View a markdown version of this page

Claude アプリゲートウェイによる Claude Code のセットアップ - Amazon CloudWatch
主な機能前提条件ゲートウェイをデプロイする開発者をゲートウェイに接続するテレメトリを Amazon CloudWatch にルーティングする可用性と制限次のステップ

Claude アプリゲートウェイによる Claude Code のセットアップ

Claude アプリゲートウェイは、開発者の Claude Code クライアントとモデルプロバイダーの間に位置するセルフホスト型サービスです。開発者は、API キーやクラウド認証情報を保持する代わりに、コーポレート ID プロバイダー (IdP) でサインインします。ゲートウェイは、アップストリーム認証情報を保持し、IdP グループごとにモデルアクセスとマネージド設定を適用し、Amazon CloudWatch を含むオブザーバビリティスタックに使用状況テレメトリを中継します。

このゲートウェイは claude バイナリに含まれています。Claude Code を実行する実行ファイルは、設定ファイルを指定して gateway サブコマンドを渡すと、ゲートウェイも実行します。

主な機能

Claude アプリゲートウェイは、複数のディメンションを一元的に制御します。

  • 認証情報 — アップストリーム API キーはインフラストラクチャにのみ存在します。開発者は、有効期間の短いトークンを使用して SSO 経由で認証します。

  • アクセスコントロール — IdP グループはモデル許可リストとマネージド設定ポリシーにマッピングされます。

  • 設定配信 — ゲートウェイは、マネージド設定をサインインしたクライアントに配信します。

  • テレメトリ — OTLP メトリクス (トークン数、モデル、ユーザー ID、レイテンシー) をコレクターにルーティングします。CloudWatch、Datadog、Splunk、ClickHouse など、複数の送信先にファンアウトできます。

  • アップストリームルーティング — クライアントは Anthropic Messages API を使用します。ゲートウェイは、フェイルオーバーによりアップストリームごとに変換します。サポートされているアップストリームには、Amazon Bedrock、AWS の Claude プラットフォーム、Google Cloud のエージェントプラットフォーム、Microsoft Foundry、Anthropic API などがあります。

前提条件

ゲートウェイをデプロイする前に、次の要件が満たされていることを確認します。

要件 詳細
Claude Code バージョン v2.1.195 以降
ID プロバイダー Okta、Microsoft Entra ID、Google Workspace、Keycloak、Dex などの OpenID Connect (OIDC) プロバイダー
データベース PostgreSQL 14 以降
モデルアップストリーム Amazon Bedrock 認証情報、AWS の Claude プラットフォーム、Google Cloud、Microsoft Foundry、または Anthropic API キー
TLS HTTPS 証明書または TLS 終端イングレス
Network プライベートネットワークアドレス (RFC 1918、link-local、CGNAT、IPv6 ULA、またはループバック)
ランタイム 本番環境向けには Linux (macOS はローカル開発専用)

ゲートウェイをデプロイする

以下の手順は、クイックスタートステップをまとめたものです。詳細な手順については、「Claude アプリケーションゲートウェイドキュメント」を参照してください。

Claude アプリケーションゲートウェイをデプロイするには

  1. IdP に OAuth クライアントを登録します。リダイレクト URI を https://claude-gateway.your-domain/oauth/callback に設定します。

  2. PostgreSQL データベース (PostgreSQL 14 以降のインスタンス) をプロビジョニングします。ゲートウェイが起動時にスキーマ移行を実行します。

  3. gateway.yaml 設定ファイルを作成します。次の例は、Amazon Bedrock をアップストリームとして使用する最小限の設定を示しています。

    listen:
  host: 0.0.0.0
  port: 8080
  public_url: https://claude-gateway.internal.example.com

oidc:
  issuer: https://login.example.com
  client_id: 0oa1example2
  client_secret: ${OIDC_CLIENT_SECRET}
  allowed_email_domains: [example.com]
  userinfo_fallback: true

session:
  jwt_secret: ${GATEWAY_JWT_SECRET}
  ttl_hours: 1

store:
  postgres_url: ${GATEWAY_POSTGRES_URL}

upstreams:
  - provider: bedrock
    region: us-east-1
    auth: {}

auto_include_builtin_models: true

  4. ゲートウェイを実行します。Docker Compose を使用できます。あるいはバイナリを直接実行できます。

    claude gateway --config gateway.yaml

  5. 認証サーフェスを確認します。ゲートウェイ URL で検出ドキュメントを取得し、デバイス認可をリクエストし、ブラウザのサインインをテストします。

  6. デベロッパーにサインインしてエンドツーエンドの接続を確認します。

開発者をゲートウェイに接続する

開発者用端末をゲートウェイに接続するには、モバイルデバイス管理 (MDM) または設定管理ツールを介して、以下の管理設定キーを配布します。

{
  "forceLoginMethod": "gateway",
  "forceLoginGatewayUrl": "https://claude-gateway.internal.example.com"
}

設定を配布すると、各開発者は次のステップを完了します。

ゲートウェイ経由でサインインするには

  1. Claude Code で /login コマンドを実行します。

  2. Cloud ゲートウェイ画面で Enter キーを押します。

  3. コーポレート IdP でブラウザのサインインを完了します。

サインイン後、Claude Code はゲートウェイを介して推論をルーティングし、ゲートウェイは設定された宛先にテレメトリをエクスポートします。

テレメトリを Amazon CloudWatch にルーティングする

このゲートウェイは、ID スタンプ付きのエクスポート機能を備えた、複数のコレクターへの OTLP/HTTP ファンアウトに対応しています。gateway.yaml ファイルでテレメトリの送信先を設定します。各送信先は、メトリクス、ログ、またはトレースを受信できます。

CloudWatch をテレメトリ送信先として設定すると、ゲートウェイは各エクスポートに IdP からの開発者の ID をスタンプします。メトリクスにはユーザー、チーム、組織の属性が付随しているため、同じ Coding Agent Insights ダッシュボードにデータが表示されます。

テレメトリ設定オプションの詳細については、「設定リファレンス」を参照してください。

可用性と制限

次の表は、ゲートウェイがサポートしているものと現在の制限をまとめたものです。

Item ステータス
サポートされているアップストリーム Amazon Bedrock、AWS の Claude プラットフォーム、Google Cloud のエージェントプラットフォーム、Microsoft Foundry、Anthropic API
サポートされている IdP Okta、Microsoft Entra ID、Google Workspace、Keycloak、Dex、およびその他の OIDC 準拠プロバイダー
テレメトリプロトコル 複数の送信先にファンアウトする OTLP/HTTP
ランタイム 本番環境へのデプロイには Linux を使用します。macOS はローカル開発でのみサポートされています。
最小限の Claude Code バージョン v2.1.195

次のステップ

詳細なデプロイ手順、設定オプション、運用ガイダンスについては、次のリソースを参照してください。

ゲートウェイが CloudWatch にメトリクスを送信したら、ダッシュボードの表示 の説明に従ってダッシュボードを表示します。