                                  |
| --------------------- | -------------------------------------------------- |
| `CreateWebhook`       | `POST /v1/webhooks`                                |
| `GetWebhook`          | `GET /v1/webhooks/{id}`                            |
| `ListWebhooks`        | `GET /v1/webhooks`                                 |
| `UpdateWebhook`       | `POST /v1/webhooks/{id}`                           |
| `DeleteWebhook`       | `DELETE /v1/webhooks/{id}`                         |
| `RotateWebhookSecret` | `POST /v1/webhooks/{id}/regenerate_signing_secret` |

<Note>
  Os segredos de assinatura de webhook são somente gravação. `GetWebhook` retorna apenas metadados do webhook; não retorna o segredo de assinatura.
</Note>

<Note>
  `RotateWebhookSecret` não é correspondido pelos curingas `aws-external-anthropic:Create*`, `Update*` ou `Delete*`. Uma política que nega esses padrões ainda permite a rotação de segredos. Negue `RotateWebhookSecret`, `UpdateWebhook`, `CreateWebhook` e `DeleteWebhook` se você precisar impedir qualquer mutação de webhook.
</Note>

### Perfis de usuário

| Ação                             | Rotas autorizadas                            |
| -------------------------------- | -------------------------------------------- |
| `CreateUserProfile`              | `POST /v1/user_profiles`                     |
| `GetUserProfile`                 | `GET /v1/user_profiles/{id}`                 |
| `ListUserProfiles`               | `GET /v1/user_profiles`                      |
| `UpdateUserProfile`              | `POST /v1/user_profiles/{id}`                |
| `CreateUserProfileEnrollmentUrl` | `POST /v1/user_profiles/{id}/enrollment_url` |

<Note>
  As ações de perfil de usuário têm escopo de conta, assim como `ListWorkspaces`. Uma instrução cujo `Resource` é um ARN de workspace não as concede; use `Resource: "*"`.
</Note>

<Warning>
  A correspondência de ações do IAM não diferencia maiúsculas de minúsculas. O curinga `aws-external-anthropic:*File` corresponde a `CreateFile`, `GetFile` e `DeleteFile`, mas não corresponde a `ListFiles` (que termina em "files", não em "file"). Ele também corresponde em excesso a `CreateUserProfile`, `GetUserProfile` e `UpdateUserProfile`, porque "Profile" termina em "file". Se você pretende conceder ou negar apenas ações da Files API, enumere-as explicitamente (`CreateFile`, `GetFile`, `ListFiles`, `DeleteFile`) em vez de usar um padrão de sufixo `*File`.
</Warning>

### Workspaces

| Ação               | Rotas autorizadas                                |
| ------------------ | ------------------------------------------------ |
| `CreateWorkspace`  | `POST /v1/organizations/workspaces`              |
| `GetWorkspace`     | `GET /v1/organizations/workspaces/{id}`          |
| `ListWorkspaces`   | `GET /v1/organizations/workspaces`               |
| `UpdateWorkspace`  | `POST /v1/organizations/workspaces/{id}`         |
| `ArchiveWorkspace` | `POST /v1/organizations/workspaces/{id}/archive` |

<Note>
  Workspaces suportam apenas arquivamento, não exclusão definitiva. Uma política que nega `aws-external-anthropic:Delete*` não bloqueia `ArchiveWorkspace`. Negue `ArchiveWorkspace`, `UpdateWorkspace` e `CreateWorkspace` se você precisar impedir qualquer mutação de workspace.
</Note>

### Chaves de criptografia

| Ação          | Rotas autorizadas                             |
| ------------- | --------------------------------------------- |
| `RegisterKey` | `POST /v1/organizations/external_keys`        |
| `GetKey`      | `GET /v1/organizations/external_keys/{id}`    |
| `ListKeys`    | `GET /v1/organizations/external_keys`         |
| `UpdateKey`   | `POST /v1/organizations/external_keys/{id}`   |
| `DisableKey`  | `DELETE /v1/organizations/external_keys/{id}` |

