Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

IAM-Richtlinien

Die Claude-Plattform auf AWS lässt sich für die Zugriffskontrolle in AWS IAM integrieren. Sie gewähren oder verweigern den Zugriff auf bestimmte API-Aktionen in bestimmten Workspaces mithilfe der standardmäßigen IAM-Richtliniensyntax.

Der SigV4-Dienstname und der IAM-Aktionsnamespace sind. aws-external-anthropic Aktionen folgen dem Muster aws-external-anthropic:<Action> (z. B.). aws-external-anthropic:CreateInference

Beispiel: Batch-Inferenz verweigern

Die folgende Richtlinie ermöglicht Inferenzen in Echtzeit und blockiert gleichzeitig die Stapelverarbeitung, eine häufige Anforderung für ZDR-sensitive Workloads:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces"
      ],
      "Resource": "arn:aws:aws-external-anthropic:*:*:workspace/*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:GetBatchInference",
        "aws-external-anthropic:ListBatchInferences"
      ],
      "Resource": "*"
    }
  ]
}

Die GetBatchInference Aktion autorisiert sowohl die Batch-Metadaten-Route als auch die Batch-Ergebnisroute. Wenn sie verweigert wird, werden außerdem sowohl Lesevorgänge als auch die Batch-Aufzählung blockiert. ListBatchInferences

Die Allow Anweisung zählt bestimmte List* Aktionen auf, anstatt Get* Platzhalter zu verwenden. Platzhalter würden Lesevorgänge gewähren GetFile (wodurch Datei-Bytes heruntergeladen werden) und andere Lesevorgänge, die Sie vielleicht nicht beabsichtigen, Deny Allow überschreiben, aber die explizite Form ist das sicherere Muster, das modelliert werden kann.

Beispiel: synchrone Inferenz für einen einzelnen Workspace

Erteilt die Mindestberechtigungen für einen IAM-Prinzipal, der Inferenzen für einen Produktions-Workspace ausführt:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:Get*",
        "aws-external-anthropic:List*"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

Beispiel: Workspace-Isolierung pro Kunde

Beschränkt eine Rolle auf einen einzelnen Workspace:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}

Beispiel: Sperrung von Funktionen für einen Workspace ZDR-sensitive

Blockiert die Stapelverarbeitung und das Hochladen von Dateien in einem bestimmten Workspace, während synchrone Inferenz verfügbar bleibt. Nützlich, wenn ein Workspace ZDR-Daten (Zero Data Retention) verarbeitet, die nicht serverseitig gespeichert werden dürfen. Fügen Sie diese Richtlinie zusammen mit einer Zulassungsrichtlinie wie AnthropicLimitedAccess oder dem obigen Beispiel für einen einzelnen Arbeitsbereich hinzu. Eine Deny-only Richtlinie allein gewährt keine Berechtigungen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

Beispiel: Automatisierung der Bereitstellung

Erteilt einer CI/CD Rolle die Aktionen, die zum Erstellen und Verwalten von Workspaces erforderlich sind, ohne dass irgendwelche Inferenzberechtigungen erforderlich sind:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}

CreateWorkspaceund ListWorkspaces sind kontobezogene Operationen. Die Angabe eines Workspace-ARN für diese Aktionen hat keine Auswirkung; verwenden SieResource: "*".

Verwaltete Richtlinien

AWS bietet verwaltete Richtlinien für gängige Zugriffsmuster:

AnthropicInferenceAccessist die engste verwaltete Richtlinie ausreichend, um Inferenzen durchzuführen. Über die List* Platzhalter Get* und gewährt sie Lesezugriff auf jede API-Ressource im Namespace, einschließlich des Herunterladens von Dateiinhalten GetFile und des Speicherinhalts durch. GetMemoryStore Das Erstellen oder Löschen von Dateien oder Fertigkeiten, die Verwaltung von Benutzerprofilen, die Änderung von Arbeitsbereichen oder ein Konsolenverbund sind nicht möglich.

