Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Utilizzo di Lambda MicroVMS come sandbox per gli agenti gestiti Claude
AWS Lambda MicroVMS è un provider di sandbox gestito in sandbox self-hosted per Claude Managed Agent, che conserva file, pacchetti e servizi sensibili nell'infrastruttura controllata dall'utente. Anthropic ospita il loop degli agenti e il modello Claude, mentre Lambda MicroVM è il luogo in cui vengono eseguite le chiamate agli strumenti. Con questo modello, controlli l'ambiente di esecuzione: cosa è installato, quale accesso alla rete è disponibile e quali risorse l'agente può raggiungere.
Ogni MicroVM è una macchina Firecracker-isolated virtuale con avvio in meno di un secondo basato su istantanee, funziona per un massimo di 8 ore e può essere terminata al termine della sessione. Le sessioni non condividono mai lo stato. Ottieni i limiti di sicurezza di una VM con il modello operativo serverless: nessun cluster da gestire, nessuna capacità inattiva a pagamento. Puoi orchestrare MicroVMS con AWS servizi per implementare le specifiche sandbox self-hosted come descritto di seguito. Per maggiori dettagli, consulta l'esempio di [ riferimento Claude Managed Agents Self-Hosted Sandbox on Lambda MicroVMS. ](https://github.com/aws-samples/sample-lambda-microvm-claude-managed-agents)
## Come funziona
Un piano di controllo avvia una microVM per sessione di Claude:
1. Una sessione raggiunge lo stato di esecuzione e Anthropic invia un `session.status_run_started` webhook a un endpoint del tuo account.
1. Una funzione Lambda di avvio verifica la firma del webhook, quindi chiama. `RunMicroVM`
1. Il codice sulla microVM rivendica la sessione, esegue le chiamate agli strumenti (bash, read, write, edit, glob, grep) e invia i risultati ad Anthropic. `/workspace`
1. La MicroVM viene sospesa o terminata al termine della sessione.
La chiave API della tua organizzazione Anthropic non raggiunge mai l'elaborazione. AWS Il launcher passa solo un riferimento di AWS Secrets Manager alla chiave dell'ambiente Anthropic; il ruolo di esecuzione di MicroVM consente al codice di leggerlo in fase di esecuzione.
## Proprietà chiave
| Proprietà | Vantaggio |
| --- | --- |
| Isolamento con petardi | Hardware-virtualized limite per sessione |
| Snapshot-based avvio | Riprendi dall'istantanea di Firecracker in pochi secondi o secondi a una cifra |
| IAM tramite IMDSv2 | Utilizza credenziali a breve termine con privilegi minimi |
| Durata statica | Può funzionare fino a 8 ore con accesso completo al disco e alla memoria |
| Pay-per-session | Le microVM vengono terminate al termine delle sessioni, il che pone fine alla fatturazione |
## Prerequisiti
+ Un AWS account con autorizzazioni per Amazon Simple Storage Service (Amazon S3), AWS Identity and Access Management (IAM), Secrets Manager, AWS WAF, Lambda e Lambda MicroVMS
+ Un agente Claude Managed Agents con un ambiente `self_hosted`
+ Una chiave di ambiente e una firma segreta del webhook della console Claude
## Implementazione dell'implementazione di riferimento
Le Self-Hosted sandbox [ Claude Managed Agents sul repository Lambda ](https://github.com/aws-samples/sample-lambda-microvm-claude-managed-agents) MicroVMS forniscono un'implementazione minima e funzionante. e include:
+ Uno CloudFormation stack (Amazon API Gateway, funzione di avvio Lambda, segreti di Secrets Manager, bucket Amazon S3, ruoli IAM)
+ Un'immagine MicroVM (,, lifecycle hooks) `Dockerfile` Node.js EnvironmentWorker
+ Uno script di distribuzione e uno script di verifica
Fasi di distribuzione:
1. Distribuisci lo stack. CloudFormation
1. Memorizza la chiave di ambiente e il segreto di firma nei segreti di Secrets Manager creati.
1. Crea l'immagine MicroVM.
1. Registra l'URL del webhook dello stack nella console Claude.
1. Verifica creando una sessione.
Per istruzioni dettagliate, consulta il repository README.
## Rete
Le microVM Lambda hanno un accesso pubblico a Internet per impostazione predefinita: non è necessaria alcuna configurazione per raggiungerle. `api.anthropic.com`
Per accedere a risorse private come un database Amazon Aurora o un ElastiCache cluster Amazon o per applicare le tue restrizioni di rete, collega un connettore di uscita VPC al momento dell'avvio. Per informazioni, consulta [Utilizzo dei connettori di rete in uscita](microvms-networking.md#microvms-networking-connectors).
## Policy di inattività
Imposta `suspendedDurationSeconds: 0` e `autoResumeEnabled: false` per MicroVMS per sessione. Imposta `maximumDurationInSeconds` come limite massimo per le sessioni bloccate (max 28.800 s).
```
{
"maxIdleDurationSeconds": 120,
"suspendedDurationSeconds": 0,
"autoResumeEnabled": false
}
```
## Monitoraggio
**Registri delle applicazioni**: rivedi i log delle applicazioni nei CloudWatch registri:
```
aws logs tail /aws/lambda-microvms/claude-worker --follow
```
**MicroVMS in esecuzione**: elenca i MicroVMS in esecuzione nel tuo account:
```
aws lambda-microvms list-microvms \
--image-identifier claude-worker \
--query 'items[].[microvmId,state,startedAt]' --output table
```
## Risoluzione dei problemi
| Caratteristiche | Causa |
| --- | --- |
| Webhook restituisce 401 | Firma segreta, mancata corrispondenza o consegna scaduta |
| Nessun avvio di MicroVM | Webhook non registrato o autorizzazione per il ruolo di session.status\_run\_started esecuzione della funzione Lambda del launcher RunMicroVM |
| MicroVM si interrompe immediatamente | /runtimeout del gancio: aumento runTimeoutInSeconds |
| Il lavoratore esce immediatamente | Da HTTPS in uscita a bloccato api.anthropic.com |
| La creazione dell'immagine non riesce S3\_\* | Errore di configurazione del ruolo di build o del bucket |