<Note>
  Essas ações gerenciam os registros de [chave de criptografia gerenciada pelo cliente (CMEK)](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#claude-platform-on-aws) da sua organização, ou seja, o registro de quais ARNs de chaves do AWS KMS estão registrados. Elas não criam, alteram nem desabilitam as chaves no AWS KMS. `DisableKey` remove um registro e é rejeitada enquanto algum workspace ainda usar a chave. `RegisterKey` e `DisableKey` não são correspondidas pelos curingas `Create*`, `Update*` ou `Delete*`; negue `RegisterKey`, `UpdateKey` e `DisableKey` se você precisar impedir qualquer alteração nos registros de chaves. Nessas rotas, `{id}` é o ARN da chave KMS codificado em URL. Anexar uma chave registrada a um workspace é uma operação de workspace, autorizada por `CreateWorkspace` ou `UpdateWorkspace`; o principal que anexa uma chave também precisa de `kms:DescribeKey`, `kms:Encrypt` e `kms:Decrypt` nessa chave (consulte os [pré-requisitos](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#claude-platform-on-aws)). As ações de chaves externas têm escopo de conta: especificar um ARN de workspace nelas não tem efeito; use `Resource: "*"`.
</Note>

### Conformidade

| Ação                       | Rotas autorizadas               |
| -------------------------- | ------------------------------- |
| `ListComplianceActivities` | `GET /v1/compliance/activities` |

<Note>
  `ListComplianceActivities` autoriza a leitura do [Activity Feed](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-activity-feed) da [Compliance API](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-api), o log de auditoria de toda a organização que inclui eventos de transparência de acesso. A rota retorna um erro até que a Compliance API seja [habilitada para sua organização](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-api-access); a habilitação é feita sob solicitação por meio da sua equipe de conta da Anthropic. Os curingas `List*` das políticas `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` incluem esta ação.
</Note>

<Note>
  `ListComplianceActivities` tem escopo de conta, assim como `ListWorkspaces`. Especificar um ARN de workspace nesta ação não tem efeito; use `Resource: "*"`.
</Note>

### Destinos de telemetria

| Ação                                        | Rotas autorizadas                                                                |
| ------------------------------------------- | -------------------------------------------------------------------------------- |
| `CreateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations`                                  |
| `GetAccountTelemetryDestination`            | `GET /v1/organizations/telemetry_destinations/{id}`                              |
| `ListAccountTelemetryDestinations`          | `GET /v1/organizations/telemetry_destinations`                                   |
| `UpdateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations/{id}`                             |
| `DeleteAccountTelemetryDestination`         | `DELETE /v1/organizations/telemetry_destinations/{id}`                           |
| `TestAccountTelemetryDestination`           | `POST /v1/organizations/telemetry_destinations/{id}/test`                        |
| `ListAccountTelemetryDestinationWorkspaces` | `GET /v1/organizations/telemetry_destinations/{id}/workspaces`                   |
| `AddTelemetryDestinationWorkspace`          | `POST /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}`   |
| `RemoveTelemetryDestinationWorkspace`       | `DELETE /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` |

<Note>
  Todas essas ações, exceto `AddTelemetryDestinationWorkspace` e `RemoveTelemetryDestinationWorkspace`, têm escopo de conta, portanto um ARN de workspace nelas não tem efeito. Use `Resource: "*"`. Um destino pode exportar a telemetria de todos os workspaces da organização, em todas as regiões. Conceda `CreateAccountTelemetryDestination` e `UpdateAccountTelemetryDestination` apenas a entidades principais em que você confia para toda essa telemetria.
</Note>

<Note>
  `AddTelemetryDestinationWorkspace` e `RemoveTelemetryDestinationWorkspace` se aplicam ao workspace na rota, e apenas em um destino cuja opção **Workspaces** esteja definida como **Selected**. Para alterar uma lista **All except**, use `UpdateAccountTelemetryDestination`. Uma política que nega `aws-external-anthropic:Create*`, `Update*` ou `Delete*` ainda permite adicionar e remover workspaces. Para bloquear qualquer alteração nos destinos, negue também `AddTelemetryDestinationWorkspace` e `RemoveTelemetryDestinationWorkspace`.
</Note>

### Autenticação

| Ação                  | Rotas autorizadas |
| --------------------- | ----------------- |
| `CallWithBearerToken` | (nenhuma)         |

`CallWithBearerToken` é uma permissão da camada de autenticação que autoriza um principal a se autenticar por meio de uma chave de API (bearer token) em vez do AWS SigV4. Ela não é mapeada para uma rota. Conceda-a junto com as ações mapeadas para rotas que você deseja que o detentor da chave de API execute.

