---
title: Действия IAM для Claude Platform на AWS
url: https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions
description: Справочник действий IAM для управления доступом к Claude Platform на AWS с помощью политик AWS.
---

Claude Platform на AWS использует AWS IAM для управления доступом. Каждый маршрут API сопоставляется с действием IAM в пространстве имён `aws-external-anthropic`. На этой странице перечислены все действия, маршруты, которые авторизует каждое действие, а также управляемые политики (managed policies), доступные для типичных сценариев доступа. Сведения о настройке платформы и аутентификации см. в разделе [Claude Platform на AWS](https://platform.claude.com/docs/ru/build-with-claude/claude-platform-on-aws).

## Сведения о сервисе

| Атрибут                 | Значение                 |
| ----------------------- | ------------------------ |
| **Префикс сервиса IAM** | `aws-external-anthropic` |
| **Типы ресурсов**       | `workspace`              |

Формат ARN рабочего пространства (workspace):

```text wrap
arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}
```

Регион в ARN всегда заполнен и совпадает с регионом, к которому привязано рабочее пространство. Сегмент ресурса — это тегированный идентификатор рабочего пространства (`wrkspc_...`), то же значение, которое вы передаёте в заголовке `anthropic-workspace-id`.

## Действия

Действия следуют соглашению AWS `VerbNoun` и придерживаются строгой дисциплины глаголов, так что «wildcards» (подстановочные шаблоны) `Get*` и `List*` образуют чёткую границу доступа только для чтения.

### Инференс

| Действие          | Авторизуемые маршруты            |
| ----------------- | -------------------------------- |
| `CreateInference` | `POST /v1/messages`              |
| `CountTokens`     | `POST /v1/messages/count_tokens` |

### Пакетная обработка

| Действие               | Авторизуемые маршруты                                                        |
| ---------------------- | ---------------------------------------------------------------------------- |
| `CreateBatchInference` | `POST /v1/messages/batches`                                                  |
| `GetBatchInference`    | `GET /v1/messages/batches/{id}`<br />`GET /v1/messages/batches/{id}/results` |
| `ListBatchInferences`  | `GET /v1/messages/batches`                                                   |
| `CancelBatchInference` | `POST /v1/messages/batches/{id}/cancel`                                      |
| `DeleteBatchInference` | `DELETE /v1/messages/batches/{id}`                                           |

<Note>
  `GetBatchInference` авторизует как чтение метаданных пакета, так и загрузку результатов пакета. Подстановочные шаблоны `Get*` политик `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` и `AnthropicLimitedAccess` включают это действие.
</Note>

### Модели

| Действие     | Авторизуемые маршруты |
| ------------ | --------------------- |
| `GetModel`   | `GET /v1/models/{id}` |
| `ListModels` | `GET /v1/models`      |

### Файлы

| Действие     | Авторизуемые маршруты                                  |
| ------------ | ------------------------------------------------------ |
| `CreateFile` | `POST /v1/files`                                       |
| `GetFile`    | `GET /v1/files/{id}`<br />`GET /v1/files/{id}/content` |
| `ListFiles`  | `GET /v1/files`                                        |
| `DeleteFile` | `DELETE /v1/files/{id}`                                |

<Note>
  `GetFile` авторизует как получение метаданных, так и загрузку содержимого. Принципал с доступом только для чтения может загружать байты файлов, а не только просматривать список файлов.
</Note>

### Навыки (Skills)

| Действие      | Авторизуемые маршруты                                                                                                                                         |
| ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSkill` | `POST /v1/skills`                                                                                                                                             |
| `GetSkill`    | `GET /v1/skills/{id}`<br />`GET /v1/skills/{id}/versions`<br />`GET /v1/skills/{id}/versions/{version}`<br />`GET /v1/skills/{id}/versions/{version}/content` |
| `ListSkills`  | `GET /v1/skills`                                                                                                                                              |
| `UpdateSkill` | `POST /v1/skills/{id}/versions`<br />`DELETE /v1/skills/{id}/versions/{version}`                                                                              |
| `DeleteSkill` | `DELETE /v1/skills/{id}`                                                                                                                                      |

<Note>
  `GetSkill` авторизует как получение метаданных навыка, так и загрузку содержимого навыка. Принципал с доступом только для чтения может загружать байты навыков, а не только просматривать список навыков.
</Note>

<Note>
  Создание или удаление отдельной версии навыка сопоставляется с `UpdateSkill`, а не с `CreateSkill` или `DeleteSkill`. Политика, запрещающая `aws-external-anthropic:Delete*`, по-прежнему разрешает удаление версий, а политика, запрещающая `aws-external-anthropic:Create*`, по-прежнему разрешает создание версий. Запретите также `UpdateSkill` и `CreateSkill`, если вам нужно предотвратить любые изменения навыков.
</Note>

### Агенты

| Действие       | Авторизуемые маршруты                                     |
| -------------- | --------------------------------------------------------- |
| `CreateAgent`  | `POST /v1/agents`                                         |
| `GetAgent`     | `GET /v1/agents/{id}`<br />`GET /v1/agents/{id}/versions` |
| `ListAgents`   | `GET /v1/agents`                                          |
| `UpdateAgent`  | `POST /v1/agents/{id}`                                    |
| `ArchiveAgent` | `POST /v1/agents/{id}/archive`                            |

<Note>
  Агенты поддерживают только архивирование, а не полное удаление. Политика, запрещающая `aws-external-anthropic:Delete*`, не блокирует `ArchiveAgent`. Запретите `ArchiveAgent`, `UpdateAgent` и `CreateAgent`, если вам нужно предотвратить любые изменения агентов.
</Note>