Verbindung zur Claude Console herstellen

aws-external-anthropic:AssumeConsoleermöglicht es einem IAM-Prinzipal, sich mit der Claude-Konsole zu verbinden Anthropic-operated . Der Zugriff innerhalb der Konsole wird bei den meisten Vorgängen immer noch von IAM gesteuert, aber ein Teil der Administratorvorgänge — hauptsächlich Nutzungsansichten, für die es keine entsprechende IAM-API gibt — ist auf die Funktion beschränkt, mit der der Principal verbunden ist.

Es gibt zwei Funktionen:

Steuern Sie mit dem Bedingungsschlüssel für die Aktion, welche Funktion ein Principal anfordern kann: aws-external-anthropic:Capability AssumeConsole

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:AssumeConsole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws-external-anthropic:Capability": "admin"
        }
      }
    }
  ]
}

AnthropicFullAccessZuschüsse AssumeConsole ohne Kapazitätsbeschränkung. Für jede engere Gewährung — Konsolenzugriff nur für Entwickler oder Zugriff nur für Administratoren — fügen Sie eine benutzerdefinierte Richtlinie hinzu, die die oben dargestellte Bedingung abdeckt. AssumeConsole aws-external-anthropic:Capability

Anrufe mit Inhaber-Tokens

aws-external-anthropic:CallWithBearerTokenautorisiert den SigV4-free Anforderungspfad, der verwendet wird, wenn ein API-Schlüssel als Bearer-Token präsentiert wird. Jeder Principal, der sich mit einem API-Schlüssel authentifiziert, benötigt diese Aktion im Ziel-Workspace. Dies gilt unabhängig davon, ob Sie den Authorization: Bearer Header direkt verwenden ANTHROPIC_AWS_API_KEY oder festlegen.

Dies ist für API-Schlüsselaufrufer zusätzlich zu den Inferenzaktionen (CreateInferenceCreateBatchInference, usw.) erforderlich. CallWithBearerTokenAndernfalls werden API-Schlüsselanfragen abgelehnt, bevor die Prüfung der Inferenzautorisierung abgeschlossen ist. SigV4-Anrufer benötigen diese Aktion nicht.

AnthropicReadOnlyAccess, AnthropicInferenceAccessAnthropicLimitedAccess, und AnthropicFullAccess alle beinhalten. CallWithBearerToken Wenn Sie eine benutzerdefinierte Richtlinie für den API-Schlüsselzugriff schreiben, fügen Sie sie explizit hinzu.

Verbund ausgehender Web-Identitätsverbund (für Konsolenzugriff erforderlich)

Die Claude Console läuft in der anthropischen Infrastruktur, nicht in AWS. Wenn ein IAM-Principal aufruftAssumeConsole, gibt AWS STS ein Web-Identity-Token aus, das für die anthropische Zielgruppe bestimmt ist. Die Anthropic-Konsole akzeptiert dann dieses Token und richtet die Verbundsitzung ein. Damit dies funktioniert, muss das AWS-Konto den ausgehenden Web-Identitätsverbund für die aws-external-anthropic Zielgruppe zulassen.

Principals, die anrufen, AssumeConsole benötigen zusätzlich zur Aktion die folgenden STS-Berechtigungen: aws-external-anthropic:AssumeConsole

Nehmen Sie beides in die Vertrauensrichtlinie jeder Rolle auf, die Konsolenbenutzer übernehmen, oder in die inline/managed Richtlinie für Benutzeridentitäten, die AssumeConsole direkt aufrufen. AnthropicFullAccessschließt beide STS-Aktionen ein. Umgebungen, die sts:* auf SCP- oder Berechtigungsgrenzebene verweigern, müssen diese beiden Aktionen ausdrücklich zulassen, damit der Konsolenverbund erfolgreich ist.