### Acesso ao Console

| Ação            | Rotas autorizadas |
| --------------- | ----------------- |
| `AssumeConsole` | (nenhuma)         |

`AssumeConsole` autoriza um principal a abrir o Claude Console para um workspace do Claude Platform on AWS por meio do fluxo de federação do AWS Console. Ela não é mapeada para uma rota. Conceda-a a principals que devem poder clicar em **Open Claude Console** na página de serviço do Claude Platform on AWS no AWS Console. A função do Claude Console (Admin ou Developer) é atribuída separadamente pelo seu representante de conta da Anthropic; ela não é derivada das permissões do IAM do principal. Consulte [Usando o Claude Console](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-platform-on-aws#using-the-claude-console) para o fluxo de login e as descrições das funções.

## Mapeamento de rota para ação

A tabela a seguir lista todas as rotas do Claude Platform on AWS e a ação do IAM necessária para chamá-las. Cada ação do IAM também autoriza requisições que usam o cabeçalho `anthropic-beta`; variantes beta de uma rota não exigem uma ação do IAM separada. O CloudTrail classifica cada ação como um evento de Dados (operações de plano de dados de alto volume) ou um evento de Gerenciamento (operações de plano de controle). As ações de vault e webhook são classificadas como eventos de Gerenciamento porque armazenam segredos (credenciais de vault e segredos de assinatura de webhook) e se beneficiam do log de auditoria ativado por padrão. As ações de workspace, chave externa, destino de telemetria e conformidade também são classificadas como eventos de Gerenciamento porque são operações de plano de controle com escopo de organização. Todas as outras ações, incluindo inferência, lote, modelo, arquivo, skill, perfil de usuário e as demais ações do Claude Managed Agents, são classificadas como eventos de Dados.