### Сессии

| Действие         | Авторизуемые маршруты                                                                                                                                                                             |
| ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateSession`  | `POST /v1/sessions`                                                                                                                                                                               |
| `GetSession`     | `GET /v1/sessions/{id}`<br />`GET /v1/sessions/{id}/events`<br />`GET /v1/sessions/{id}/events/stream`<br />`GET /v1/sessions/{id}/resources`<br />`GET /v1/sessions/{id}/resources/{id}`         |
| `ListSessions`   | `GET /v1/sessions`                                                                                                                                                                                |
| `UpdateSession`  | `POST /v1/sessions/{id}`<br />`POST /v1/sessions/{id}/events`<br />`POST /v1/sessions/{id}/resources`<br />`POST /v1/sessions/{id}/resources/{id}`<br />`DELETE /v1/sessions/{id}/resources/{id}` |
| `ArchiveSession` | `POST /v1/sessions/{id}/archive`                                                                                                                                                                  |
| `DeleteSession`  | `DELETE /v1/sessions/{id}`                                                                                                                                                                        |

<Note>
  `GetSession` авторизует чтение метаданных сессии, полного потока событий (истории разговора) и ресурсов сессии. Подстановочные шаблоны `Get*` политик `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` и `AnthropicLimitedAccess` включают это действие.
</Note>

<Note>
  Создание, обновление или удаление отдельного подресурса сессии (событий или ресурсов сессии) сопоставляется с `UpdateSession`, а не с `CreateSession` или `DeleteSession`. Политика, запрещающая `aws-external-anthropic:Delete*`, по-прежнему разрешает удаление подресурсов, а политика, запрещающая `aws-external-anthropic:Create*`, по-прежнему разрешает создание подресурсов. Запретите также `UpdateSession`, `CreateSession` и `ArchiveSession`, если вам нужно предотвратить любые изменения сессий.
</Note>

### Окружения

| Действие                 | Авторизуемые маршруты                                                                                                                                                                                                                                        |
| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `CreateEnvironment`      | `POST /v1/environments`                                                                                                                                                                                                                                      |
| `GetEnvironment`         | `GET /v1/environments/{id}`<br />`GET /v1/environments/{id}/work`<br />`GET /v1/environments/{id}/work/{work_id}`<br />`GET /v1/environments/{id}/work/stats`                                                                                                |
| `ListEnvironments`       | `GET /v1/environments`                                                                                                                                                                                                                                       |
| `UpdateEnvironment`      | `POST /v1/environments/{id}`                                                                                                                                                                                                                                 |
| `ArchiveEnvironment`     | `POST /v1/environments/{id}/archive`                                                                                                                                                                                                                         |
| `DeleteEnvironment`      | `DELETE /v1/environments/{id}`                                                                                                                                                                                                                               |
| `ProcessEnvironmentWork` | `GET /v1/environments/{id}/work/poll`<br />`POST /v1/environments/{id}/work/{work_id}`<br />`POST /v1/environments/{id}/work/{work_id}/ack`<br />`POST /v1/environments/{id}/work/{work_id}/heartbeat`<br />`POST /v1/environments/{id}/work/{work_id}/stop` |

<Note>
  Политика, запрещающая `aws-external-anthropic:Delete*`, не блокирует `ArchiveEnvironment`. `ProcessEnvironmentWork` не соответствует подстановочным шаблонам `Create*`, `Update*`, `Delete*` или `Archive*`. Запретите также `ArchiveEnvironment`, `UpdateEnvironment`, `CreateEnvironment` и `ProcessEnvironmentWork`, если вам нужно предотвратить любые изменения окружений.
</Note>

<Note>
  `ProcessEnvironmentWork` авторизует воркер [самостоятельно размещаемой песочницы](https://platform.claude.com/docs/ru/managed-agents/self-hosted-sandboxes) на опрос, подтверждение, отправку heartbeat-сигналов, остановку и публикацию результатов для рабочих элементов окружения. Предоставляйте его только принципалам, которые запускают самостоятельно размещаемые воркеры окружений. Управляемая политика `AnthropicSelfHostedEnvironmentAccess` включает это действие.
</Note>

### Хранилища секретов (Vaults)

| Действие       | Авторизуемые маршруты                                                                                                                                                                                           |
| -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateVault`  | `POST /v1/vaults`                                                                                                                                                                                               |
| `GetVault`     | `GET /v1/vaults/{id}`<br />`GET /v1/vaults/{id}/credentials`<br />`GET /v1/vaults/{id}/credentials/{id}`                                                                                                        |
| `ListVaults`   | `GET /v1/vaults`                                                                                                                                                                                                |
| `UpdateVault`  | `POST /v1/vaults/{id}`<br />`POST /v1/vaults/{id}/credentials`<br />`POST /v1/vaults/{id}/credentials/{id}`<br />`POST /v1/vaults/{id}/credentials/{id}/archive`<br />`DELETE /v1/vaults/{id}/credentials/{id}` |
| `ArchiveVault` | `POST /v1/vaults/{id}/archive`                                                                                                                                                                                  |
| `DeleteVault`  | `DELETE /v1/vaults/{id}`                                                                                                                                                                                        |

<Note>
  Создание, обновление, архивирование или удаление отдельных учётных данных хранилища сопоставляется с `UpdateVault`. Чтение учётных данных сопоставляется с `GetVault`. Секреты учётных данных хранилища не раскрываются: секретные поля доступны только для записи и никогда не возвращаются `GetVault` (см. [Аутентификация с помощью хранилищ](https://platform.claude.com/docs/ru/managed-agents/vaults)). Политика, запрещающая `aws-external-anthropic:Delete*`, по-прежнему разрешает удаление учётных данных, а политика, запрещающая `aws-external-anthropic:Create*`, по-прежнему разрешает создание учётных данных. Запретите также `UpdateVault`, `CreateVault` и `ArchiveVault`, если вам нужно предотвратить любые изменения хранилищ.
</Note>

