View a markdown version of this page

Autenticação - Plataforma Claude na AWS
Autenticação SigV4Autenticação de chave de APIShort-term Chaves de APIPrecedência de credenciais e resolução de regiãoID do Workspace

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Autenticação

A plataforma Claude na AWS oferece suporte a dois métodos de autenticação: AWS IAM com assinatura de solicitação SigV4 (primária) e autenticação de chave de API. Ambos usam o mesmo URL base e formato de solicitação.

Os Anthropic SDKs (consulte Instalar um SDK) implementam o fluxo de autenticação e a resolução de credenciais descritos abaixo. Se você não estiver usando um SDK antrópico, deverá criar SigV4-signed solicitações (ou apresentar sua chave de API como um token portador) no endpoint regional. https://aws-external-anthropic.<region>.api.aws Para a configuração SDK-specific do cliente e a ordem autorizada de resolução de credenciais, consulte o guia de configuração Claude on AWS na documentação da Anthropic.

Autenticação SigV4

O SigV4 é o caminho nativo corporativo e se integra às suas políticas, funções e auditorias existentes do AWS IAM. Configure as credenciais da AWS usando qualquer método suportado pela cadeia de fornecedores de credenciais padrão da AWS:

  • Variáveis de ambiente (AWS_ACCESS_KEY_ID,AWS_SECRET_ACCESS_KEY,AWS_SESSION_TOKEN)

  • Arquivo de credenciais compartilhado () ~/.aws/credentials

  • Arquivo de configuração compartilhado (~/.aws/config) incluindo SSO e credential_process

  • Identidade da Web (AWS_WEB_IDENTITY_TOKEN_FILEeAWS_ROLE_ARN) para IRSA e Actions GitHub

  • Credenciais de contêiner do ECS

  • Serviço de metadados de instância do EC2 (IMDS)

Para verificar se o Anthropic SDK está coletando suas credenciais e indo para o endpoint regional correto, faça uma solicitação de teste seguindo os exemplos em Fazer solicitações. Uma resposta bem-sucedida confirma que as credenciais, a região, o URL base e o ID do espaço de trabalho estão todos configurados corretamente.

Autenticação de chave de API

Para caminhos de integração mais simples (desenvolvimento local e scripts), você pode se autenticar com uma chave de API em vez de SigV4. Defina a variável de ANTHROPIC_AWS_API_KEY ambiente ou passe apiKey para o construtor do SDK. O Anthropic SDK envia a chave como um token portador para a plataforma Claude no endpoint da AWS; o IAM autoriza a solicitação por meio da aws-external-anthropic:CallWithBearerToken ação (consulte as políticas do IAM).

Gere chaves de API no console da AWS em Claude Platform na AWS → Chaves de API. Escolha Gerar uma chave e, em seguida, copie o valor da chave. Conceda a ação aws-external-anthropic:CallWithBearerToken do IAM aos diretores que devem ter permissão para usar a autenticação por chave de API.

nota

Somente as chaves de API criadas no console da AWS na plataforma Claude na AWS funcionam com esse serviço.

  • As chaves criadas no console Claude padrão para acesso primário à API não funcionam na plataforma Claude no endpoint da AWS.

  • As chaves de API do Amazon Bedrock também não funcionam — o Bedrock usa um endpoint, um fluxo de autenticação e um namespace do IAM separados.

Short-term Chaves de API

Nos casos em que você deseja a autenticação da chave de API, mas sem a vida útil de uma chave de longa duração, a Anthropic publica bibliotecas geradoras de tokens que geram chaves de API de curto prazo a partir de suas credenciais do AWS IAM. Os tokens têm como padrão uma vida útil de 12 horas e podem ser definidos para um espaço de trabalho específico e para a ação. aws-external-anthropic:CallWithBearerToken Instale o gerador para sua linguagem, troque as credenciais do IAM por uma chave de API e passe a chave para o Anthropic SDK.

Short-term As chaves de API ainda exigem que o diretor do IAM do chamador permaneça aws-external-anthropic:CallWithBearerToken no espaço de trabalho de destino. Eles expiram sozinhos e não precisam ser alternados ou revogados explicitamente.

Precedência de credenciais e resolução de região

A plataforma Claude do Anthropic SDK no cliente da AWS resolve as credenciais e a região usando uma ordem de precedência definida. Os nomes dos argumentos seguem as convenções de cada linguagem: CamelCase para PHP, snake_case TypeScript para Python e Ruby, para Go e padrões de propriedade ou construtor para PascalCase C# e Java.

Para obter a ordem de precedência autorizada, as variáveis de ambiente suportadas e os argumentos do construtor para cada SDK, consulte Claude on AWS setup na documentação da Anthropic. Em geral, os argumentos explícitos do construtor têm precedência sobre as variáveis de ambiente e têm ANTHROPIC_AWS_API_KEY precedência sobre a cadeia de fornecedores de credenciais padrão da AWS. A região é obrigatória; diferentemente de AnthropicBedrock (que se baseia emus-east-1), o cliente Claude on AWS lança se nenhuma região for fornecida pelo construtor ou por/. AWS_REGION AWS_DEFAULT_REGION

ID do Workspace

Cada solicitação do plano de dados deve incluir o ID do espaço de trabalho no anthropic-workspace-id cabeçalho. Os SDKs da Anthropic leem isso da variável de ANTHROPIC_AWS_WORKSPACE_ID ambiente por padrão, ou você pode passarworkspaceId/workspace_idpara o construtor do cliente. Se você usar o Anthropic cliente base (não o Claude-on-AWS cliente), passe o cabeçalho explicitamente. Consulte Como fazer solicitações de exemplos por idioma e Espaços de trabalho para saber como localizar o ID do seu espaço de trabalho.