| Método   | Rota                                                                      | Ação do IAM                                 | Tipo de evento do CloudTrail |
| -------- | ------------------------------------------------------------------------- | ------------------------------------------- | ---------------------------- |
| `POST`   | `/v1/messages`                                                            | `CreateInference`                           | Dados                        |
| `POST`   | `/v1/messages/count_tokens`                                               | `CountTokens`                               | Dados                        |
| `POST`   | `/v1/messages/batches`                                                    | `CreateBatchInference`                      | Dados                        |
| `GET`    | `/v1/messages/batches`                                                    | `ListBatchInferences`                       | Dados                        |
| `GET`    | `/v1/messages/batches/{id}`                                               | `GetBatchInference`                         | Dados                        |
| `GET`    | `/v1/messages/batches/{id}/results`                                       | `GetBatchInference`                         | Dados                        |
| `POST`   | `/v1/messages/batches/{id}/cancel`                                        | `CancelBatchInference`                      | Dados                        |
| `DELETE` | `/v1/messages/batches/{id}`                                               | `DeleteBatchInference`                      | Dados                        |
| `GET`    | `/v1/models`                                                              | `ListModels`                                | Dados                        |
| `GET`    | `/v1/models/{id}`                                                         | `GetModel`                                  | Dados                        |
| `POST`   | `/v1/files`                                                               | `CreateFile`                                | Dados                        |
| `GET`    | `/v1/files`                                                               | `ListFiles`                                 | Dados                        |
| `GET`    | `/v1/files/{id}`                                                          | `GetFile`                                   | Dados                        |
| `GET`    | `/v1/files/{id}/content`                                                  | `GetFile`                                   | Dados                        |
| `DELETE` | `/v1/files/{id}`                                                          | `DeleteFile`                                | Dados                        |
| `POST`   | `/v1/skills`                                                              | `CreateSkill`                               | Dados                        |
| `GET`    | `/v1/skills`                                                              | `ListSkills`                                | Dados                        |
| `GET`    | `/v1/skills/{id}`                                                         | `GetSkill`                                  | Dados                        |
| `DELETE` | `/v1/skills/{id}`                                                         | `DeleteSkill`                               | Dados                        |
| `POST`   | `/v1/skills/{id}/versions`                                                | `UpdateSkill`                               | Dados                        |
| `GET`    | `/v1/skills/{id}/versions`                                                | `GetSkill`                                  | Dados                        |
| `GET`    | `/v1/skills/{id}/versions/{version}`                                      | `GetSkill`                                  | Dados                        |
| `GET`    | `/v1/skills/{id}/versions/{version}/content`                              | `GetSkill`                                  | Dados                        |
| `DELETE` | `/v1/skills/{id}/versions/{version}`                                      | `UpdateSkill`                               | Dados                        |
| `POST`   | `/v1/user_profiles`                                                       | `CreateUserProfile`                         | Dados                        |
| `GET`    | `/v1/user_profiles`                                                       | `ListUserProfiles`                          | Dados                        |
| `GET`    | `/v1/user_profiles/{id}`                                                  | `GetUserProfile`                            | Dados                        |
| `POST`   | `/v1/user_profiles/{id}`                                                  | `UpdateUserProfile`                         | Dados                        |
| `POST`   | `/v1/user_profiles/{id}/enrollment_url`                                   | `CreateUserProfileEnrollmentUrl`            | Dados                        |
| `POST`   | `/v1/organizations/workspaces`                                            | `CreateWorkspace`                           | Gerenciamento                |
| `GET`    | `/v1/organizations/workspaces`                                            | `ListWorkspaces`                            | Gerenciamento                |
| `GET`    | `/v1/organizations/workspaces/{id}`                                       | `GetWorkspace`                              | Gerenciamento                |
| `POST`   | `/v1/organizations/workspaces/{id}`                                       | `UpdateWorkspace`                           | Gerenciamento                |
| `POST`   | `/v1/organizations/workspaces/{id}/archive`                               | `ArchiveWorkspace`                          | Gerenciamento                |
| `POST`   | `/v1/organizations/external_keys`                                         | `RegisterKey`                               | Gerenciamento                |
| `GET`    | `/v1/organizations/external_keys`                                         | `ListKeys`                                  | Gerenciamento                |
| `GET`    | `/v1/organizations/external_keys/{id}`                                    | `GetKey`                                    | Gerenciamento                |
| `POST`   | `/v1/organizations/external_keys/{id}`                                    | `UpdateKey`                                 | Gerenciamento                |
| `DELETE` | `/v1/organizations/external_keys/{id}`                                    | `DisableKey`                                | Gerenciamento                |
| `POST`   | `/v1/organizations/telemetry_destinations`                                | `CreateAccountTelemetryDestination`         | Gerenciamento                |
| `GET`    | `/v1/organizations/telemetry_destinations`                                | `ListAccountTelemetryDestinations`          | Gerenciamento                |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}`                           | `GetAccountTelemetryDestination`            | Gerenciamento                |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}`                           | `UpdateAccountTelemetryDestination`         | Gerenciamento                |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}`                           | `DeleteAccountTelemetryDestination`         | Gerenciamento                |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/test`                      | `TestAccountTelemetryDestination`           | Gerenciamento                |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}/workspaces`                | `ListAccountTelemetryDestinationWorkspaces` | Gerenciamento                |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `AddTelemetryDestinationWorkspace`          | Gerenciamento                |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `RemoveTelemetryDestinationWorkspace`       | Gerenciamento                |
| `GET`    | `/v1/compliance/activities`                                               | `ListComplianceActivities`                  | Gerenciamento                |
| `POST`   | `/v1/agents`                                                              | `CreateAgent`                               | Dados                        |
| `GET`    | `/v1/agents`                                                              | `ListAgents`                                | Dados                        |
| `GET`    | `/v1/agents/{id}`                                                         | `GetAgent`                                  | Dados                        |
| `POST`   | `/v1/agents/{id}`                                                         | `UpdateAgent`                               | Dados                        |
| `POST`   | `/v1/agents/{id}/archive`                                                 | `ArchiveAgent`                              | Dados                        |
| `GET`    | `/v1/agents/{id}/versions`                                                | `GetAgent`                                  | Dados                        |
| `POST`   | `/v1/sessions`                                                            | `CreateSession`                             | Dados                        |