### Хранилища памяти (Memory stores)

| Действие             | Авторизуемые маршруты                                                                                                                                                                                                                        |
| -------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `CreateMemoryStore`  | `POST /v1/memory_stores`                                                                                                                                                                                                                     |
| `GetMemoryStore`     | `GET /v1/memory_stores/{id}`<br />`GET /v1/memory_stores/{id}/memories`<br />`GET /v1/memory_stores/{id}/memories/{id}`<br />`GET /v1/memory_stores/{id}/memory_versions`<br />`GET /v1/memory_stores/{id}/memory_versions/{id}`             |
| `ListMemoryStores`   | `GET /v1/memory_stores`                                                                                                                                                                                                                      |
| `UpdateMemoryStore`  | `POST /v1/memory_stores/{id}`<br />`POST /v1/memory_stores/{id}/memories`<br />`POST /v1/memory_stores/{id}/memories/{id}`<br />`DELETE /v1/memory_stores/{id}/memories/{id}`<br />`POST /v1/memory_stores/{id}/memory_versions/{id}/redact` |
| `ArchiveMemoryStore` | `POST /v1/memory_stores/{id}/archive`                                                                                                                                                                                                        |
| `DeleteMemoryStore`  | `DELETE /v1/memory_stores/{id}`                                                                                                                                                                                                              |

<Note>
  `GetMemoryStore` авторизует чтение метаданных хранилища, всех записей памяти и истории версий памяти. Подстановочные шаблоны `Get*` политик `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` и `AnthropicLimitedAccess` включают это действие.
</Note>

<Note>
  Создание, обновление или удаление отдельной записи памяти, а также редактирование (redact) версии памяти сопоставляются с `UpdateMemoryStore`, а не с `CreateMemoryStore` или `DeleteMemoryStore`. Политика, запрещающая `aws-external-anthropic:Delete*`, по-прежнему разрешает удаление отдельных записей памяти и редактирование версий памяти, а политика, запрещающая `aws-external-anthropic:Create*`, по-прежнему разрешает создание отдельных записей памяти. Запретите также `UpdateMemoryStore`, `CreateMemoryStore` и `ArchiveMemoryStore`, если вам нужно предотвратить любые изменения хранилищ памяти.
</Note>

### Вебхуки

| Действие              | Авторизуемые маршруты                              |
| --------------------- | -------------------------------------------------- |
| `CreateWebhook`       | `POST /v1/webhooks`                                |
| `GetWebhook`          | `GET /v1/webhooks/{id}`                            |
| `ListWebhooks`        | `GET /v1/webhooks`                                 |
| `UpdateWebhook`       | `POST /v1/webhooks/{id}`                           |
| `DeleteWebhook`       | `DELETE /v1/webhooks/{id}`                         |
| `RotateWebhookSecret` | `POST /v1/webhooks/{id}/regenerate_signing_secret` |

<Note>
  Секреты подписи вебхуков доступны только для записи. `GetWebhook` возвращает только метаданные вебхука; он не возвращает секрет подписи.
</Note>

<Note>
  `RotateWebhookSecret` не соответствует подстановочным шаблонам `aws-external-anthropic:Create*`, `Update*` или `Delete*`. Политика, запрещающая эти шаблоны, по-прежнему разрешает ротацию секрета. Запретите `RotateWebhookSecret`, `UpdateWebhook`, `CreateWebhook` и `DeleteWebhook`, если вам нужно предотвратить любые изменения вебхуков.
</Note>

### Профили пользователей

| Действие                         | Авторизуемые маршруты                        |
| -------------------------------- | -------------------------------------------- |
| `CreateUserProfile`              | `POST /v1/user_profiles`                     |
| `GetUserProfile`                 | `GET /v1/user_profiles/{id}`                 |
| `ListUserProfiles`               | `GET /v1/user_profiles`                      |
| `UpdateUserProfile`              | `POST /v1/user_profiles/{id}`                |
| `CreateUserProfileEnrollmentUrl` | `POST /v1/user_profiles/{id}/enrollment_url` |

<Note>
  Действия с профилями пользователей действуют на уровне учётной записи, как и `ListWorkspaces`. Оператор, у которого `Resource` — это ARN рабочего пространства, их не предоставляет; используйте `Resource: "*"`.
</Note>

<Warning>
  Сопоставление действий IAM нечувствительно к регистру. Подстановочный шаблон `aws-external-anthropic:*File` соответствует `CreateFile`, `GetFile` и `DeleteFile`, но не соответствует `ListFiles` (которое оканчивается на «files», а не на «file»). Он также избыточно соответствует `CreateUserProfile`, `GetUserProfile` и `UpdateUserProfile`, поскольку «Profile» оканчивается на «file». Если вы намерены разрешить или запретить только действия Files API, перечислите их явно (`CreateFile`, `GetFile`, `ListFiles`, `DeleteFile`), а не используйте шаблон с суффиксом `*File`.
</Warning>

### Рабочие пространства

| Действие           | Авторизуемые маршруты                            |
| ------------------ | ------------------------------------------------ |
| `CreateWorkspace`  | `POST /v1/organizations/workspaces`              |
| `GetWorkspace`     | `GET /v1/organizations/workspaces/{id}`          |
| `ListWorkspaces`   | `GET /v1/organizations/workspaces`               |
| `UpdateWorkspace`  | `POST /v1/organizations/workspaces/{id}`         |
| `ArchiveWorkspace` | `POST /v1/organizations/workspaces/{id}/archive` |

<Note>
  Рабочие пространства поддерживают только архивирование, а не полное удаление. Политика, запрещающая `aws-external-anthropic:Delete*`, не блокирует `ArchiveWorkspace`. Запретите `ArchiveWorkspace`, `UpdateWorkspace` и `CreateWorkspace`, если вам нужно предотвратить любые изменения рабочих пространств.
</Note>

### Ключи шифрования

| Действие      | Авторизуемые маршруты                         |
| ------------- | --------------------------------------------- |
| `RegisterKey` | `POST /v1/organizations/external_keys`        |
| `GetKey`      | `GET /v1/organizations/external_keys/{id}`    |
| `ListKeys`    | `GET /v1/organizations/external_keys`         |
| `UpdateKey`   | `POST /v1/organizations/external_keys/{id}`   |
| `DisableKey`  | `DELETE /v1/organizations/external_keys/{id}` |

