Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Utilisation de Lambda MicroVMS comme sandbox pour les agents gérés par Claude
AWS Lambda MicroVMS est un fournisseur de sandbox gérés dans des sandbox auto-hébergés pour Claude Managed Agents ; il conserve les fichiers, packages et services sensibles dans l'infrastructure que vous contrôlez. Anthropic héberge la boucle d'agent et le modèle Claude, tandis que la microVM Lambda est l'endroit où s'exécutent les appels de vos outils. Ce modèle vous permet de contrôler l'environnement d'exécution : ce qui est installé, quel accès réseau est disponible et quelles ressources l'agent peut atteindre.
Chaque microVM est une machine Firecracker-isolated virtuelle dont le démarrage en moins d'une seconde est basé sur des instantanés. Elle fonctionne pendant 8 heures au maximum et peut être interrompue à la fin de la session. Les sessions ne partagent jamais l'état. Vous obtenez les limites de sécurité d'une machine virtuelle avec le modèle opérationnel sans serveur : aucun cluster à gérer, aucune capacité inactive à payer. Vous pouvez orchestrer des micromachines virtuelles avec des AWS services pour implémenter la spécification sandbox auto-hébergée, comme décrit ci-dessous. Consultez l'exemple de [ référence ](https://github.com/aws-samples/sample-lambda-microvm-claude-managed-agents) Claude Managed Agents Self-Hosted Sandbox on Lambda MicroVMS pour plus de détails.
## Comment ça marche
Un plan de contrôle lance une microVM par session Claude :
1. Une session atteint l'état de fonctionnement et Anthropic envoie un `session.status_run_started` webhook à un point de terminaison de votre compte.
1. Une fonction Lambda du lanceur vérifie la signature du webhook, puis appelle. `RunMicroVM`
1. Votre code sur la microVM revendique la session, exécute des appels d'outils (bash, read, write, edit, glob, grep) et publie les résultats dans `/workspace` Anthropic.
1. La microVM est suspendue ou arrêtée à la fin de la session.
La clé d'API de votre organisation Anthropic n'atteint jamais le AWS calcul. Le lanceur transmet uniquement une référence à AWS Secrets Manager à votre clé d'environnement Anthropic ; le rôle d'exécution de la microVM permet au code de la lire au moment de l'exécution.
## Principales propriétés
| Propriété | Avantage |
| --- | --- |
| Isolation des pétards | Hardware-virtualized limite par session |
| Snapshot-based botte | Reprenez le cliché de Firecracker en moins d'une seconde à un chiffre |
| IAM via IMDSv2 | Utilise des informations d'identification à court terme avec le moindre privilège |
| Durée avec indication | Peut fonctionner jusqu'à 8 heures avec un accès complet au disque et à la mémoire |
| Pay-per-session | Les micromachines virtuelles sont résiliées lorsque les sessions sont terminées, ce qui met fin à la facturation |
## Conditions préalables
+ Un AWS compte avec des autorisations pour Amazon Simple Storage Service (Amazon S3), Gestion des identités et des accès AWS (IAM), Secrets Manager, AWS WAF, Lambda et Lambda MicroVMS
+ Un agent Claude Managed Agents doté d'un `self_hosted` environnement
+ Une clé d'environnement et un secret de signature du webhook provenant de la console Claude
## Déploiement de l'implémentation de référence
Les Self-Hosted bacs à sable [ Claude Managed Agents sur le ](https://github.com/aws-samples/sample-lambda-microvm-claude-managed-agents) référentiel Lambda MicroVMS fournissent un déploiement fonctionnel minimal. Elle comprend les éléments suivants :
+ Une CloudFormation pile (Amazon API Gateway, fonction Lambda du lanceur, secrets de Secrets Manager, compartiment Amazon S3, rôles IAM)
+ Une image microVM (`Dockerfile`, Node.js EnvironmentWorker, hooks de cycle de vie)
+ Un script de déploiement et un script de vérification
Étapes de déploiement :
1. Déployez la CloudFormation pile.
1. Stockez la clé d'environnement et le secret de signature dans les secrets créés par Secrets Manager.
1. Créez l'image MicroVM.
1. Enregistrez l'URL du webhook de la pile dans la console Claude.
1. Vérifiez en créant une session.
Pour des instructions détaillées, consultez le référentiel README.
## Mise en réseau
Les microVM Lambda disposent d'un accès public à Internet par défaut ; aucune configuration n'est nécessaire pour y accéder. `api.anthropic.com`
Pour accéder à des ressources privées telles qu'une base de données Amazon Aurora ou un ElastiCache cluster Amazon, ou pour appliquer vos propres restrictions réseau, connectez un connecteur de sortie VPC au moment du lancement. Consultez [Utilisation de connecteurs réseau de sortie](microvms-networking.md#microvms-networking-connectors).
## Politique d’inactivité
Définissez `suspendedDurationSeconds: 0` et `autoResumeEnabled: false` pour les micromachines virtuelles par session. Fixé `maximumDurationInSeconds` comme plafond pour les sessions bloquées (maximum 28 800 s).
```
{
"maxIdleDurationSeconds": 120,
"suspendedDurationSeconds": 0,
"autoResumeEnabled": false
}
```
## Contrôle
**Journaux des applications ** — Consultez les journaux des applications dans CloudWatch les journaux :
```
aws logs tail /aws/lambda-microvms/claude-worker --follow
```
**MicroVM en cours d'exécution ** — Répertoriez les micromachines virtuelles en cours d'exécution dans votre compte :
```
aws lambda-microvms list-microvms \
--image-identifier claude-worker \
--query 'items[].[microvmId,state,startedAt]' --output table
```
## Résolution des problèmes
| Symptôme | Cause |
| --- | --- |
| Webhook renvoie 401 | Signature secrète, non-concordance ou livraison périmée |
| Aucun lancement de microVM | Webhook non enregistré ou autorisation manquante pour session.status\_run\_started le rôle d'exécution de la fonction Lambda du lanceur RunMicroVM |
| MicroVM s'arrête immédiatement | /rundélai d'attente du crochet — augmentation runTimeoutInSeconds |
| Le travailleur sort immédiatement | HTTPS sortant à bloquer api.anthropic.com |
| La création de l'image échoue S3\_\* | Configuration erronée du rôle ou du bucket dans le build |