| `GET`    | `/v1/sessions`                                                            | `ListSessions`                              | Dados                        |
| `GET`    | `/v1/sessions/{id}`                                                       | `GetSession`                                | Dados                        |
| `POST`   | `/v1/sessions/{id}`                                                       | `UpdateSession`                             | Dados                        |
| `POST`   | `/v1/sessions/{id}/archive`                                               | `ArchiveSession`                            | Dados                        |
| `DELETE` | `/v1/sessions/{id}`                                                       | `DeleteSession`                             | Dados                        |
| `GET`    | `/v1/sessions/{id}/events`                                                | `GetSession`                                | Dados                        |
| `POST`   | `/v1/sessions/{id}/events`                                                | `UpdateSession`                             | Dados                        |
| `GET`    | `/v1/sessions/{id}/events/stream`                                         | `GetSession`                                | Dados                        |
| `GET`    | `/v1/sessions/{id}/resources`                                             | `GetSession`                                | Dados                        |
| `GET`    | `/v1/sessions/{id}/resources/{id}`                                        | `GetSession`                                | Dados                        |
| `POST`   | `/v1/sessions/{id}/resources`                                             | `UpdateSession`                             | Dados                        |
| `POST`   | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Dados                        |
| `DELETE` | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Dados                        |
| `POST`   | `/v1/environments`                                                        | `CreateEnvironment`                         | Dados                        |
| `GET`    | `/v1/environments`                                                        | `ListEnvironments`                          | Dados                        |
| `GET`    | `/v1/environments/{id}`                                                   | `GetEnvironment`                            | Dados                        |
| `POST`   | `/v1/environments/{id}`                                                   | `UpdateEnvironment`                         | Dados                        |
| `POST`   | `/v1/environments/{id}/archive`                                           | `ArchiveEnvironment`                        | Dados                        |
| `DELETE` | `/v1/environments/{id}`                                                   | `DeleteEnvironment`                         | Dados                        |
| `GET`    | `/v1/environments/{id}/work`                                              | `GetEnvironment`                            | Dados                        |
| `GET`    | `/v1/environments/{id}/work/poll`                                         | `ProcessEnvironmentWork`                    | Dados                        |
| `GET`    | `/v1/environments/{id}/work/{work_id}`                                    | `GetEnvironment`                            | Dados                        |
| `GET`    | `/v1/environments/{id}/work/stats`                                        | `GetEnvironment`                            | Dados                        |
| `POST`   | `/v1/environments/{id}/work/{work_id}`                                    | `ProcessEnvironmentWork`                    | Dados                        |
| `POST`   | `/v1/environments/{id}/work/{work_id}/ack`                                | `ProcessEnvironmentWork`                    | Dados                        |
| `POST`   | `/v1/environments/{id}/work/{work_id}/heartbeat`                          | `ProcessEnvironmentWork`                    | Dados                        |
| `POST`   | `/v1/environments/{id}/work/{work_id}/stop`                               | `ProcessEnvironmentWork`                    | Dados                        |
| `POST`   | `/v1/vaults`                                                              | `CreateVault`                               | Gerenciamento                |
| `GET`    | `/v1/vaults`                                                              | `ListVaults`                                | Gerenciamento                |
| `GET`    | `/v1/vaults/{id}`                                                         | `GetVault`                                  | Gerenciamento                |
| `POST`   | `/v1/vaults/{id}`                                                         | `UpdateVault`                               | Gerenciamento                |
| `POST`   | `/v1/vaults/{id}/archive`                                                 | `ArchiveVault`                              | Gerenciamento                |
| `DELETE` | `/v1/vaults/{id}`                                                         | `DeleteVault`                               | Gerenciamento                |
| `GET`    | `/v1/vaults/{id}/credentials`                                             | `GetVault`                                  | Gerenciamento                |
| `POST`   | `/v1/vaults/{id}/credentials`                                             | `UpdateVault`                               | Gerenciamento                |
| `GET`    | `/v1/vaults/{id}/credentials/{id}`                                        | `GetVault`                                  | Gerenciamento                |
| `POST`   | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Gerenciamento                |
| `POST`   | `/v1/vaults/{id}/credentials/{id}/archive`                                | `UpdateVault`                               | Gerenciamento                |
| `DELETE` | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Gerenciamento                |
| `POST`   | `/v1/memory_stores`                                                       | `CreateMemoryStore`                         | Dados                        |
| `GET`    | `/v1/memory_stores`                                                       | `ListMemoryStores`                          | Dados                        |
| `GET`    | `/v1/memory_stores/{id}`                                                  | `GetMemoryStore`                            | Dados                        |
| `POST`   | `/v1/memory_stores/{id}`                                                  | `UpdateMemoryStore`                         | Dados                        |
| `POST`   | `/v1/memory_stores/{id}/archive`                                          | `ArchiveMemoryStore`                        | Dados                        |
| `DELETE` | `/v1/memory_stores/{id}`                                                  | `DeleteMemoryStore`                         | Dados                        |
| `POST`   | `/v1/memory_stores/{id}/memories`                                         | `UpdateMemoryStore`                         | Dados                        |
| `GET`    | `/v1/memory_stores/{id}/memories`                                         | `GetMemoryStore`                            | Dados                        |
| `GET`    | `/v1/memory_stores/{id}/memories/{id}`                                    | `GetMemoryStore`                            | Dados                        |
| `POST`   | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Dados                        |
| `DELETE` | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Dados                        |
| `GET`    | `/v1/memory_stores/{id}/memory_versions`                                  | `GetMemoryStore`                            | Dados                        |
| `GET`    | `/v1/memory_stores/{id}/memory_versions/{id}`                             | `GetMemoryStore`                            | Dados                        |
| `POST`   | `/v1/memory_stores/{id}/memory_versions/{id}/redact`                      | `UpdateMemoryStore`                         | Dados                        |
| `GET`    | `/v1/webhooks`                                                            | `ListWebhooks`                              | Gerenciamento                |
| `GET`    | `/v1/webhooks/{id}`                                                       | `GetWebhook`                                | Gerenciamento                |
| `POST`   | `/v1/webhooks`                                                            | `CreateWebhook`                             | Gerenciamento                |
| `POST`   | `/v1/webhooks/{id}`                                                       | `UpdateWebhook`                             | Gerenciamento                |
| `DELETE` | `/v1/webhooks/{id}`                                                       | `DeleteWebhook`                             | Gerenciamento                |
| `POST`   | `/v1/webhooks/{id}/regenerate_signing_secret`                             | `RotateWebhookSecret`                       | Gerenciamento                |