<Note>
  Эти действия управляют регистрациями [ключей шифрования, управляемых клиентом (customer-managed encryption key, CMEK)](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms#claude-platform-on-aws) вашей организации — записью о том, какие ARN ключей AWS KMS зарегистрированы. Они не создают, не изменяют и не отключают ключи в AWS KMS. `DisableKey` удаляет регистрацию и отклоняется, пока какое-либо рабочее пространство всё ещё использует ключ. `RegisterKey` и `DisableKey` не соответствуют подстановочным шаблонам `Create*`, `Update*` или `Delete*`; запретите `RegisterKey`, `UpdateKey` и `DisableKey`, если вам нужно предотвратить любые изменения регистраций ключей. В этих маршрутах `{id}` — это URL-кодированный ARN ключа KMS. Привязка зарегистрированного ключа к рабочему пространству — это операция над рабочим пространством, авторизуемая `CreateWorkspace` или `UpdateWorkspace`; принципалу, который привязывает ключ, также необходимы `kms:DescribeKey`, `kms:Encrypt` и `kms:Decrypt` для этого ключа (см. [предварительные требования](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms#claude-platform-on-aws)). Действия с внешними ключами имеют область действия на уровне аккаунта: указание ARN рабочего пространства для них не имеет эффекта; используйте `Resource: "*"`.
</Note>

### Соответствие требованиям (Compliance)

| Действие                   | Авторизуемые маршруты           |
| -------------------------- | ------------------------------- |
| `ListComplianceActivities` | `GET /v1/compliance/activities` |

<Note>
  `ListComplianceActivities` авторизует чтение [ленты активности (Activity Feed)](https://platform.claude.com/docs/ru/manage-claude/compliance-activity-feed) [Compliance API](https://platform.claude.com/docs/ru/manage-claude/compliance-api) — журнала аудита всей организации, включающего события прозрачности доступа. Маршрут возвращает ошибку, пока Compliance API не будет [включён для вашей организации](https://platform.claude.com/docs/ru/manage-claude/compliance-api-access); включение выполняется по запросу через вашу команду по работе с клиентами Anthropic. Подстановочные шаблоны `List*` политик `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` и `AnthropicLimitedAccess` включают это действие.
</Note>

<Note>
  `ListComplianceActivities` имеет область действия на уровне аккаунта, как и `ListWorkspaces`. Указание ARN рабочего пространства для этого действия не имеет эффекта; используйте `Resource: "*"`.
</Note>

### Назначения телеметрии

| Действие                                    | Авторизуемые маршруты                                                            |
| ------------------------------------------- | -------------------------------------------------------------------------------- |
| `CreateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations`                                  |
| `GetAccountTelemetryDestination`            | `GET /v1/organizations/telemetry_destinations/{id}`                              |
| `ListAccountTelemetryDestinations`          | `GET /v1/organizations/telemetry_destinations`                                   |
| `UpdateAccountTelemetryDestination`         | `POST /v1/organizations/telemetry_destinations/{id}`                             |
| `DeleteAccountTelemetryDestination`         | `DELETE /v1/organizations/telemetry_destinations/{id}`                           |
| `TestAccountTelemetryDestination`           | `POST /v1/organizations/telemetry_destinations/{id}/test`                        |
| `ListAccountTelemetryDestinationWorkspaces` | `GET /v1/organizations/telemetry_destinations/{id}/workspaces`                   |
| `AddTelemetryDestinationWorkspace`          | `POST /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}`   |
| `RemoveTelemetryDestinationWorkspace`       | `DELETE /v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` |

<Note>
  Все эти действия, кроме `AddTelemetryDestinationWorkspace` и `RemoveTelemetryDestinationWorkspace`, действуют на уровне учётной записи, поэтому ARN рабочего пространства для них не имеет эффекта. Используйте `Resource: "*"`. Назначение может экспортировать телеметрию всех рабочих пространств организации во всех регионах. Предоставляйте `CreateAccountTelemetryDestination` и `UpdateAccountTelemetryDestination` только принципалам, которым вы доверяете доступ ко всей этой телеметрии.
</Note>

<Note>
  `AddTelemetryDestinationWorkspace` и `RemoveTelemetryDestinationWorkspace` применяются к рабочему пространству, указанному в маршруте, и только для назначения, у которого параметр **Workspaces** имеет значение **Selected**. Чтобы изменить список **All except**, используйте `UpdateAccountTelemetryDestination`. Политика, запрещающая `aws-external-anthropic:Create*`, `Update*` или `Delete*`, всё равно разрешает добавление и удаление рабочих пространств. Чтобы заблокировать любые изменения назначений, запретите также `AddTelemetryDestinationWorkspace` и `RemoveTelemetryDestinationWorkspace`.
</Note>

### Аутентификация

| Действие              | Авторизуемые маршруты |
| --------------------- | --------------------- |
| `CallWithBearerToken` | (нет)                 |

`CallWithBearerToken` — это разрешение уровня аутентификации, которое авторизует принципала на аутентификацию с помощью ключа API (bearer-токена), а не AWS SigV4. Оно не сопоставляется с маршрутом. Предоставляйте его вместе с сопоставленными с маршрутами действиями, которые должен выполнять владелец ключа API.

### Доступ к консоли

| Действие        | Авторизуемые маршруты |
| --------------- | --------------------- |
| `AssumeConsole` | (нет)                 |

`AssumeConsole` авторизует принципала на открытие Claude Console для рабочего пространства Claude Platform на AWS через процесс федерации AWS Console. Оно не сопоставляется с маршрутом. Предоставляйте его принципалам, которые должны иметь возможность нажать **Open Claude Console** на странице сервиса Claude Platform на AWS в AWS Console. Роль в Claude Console (Admin или Developer) назначается отдельно вашим представителем Anthropic по работе с клиентами; она не выводится из разрешений IAM принципала. Описание процесса входа и ролей см. в разделе [Использование Claude Console](https://platform.claude.com/docs/ru/build-with-claude/claude-platform-on-aws#using-the-claude-console).