Rotas que não estão nesta tabela não estão disponíveis no Claude Platform on AWS. O gateway nega por padrão qualquer rota não listada aqui.

<Note>
  As rotas de workspace, de chaves externas e de destinos de telemetria são as únicas rotas da Admin API disponíveis no Claude Platform on AWS. Você também pode criar, atualizar ou arquivar workspaces no AWS Console ou, com a função Admin, no Claude Console. As chaves de criptografia também podem ser registradas e anexadas no Claude Console.
</Note>

## Políticas gerenciadas

A AWS fornece cinco políticas gerenciadas para o Claude Platform on AWS. Todas as políticas gerenciadas se aplicam a `Resource: "*"`.

| Política                               | Concede                                                                                                                                                                                         |
| -------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `AnthropicFullAccess`                  | `aws-external-anthropic:*`                                                                                                                                                                      |
| `AnthropicReadOnlyAccess`              | `Get*`, `List*`, `CallWithBearerToken`                                                                                                                                                          |
| `AnthropicInferenceAccess`             | `Get*`, `List*`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`                                                |
| `AnthropicLimitedAccess`               | Todas as ações de `AnthropicInferenceAccess`, mais todas as ações do Claude Managed Agents (agentes, sessões, ambientes, vaults, memory stores, webhooks e trabalho de ambiente auto-hospedado) |
| `AnthropicSelfHostedEnvironmentAccess` | `GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`                                                                                    |

`AnthropicInferenceAccess` é a política gerenciada mais restrita suficiente para executar inferência. Ela cobre tanto inferência síncrona quanto em lote e, por meio dos curingas `Get*` e `List*`, concede acesso de leitura a todos os recursos da API no namespace, incluindo recursos do Claude Managed Agents (CMA) (agentes, sessões, ambientes, vaults, memory stores e webhooks). Isso inclui o download de conteúdo de arquivos por meio de `GetFile` (consulte a nota de [Arquivos](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#files)), o download de conteúdo de skills por meio de `GetSkill` (consulte a nota de [Skills](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#skills)) e o conteúdo de memórias por meio de `GetMemoryStore`. Os segredos de credenciais de vault e os segredos de assinatura de webhook não são expostos: esses campos são somente gravação e nunca são retornados por `GetVault` ou `GetWebhook` (consulte [Autenticar com vaults](https://platform.claude.com/docs/pt-BR/managed-agents/vaults)). `AnthropicInferenceAccess` não concede criação ou exclusão de arquivos, gerenciamento de skills, gerenciamento de perfis de usuário, mutação de workspace, gerenciamento de chaves de criptografia, gerenciamento de destinos de telemetria nem qualquer ação de gravação do Claude Managed Agents (criar, atualizar, arquivar, excluir, processar ou rotacionar). Para excluir leituras de CMA, substitua `AnthropicInferenceAccess` por uma política personalizada que enumere apenas as ações específicas não relacionadas a CMA de que você precisa.

<Note>
  `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` e `AnthropicLimitedAccess` contêm os curingas `Get*` e `List*`, que concedem acesso de leitura a todo o conteúdo do workspace: bytes de arquivos, conteúdo de skills, resultados de lotes, histórico de conversas das sessões e conteúdo das memórias. Os curingas também concedem `GetKey` e `ListKeys`, que leem as configurações de chaves de criptografia registradas da organização (ARNs e metadados das chaves, nunca o material da chave). Eles também concedem `GetUserProfile` e `ListUserProfiles`, com escopo de conta, que leem perfis de usuário. O curinga `List*` também concede `ListComplianceActivities`, que lê o [Activity Feed](https://platform.claude.com/docs/pt-BR/manage-claude/compliance-activity-feed) de conformidade da organização assim que a Compliance API é habilitada para a organização (consulte [Conformidade](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#compliance)). Os curingas também concedem `GetAccountTelemetryDestination`, `ListAccountTelemetryDestinations` e `ListAccountTelemetryDestinationWorkspaces`, que leem os destinos de telemetria da organização, mas nunca seus valores de cabeçalho. Os segredos das credenciais de vault e os segredos de assinatura de webhooks não são expostos; esses campos são somente gravação e nunca são retornados por `GetVault` ou `GetWebhook`. Se o seu principal não deve ler o conteúdo existente, use uma política personalizada que enumere apenas as ações de que você precisa.
</Note>

`AnthropicLimitedAccess` inclui todas as ações do Claude Managed Agents além das ações de inferência.

`AnthropicSelfHostedEnvironmentAccess` é a política gerenciada mais restrita suficiente para executar um worker de [sandbox auto-hospedado](https://platform.claude.com/docs/pt-BR/managed-agents/self-hosted-sandboxes). Anexe-a ao principal com o qual seu worker de ambiente se autentica.

`AssumeConsole` não está incluída em `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess`, `AnthropicLimitedAccess` ou `AnthropicSelfHostedEnvironmentAccess`. Principals que precisam de acesso ao Claude Console exigem `AnthropicFullAccess` ou uma política personalizada que conceda `aws-external-anthropic:AssumeConsole`. Consulte [Acesso ao Console](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#console-access).

<Note>
  `CreateInference` e `CreateBatchInference` são ações separadas. Negar uma não bloqueia a outra. Se você pretende impedir todas as chamadas de modelo, negue ambas.
</Note>

## Exemplos de políticas

### Inferência síncrona em um único workspace

Concede as permissões mínimas para um principal do IAM que executa inferência em um workspace de produção:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  `ListWorkspaces` tem escopo de conta (consulte [Automação de provisionamento](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#provisioning-automation)). Se sua conta de serviço precisar enumerar workspaces, adicione uma instrução `Allow` separada para `ListWorkspaces` com `Resource: "*"`.