## Сопоставление маршрутов с действиями

В следующей таблице перечислены все маршруты Claude Platform на AWS и действие IAM, необходимое для вызова каждого из них. Каждое действие IAM также авторизует запросы, использующие заголовок `anthropic-beta`; бета-варианты маршрута не требуют отдельного действия IAM. CloudTrail классифицирует каждое действие либо как событие данных (Data event — высокообъёмные операции плоскости данных), либо как событие управления (Management event — операции плоскости управления). Действия с хранилищами секретов и вебхуками классифицируются как события управления, поскольку они содержат секреты (учётные данные хранилищ и секреты подписи вебхуков) и выигрывают от включённого по умолчанию журналирования аудита. Действия с рабочими пространствами, внешними ключами, назначениями телеметрии и соответствием требованиям также классифицируются как события управления, поскольку это операции плоскости управления на уровне организации. Все остальные действия, включая инференс, пакетную обработку, модели, файлы, навыки, профили пользователей и остальные действия Claude Managed Agents, классифицируются как события данных.

| Метод    | Маршрут                                                                   | Действие IAM                                | Тип события CloudTrail |
| -------- | ------------------------------------------------------------------------- | ------------------------------------------- | ---------------------- |
| `POST`   | `/v1/messages`                                                            | `CreateInference`                           | Data                   |
| `POST`   | `/v1/messages/count_tokens`                                               | `CountTokens`                               | Data                   |
| `POST`   | `/v1/messages/batches`                                                    | `CreateBatchInference`                      | Data                   |
| `GET`    | `/v1/messages/batches`                                                    | `ListBatchInferences`                       | Data                   |
| `GET`    | `/v1/messages/batches/{id}`                                               | `GetBatchInference`                         | Data                   |
| `GET`    | `/v1/messages/batches/{id}/results`                                       | `GetBatchInference`                         | Data                   |
| `POST`   | `/v1/messages/batches/{id}/cancel`                                        | `CancelBatchInference`                      | Data                   |
| `DELETE` | `/v1/messages/batches/{id}`                                               | `DeleteBatchInference`                      | Data                   |
| `GET`    | `/v1/models`                                                              | `ListModels`                                | Data                   |
| `GET`    | `/v1/models/{id}`                                                         | `GetModel`                                  | Data                   |
| `POST`   | `/v1/files`                                                               | `CreateFile`                                | Data                   |
| `GET`    | `/v1/files`                                                               | `ListFiles`                                 | Data                   |
| `GET`    | `/v1/files/{id}`                                                          | `GetFile`                                   | Data                   |
| `GET`    | `/v1/files/{id}/content`                                                  | `GetFile`                                   | Data                   |
| `DELETE` | `/v1/files/{id}`                                                          | `DeleteFile`                                | Data                   |
| `POST`   | `/v1/skills`                                                              | `CreateSkill`                               | Data                   |
| `GET`    | `/v1/skills`                                                              | `ListSkills`                                | Data                   |
| `GET`    | `/v1/skills/{id}`                                                         | `GetSkill`                                  | Data                   |
| `DELETE` | `/v1/skills/{id}`                                                         | `DeleteSkill`                               | Data                   |
| `POST`   | `/v1/skills/{id}/versions`                                                | `UpdateSkill`                               | Data                   |
| `GET`    | `/v1/skills/{id}/versions`                                                | `GetSkill`                                  | Data                   |
| `GET`    | `/v1/skills/{id}/versions/{version}`                                      | `GetSkill`                                  | Data                   |
| `GET`    | `/v1/skills/{id}/versions/{version}/content`                              | `GetSkill`                                  | Data                   |
| `DELETE` | `/v1/skills/{id}/versions/{version}`                                      | `UpdateSkill`                               | Data                   |
| `POST`   | `/v1/user_profiles`                                                       | `CreateUserProfile`                         | Data                   |
| `GET`    | `/v1/user_profiles`                                                       | `ListUserProfiles`                          | Data                   |
| `GET`    | `/v1/user_profiles/{id}`                                                  | `GetUserProfile`                            | Data                   |
| `POST`   | `/v1/user_profiles/{id}`                                                  | `UpdateUserProfile`                         | Data                   |
| `POST`   | `/v1/user_profiles/{id}/enrollment_url`                                   | `CreateUserProfileEnrollmentUrl`            | Data                   |
| `POST`   | `/v1/organizations/workspaces`                                            | `CreateWorkspace`                           | Management             |
| `GET`    | `/v1/organizations/workspaces`                                            | `ListWorkspaces`                            | Management             |
| `GET`    | `/v1/organizations/workspaces/{id}`                                       | `GetWorkspace`                              | Management             |
| `POST`   | `/v1/organizations/workspaces/{id}`                                       | `UpdateWorkspace`                           | Management             |
| `POST`   | `/v1/organizations/workspaces/{id}/archive`                               | `ArchiveWorkspace`                          | Management             |
| `POST`   | `/v1/organizations/external_keys`                                         | `RegisterKey`                               | Management             |
| `GET`    | `/v1/organizations/external_keys`                                         | `ListKeys`                                  | Management             |
| `GET`    | `/v1/organizations/external_keys/{id}`                                    | `GetKey`                                    | Management             |
| `POST`   | `/v1/organizations/external_keys/{id}`                                    | `UpdateKey`                                 | Management             |
| `DELETE` | `/v1/organizations/external_keys/{id}`                                    | `DisableKey`                                | Management             |
| `POST`   | `/v1/organizations/telemetry_destinations`                                | `CreateAccountTelemetryDestination`         | Management             |
| `GET`    | `/v1/organizations/telemetry_destinations`                                | `ListAccountTelemetryDestinations`          | Management             |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}`                           | `GetAccountTelemetryDestination`            | Management             |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}`                           | `UpdateAccountTelemetryDestination`         | Management             |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}`                           | `DeleteAccountTelemetryDestination`         | Management             |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/test`                      | `TestAccountTelemetryDestination`           | Management             |
| `GET`    | `/v1/organizations/telemetry_destinations/{id}/workspaces`                | `ListAccountTelemetryDestinationWorkspaces` | Management             |
| `POST`   | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `AddTelemetryDestinationWorkspace`          | Management             |
| `DELETE` | `/v1/organizations/telemetry_destinations/{id}/workspaces/{workspace_id}` | `RemoveTelemetryDestinationWorkspace`       | Management             |
| `GET`    | `/v1/compliance/activities`                                               | `ListComplianceActivities`                  | Management             |
| `POST`   | `/v1/agents`                                                              | `CreateAgent`                               | Data                   |
| `GET`    | `/v1/agents`                                                              | `ListAgents`                                | Data                   |
| `GET`    | `/v1/agents/{id}`                                                         | `GetAgent`                                  | Data                   |
| `POST`   | `/v1/agents/{id}`                                                         | `UpdateAgent`                               | Data                   |
| `POST`   | `/v1/agents/{id}/archive`                                                 | `ArchiveAgent`                              | Data                   |
| `GET`    | `/v1/agents/{id}/versions`                                                | `GetAgent`                                  | Data                   |
| `POST`   | `/v1/sessions`                                                            | `CreateSession`                             | Data                   |
| `GET`    | `/v1/sessions`                                                            | `ListSessions`                              | Data                   |
| `GET`    | `/v1/sessions/{id}`                                                       | `GetSession`                                | Data                   |
| `POST`   | `/v1/sessions/{id}`                                                       | `UpdateSession`                             | Data                   |
| `POST`   | `/v1/sessions/{id}/archive`                                               | `ArchiveSession`                            | Data                   |
| `DELETE` | `/v1/sessions/{id}`                                                       | `DeleteSession`                             | Data                   |
| `GET`    | `/v1/sessions/{id}/events`                                                | `GetSession`                                | Data                   |
| `POST`   | `/v1/sessions/{id}/events`                                                | `UpdateSession`                             | Data                   |
| `GET`    | `/v1/sessions/{id}/events/stream`                                         | `GetSession`                                | Data                   |
| `GET`    | `/v1/sessions/{id}/resources`                                             | `GetSession`                                | Data                   |
| `GET`    | `/v1/sessions/{id}/resources/{id}`                                        | `GetSession`                                | Data                   |
| `POST`   | `/v1/sessions/{id}/resources`                                             | `UpdateSession`                             | Data                   |
| `POST`   | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Data                   |
| `DELETE` | `/v1/sessions/{id}/resources/{id}`                                        | `UpdateSession`                             | Data                   |
| `POST`   | `/v1/environments`                                                        | `CreateEnvironment`                         | Data                   |
| `GET`    | `/v1/environments`                                                        | `ListEnvironments`                          | Data                   |
| `GET`    | `/v1/environments/{id}`                                                   | `GetEnvironment`                            | Data                   |
| `POST`   | `/v1/environments/{id}`                                                   | `UpdateEnvironment`                         | Data                   |
| `POST`   | `/v1/environments/{id}/archive`                                           | `ArchiveEnvironment`                        | Data                   |
| `DELETE` | `/v1/environments/{id}`                                                   | `DeleteEnvironment`                         | Data                   |
| `GET`    | `/v1/environments/{id}/work`                                              | `GetEnvironment`                            | Data                   |
| `GET`    | `/v1/environments/{id}/work/poll`                                         | `ProcessEnvironmentWork`                    | Data                   |
| `GET`    | `/v1/environments/{id}/work/{work_id}`                                    | `GetEnvironment`                            | Data                   |
| `GET`    | `/v1/environments/{id}/work/stats`                                        | `GetEnvironment`                            | Data                   |
| `POST`   | `/v1/environments/{id}/work/{work_id}`                                    | `ProcessEnvironmentWork`                    | Data                   |
| `POST`   | `/v1/environments/{id}/work/{work_id}/ack`                                | `ProcessEnvironmentWork`                    | Data                   |
| `POST`   | `/v1/environments/{id}/work/{work_id}/heartbeat`                          | `ProcessEnvironmentWork`                    | Data                   |
| `POST`   | `/v1/environments/{id}/work/{work_id}/stop`                               | `ProcessEnvironmentWork`                    | Data                   |
| `POST`   | `/v1/vaults`                                                              | `CreateVault`                               | Management             |
| `GET`    | `/v1/vaults`                                                              | `ListVaults`                                | Management             |
| `GET`    | `/v1/vaults/{id}`                                                         | `GetVault`                                  | Management             |
| `POST`   | `/v1/vaults/{id}`                                                         | `UpdateVault`                               | Management             |
| `POST`   | `/v1/vaults/{id}/archive`                                                 | `ArchiveVault`                              | Management             |
| `DELETE` | `/v1/vaults/{id}`                                                         | `DeleteVault`                               | Management             |
| `GET`    | `/v1/vaults/{id}/credentials`                                             | `GetVault`                                  | Management             |
| `POST`   | `/v1/vaults/{id}/credentials`                                             | `UpdateVault`                               | Management             |
| `GET`    | `/v1/vaults/{id}/credentials/{id}`                                        | `GetVault`                                  | Management             |
| `POST`   | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Management             |
| `POST`   | `/v1/vaults/{id}/credentials/{id}/archive`                                | `UpdateVault`                               | Management             |
| `DELETE` | `/v1/vaults/{id}/credentials/{id}`                                        | `UpdateVault`                               | Management             |
| `POST`   | `/v1/memory_stores`                                                       | `CreateMemoryStore`                         | Data                   |
| `GET`    | `/v1/memory_stores`                                                       | `ListMemoryStores`                          | Data                   |
| `GET`    | `/v1/memory_stores/{id}`                                                  | `GetMemoryStore`                            | Data                   |
| `POST`   | `/v1/memory_stores/{id}`                                                  | `UpdateMemoryStore`                         | Data                   |
| `POST`   | `/v1/memory_stores/{id}/archive`                                          | `ArchiveMemoryStore`                        | Data                   |
| `DELETE` | `/v1/memory_stores/{id}`                                                  | `DeleteMemoryStore`                         | Data                   |
| `POST`   | `/v1/memory_stores/{id}/memories`                                         | `UpdateMemoryStore`                         | Data                   |
| `GET`    | `/v1/memory_stores/{id}/memories`                                         | `GetMemoryStore`                            | Data                   |
| `GET`    | `/v1/memory_stores/{id}/memories/{id}`                                    | `GetMemoryStore`                            | Data                   |
| `POST`   | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Data                   |
| `DELETE` | `/v1/memory_stores/{id}/memories/{id}`                                    | `UpdateMemoryStore`                         | Data                   |
| `GET`    | `/v1/memory_stores/{id}/memory_versions`                                  | `GetMemoryStore`                            | Data                   |
| `GET`    | `/v1/memory_stores/{id}/memory_versions/{id}`                             | `GetMemoryStore`                            | Data                   |
| `POST`   | `/v1/memory_stores/{id}/memory_versions/{id}/redact`                      | `UpdateMemoryStore`                         | Data                   |
| `GET`    | `/v1/webhooks`                                                            | `ListWebhooks`                              | Management             |
| `GET`    | `/v1/webhooks/{id}`                                                       | `GetWebhook`                                | Management             |
| `POST`   | `/v1/webhooks`                                                            | `CreateWebhook`                             | Management             |
| `POST`   | `/v1/webhooks/{id}`                                                       | `UpdateWebhook`                             | Management             |
| `DELETE` | `/v1/webhooks/{id}`                                                       | `DeleteWebhook`                             | Management             |
| `POST`   | `/v1/webhooks/{id}/regenerate_signing_secret`                             | `RotateWebhookSecret`                       | Management             |