  Esta política pressupõe autenticação AWS SigV4. Se o principal se autenticar com uma chave de API, adicione uma instrução `Allow` separada para `aws-external-anthropic:CallWithBearerToken` com `Resource: "*"`. `CallWithBearerToken` é uma ação sem rota que não se vincula a um ARN de workspace. Consulte [Isolamento de workspace por cliente](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#per-customer-workspace-isolation) para o padrão de duas instruções.
</Note>

### Isolamento de workspace por cliente

Restringe uma função a um único workspace:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}
```

<Note>
  O curinga `aws-external-anthropic:*` na primeira instrução inclui ações com escopo de conta (`CreateWorkspace`, `ListWorkspaces`, `ListComplianceActivities`, as ações de chave externa, as ações de destinos de telemetria com escopo de conta e as ações de perfil de usuário) que a restrição de ARN de workspace filtra silenciosamente. Isso é consistente com a intenção de "isolamento" (a função não pode criar workspaces, enumerar workspaces, gerenciar registros de chaves de criptografia, ler o Activity Feed de conformidade, nem ler ou gerenciar perfis de usuário, e também não pode criar, ler ou alterar destinos de telemetria; ela ainda pode anexar uma chave já registrada ao seu próprio workspace por meio de `UpdateWorkspace`, e adicionar seu próprio workspace a um destino, ou removê-lo de um, dado o ID do destino), mas a política contém permissões que não têm efeito. Se a função precisar de perfis de usuário, adicione uma instrução `Allow` separada para as ações de perfil de usuário com `Resource: "*"`. Consulte [Automação de provisionamento](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#provisioning-automation) para o padrão com escopo de conta.

  `CallWithBearerToken` e `AssumeConsole` são ações sem rota que não se vinculam a um ARN de workspace. A segunda instrução as concede em `Resource: "*"` para que a função possa se autenticar com uma chave de API e abrir o Claude Console. Omita essa instrução se a função usar apenas SigV4 e não precisar de acesso ao Claude Console.
</Note>

### Bloqueio de recursos para um workspace sensível a ZDR

Bloqueia o processamento em lote e o upload de arquivos em um workspace específico, mantendo a inferência síncrona disponível. Útil quando um workspace lida com dados de [Zero Data Retention (ZDR)](https://platform.claude.com/docs/pt-BR/manage-claude/api-and-data-retention) que não devem persistir no lado do servidor. Anexe esta política junto com uma política Allow, como `AnthropicInferenceAccess` ou o [exemplo de workspace único](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#synchronous-inference-on-a-single-workspace); sozinha, uma política somente de Deny não concede nenhuma permissão:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  Este deny bloqueia apenas a criação. Outras ações de arquivo e lote não são negadas, a menos que você também as liste. Para um bloqueio completo em que o workspace nunca deve conter arquivos ou lotes, negue também `aws-external-anthropic:GetFile`, `aws-external-anthropic:ListFiles`, `aws-external-anthropic:DeleteFile`, `aws-external-anthropic:GetBatchInference`, `aws-external-anthropic:ListBatchInferences`, `aws-external-anthropic:CancelBatchInference` e `aws-external-anthropic:DeleteBatchInference`.
</Note>

### Automação de provisionamento

<Note>
  Além da Admin API, você pode criar, atualizar ou arquivar workspaces no AWS Console ou, com a função Admin, no Claude Console.
</Note>

Concede a uma função de CI/CD as ações necessárias para criar e gerenciar workspaces, sem nenhuma permissão de inferência:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}
```

`CreateWorkspace` e `ListWorkspaces` são operações com escopo de conta. Especificar um ARN de workspace nessas ações não tem efeito; use `Resource: "*"`.

## Veja também

* [Claude Platform on AWS](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-platform-on-aws) para configuração, autenticação e visão geral da plataforma
* [Guia do usuário do AWS IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) para sintaxe de políticas do IAM e lógica de avaliação
* [Guia do usuário do AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/) para configuração de logs de auditoria