Маршруты, отсутствующие в этой таблице, недоступны на Claude Platform на AWS. Шлюз по умолчанию отклоняет любой маршрут, не указанный здесь.

<Note>
  Маршруты рабочих пространств, внешних ключей и назначений телеметрии — единственные маршруты Admin API, доступные на Claude Platform на AWS. Вы также можете создавать, обновлять или архивировать рабочие пространства в AWS Console или, при наличии роли Admin, в Claude Console. Ключи шифрования также можно регистрировать и привязывать в Claude Console.
</Note>

## Управляемые политики

AWS предоставляет пять управляемых политик для Claude Platform на AWS. Все управляемые политики применяются к `Resource: "*"`.

| Политика                               | Предоставляет                                                                                                                                                                                                |
| -------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `AnthropicFullAccess`                  | `aws-external-anthropic:*`                                                                                                                                                                                   |
| `AnthropicReadOnlyAccess`              | `Get*`, `List*`, `CallWithBearerToken`                                                                                                                                                                       |
| `AnthropicInferenceAccess`             | `Get*`, `List*`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`                                                             |
| `AnthropicLimitedAccess`               | Все действия `AnthropicInferenceAccess`, а также все действия Claude Managed Agents (агенты, сессии, окружения, хранилища секретов, хранилища памяти, вебхуки и работа самостоятельно размещаемых окружений) |
| `AnthropicSelfHostedEnvironmentAccess` | `GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`                                                                                                 |

`AnthropicInferenceAccess` — самая узкая управляемая политика, достаточная для выполнения инференса. Она охватывает как синхронный, так и пакетный инференс и через подстановочные шаблоны `Get*` и `List*` предоставляет доступ на чтение ко всем ресурсам API в пространстве имён, включая ресурсы Claude Managed Agents (CMA) (агенты, сессии, окружения, хранилища секретов, хранилища памяти и вебхуки). Сюда входит загрузка содержимого файлов через `GetFile` (см. примечание в разделе [Файлы](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#files)), загрузка содержимого навыков через `GetSkill` (см. примечание в разделе [Навыки](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#skills)) и содержимое памяти через `GetMemoryStore`. Секреты учётных данных хранилищ и секреты подписи вебхуков не раскрываются: эти поля доступны только для записи и никогда не возвращаются `GetVault` или `GetWebhook` (см. [Аутентификация с помощью хранилищ](https://platform.claude.com/docs/ru/managed-agents/vaults)). `AnthropicInferenceAccess` не предоставляет создание или удаление файлов, управление навыками, управление профилями пользователей, изменение рабочих пространств, управление ключами шифрования, управление назначениями телеметрии или какие-либо действия записи Claude Managed Agents (создание, обновление, архивирование, удаление, обработку или ротацию). Чтобы исключить чтение CMA, замените `AnthropicInferenceAccess` пользовательской политикой, которая перечисляет только конкретные необходимые вам действия, не относящиеся к CMA.

<Note>
  `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess` и `AnthropicLimitedAccess` содержат подстановочные шаблоны `Get*` и `List*`, которые предоставляют доступ на чтение ко всему содержимому рабочего пространства: байтам файлов, содержимому навыков, результатам пакетов, истории разговоров сессий и содержимому памяти. Эти шаблоны также предоставляют `GetKey` и `ListKeys`, которые читают конфигурации зарегистрированных ключей шифрования организации (ARN ключей и метаданные, но никогда не сам ключевой материал). Они также предоставляют действующие на уровне учётной записи `GetUserProfile` и `ListUserProfiles`, которые читают профили пользователей. Шаблон `List*` также предоставляет `ListComplianceActivities`, которое читает [ленту активности](https://platform.claude.com/docs/ru/manage-claude/compliance-activity-feed) соответствия требованиям организации после включения Compliance API для организации (см. [Соответствие требованиям](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#compliance)). Эти шаблоны также предоставляют `GetAccountTelemetryDestination`, `ListAccountTelemetryDestinations` и `ListAccountTelemetryDestinationWorkspaces`, которые читают назначения телеметрии организации, но никогда не значения их заголовков. Секреты учётных данных хранилищ и секреты подписи вебхуков не раскрываются; эти поля доступны только для записи и никогда не возвращаются `GetVault` или `GetWebhook`. Если ваш принципал не должен читать существующее содержимое, используйте пользовательскую политику, в которой перечислены только нужные вам действия.
</Note>

`AnthropicLimitedAccess` включает все действия Claude Managed Agents в дополнение к действиям инференса.

`AnthropicSelfHostedEnvironmentAccess` — самая узкая управляемая политика, достаточная для запуска воркера [самостоятельно размещаемой песочницы](https://platform.claude.com/docs/ru/managed-agents/self-hosted-sandboxes). Прикрепите её к принципалу, от имени которого аутентифицируется ваш воркер окружения.

`AssumeConsole` не входит в `AnthropicReadOnlyAccess`, `AnthropicInferenceAccess`, `AnthropicLimitedAccess` или `AnthropicSelfHostedEnvironmentAccess`. Принципалам, которым нужен доступ к Claude Console, требуется либо `AnthropicFullAccess`, либо пользовательская политика, предоставляющая `aws-external-anthropic:AssumeConsole`. См. [Доступ к консоли](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#console-access).

<Note>
  `CreateInference` и `CreateBatchInference` — отдельные действия. Запрет одного не блокирует другое. Если вы намерены предотвратить все вызовы модели, запретите оба.
</Note>

## Примеры политик

### Синхронный инференс в одном рабочем пространстве

Предоставляет минимальные разрешения для принципала IAM, который выполняет инференс в одном производственном рабочем пространстве:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  `ListWorkspaces` имеет область действия на уровне аккаунта (см. [Автоматизация подготовки](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#provisioning-automation)). Если вашему сервисному аккаунту нужно перечислять рабочие пространства, добавьте отдельный оператор `Allow` для `ListWorkspaces` с `Resource: "*"`.

  Эта политика предполагает аутентификацию AWS SigV4. Если принципал аутентифицируется с помощью ключа API, добавьте отдельный оператор `Allow` для `aws-external-anthropic:CallWithBearerToken` с `Resource: "*"`. `CallWithBearerToken` — это действие без маршрута, которое не привязывается к ARN рабочего пространства. Шаблон с двумя операторами см. в разделе [Изоляция рабочих пространств по клиентам](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#per-customer-workspace-isolation).
</Note>

### Изоляция рабочих пространств по клиентам

Ограничивает роль одним рабочим пространством:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}
```

<Note>
  Подстановочный шаблон `aws-external-anthropic:*` в первом операторе включает действия уровня учётной записи (`CreateWorkspace`, `ListWorkspaces`, `ListComplianceActivities`, действия с внешними ключами, действия с назначениями телеметрии уровня учётной записи и действия с профилями пользователей), которые ограничение по ARN рабочего пространства незаметно отфильтровывает. Это соответствует цели «изоляции» (роль не может создавать рабочие пространства, получать их список, управлять регистрациями ключей шифрования, читать ленту активности соответствия требованиям, а также читать профили пользователей или управлять ими, и она не может создавать, читать или изменять назначения телеметрии; при этом она по-прежнему может привязать уже зарегистрированный ключ к своему рабочему пространству через `UpdateWorkspace`, а также добавить своё рабочее пространство в назначение или удалить его оттуда, зная ID назначения), однако политика содержит разрешения, которые не имеют эффекта. Если роли нужны профили пользователей, добавьте отдельный оператор `Allow` для действий с профилями пользователей с `Resource: "*"`. Шаблон для действий уровня учётной записи см. в разделе [Автоматизация подготовки](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#provisioning-automation).

  `CallWithBearerToken` и `AssumeConsole` — это действия без маршрута, которые не привязываются к ARN рабочего пространства. Второй оператор предоставляет их для `Resource: "*"`, чтобы роль могла аутентифицироваться с помощью ключа API и открывать Claude Console. Опустите этот оператор, если роль использует только SigV4 и не нуждается в доступе к Claude Console.
</Note>

### Блокировка функций для рабочего пространства, чувствительного к ZDR

Блокирует пакетную обработку и загрузку файлов в конкретном рабочем пространстве, оставляя доступным синхронный инференс. Полезно, когда рабочее пространство обрабатывает данные с [нулевым хранением данных (Zero Data Retention, ZDR)](https://platform.claude.com/docs/ru/manage-claude/api-and-data-retention), которые не должны сохраняться на стороне сервера. Прикрепите эту политику вместе с политикой Allow, такой как `AnthropicInferenceAccess` или [пример для одного рабочего пространства](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#synchronous-inference-on-a-single-workspace); сама по себе политика, содержащая только Deny, не предоставляет никаких разрешений:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}
```

<Note>
  Этот запрет блокирует только создание. Другие действия с файлами и пакетами не запрещены, если вы не перечислите их также. Для полной блокировки, при которой рабочее пространство никогда не должно содержать файлы или пакеты, также запретите `aws-external-anthropic:GetFile`, `aws-external-anthropic:ListFiles`, `aws-external-anthropic:DeleteFile`, `aws-external-anthropic:GetBatchInference`, `aws-external-anthropic:ListBatchInferences`, `aws-external-anthropic:CancelBatchInference` и `aws-external-anthropic:DeleteBatchInference`.
</Note>

### Автоматизация подготовки ресурсов

<Note>
  Помимо Admin API, вы можете создавать, обновлять или архивировать рабочие пространства в AWS Console или, при наличии роли Admin, в Claude Console.
</Note>

Предоставляет роли CI/CD действия, необходимые для создания рабочих пространств и управления ими, без каких-либо разрешений на инференс:

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}
```

`CreateWorkspace` и `ListWorkspaces` — это операции уровня учётной записи. Указание ARN рабочего пространства для этих действий не имеет эффекта; используйте `Resource: "*"`.

## См. также

* [Claude Platform on AWS](https://platform.claude.com/docs/ru/build-with-claude/claude-platform-on-aws) — настройка, аутентификация и обзор платформы
* [Руководство пользователя AWS IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction.html) — синтаксис политик IAM и логика их оценки
* [Руководство пользователя AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/) — настройка журналирования аудита