为AWS推出Claude应用网关

企业在多个开发团队中部署Claude Code和Claude Desktop时，需要集中管理访问权限、成本和策略。传统做法中，每位开发者需要独立的凭证，设置需手动分发，支出难以追踪或限制。缺乏集中控制点，治理只能依赖各团队自行实施的工具。

今天，我们宣布推出Claude应用网关 for AWS——一个自托管控制平面，为组织提供对Claude Code和Claude Desktop的单一控制点。它替代了为每位开发者单独配置云凭证、手动推送设置到每台笔记本电脑或独立搭建支出追踪工具的需求。您可以通过Amazon Bedrock部署，将数据保留在AWS安全边界内，或通过AWS上的Claude平台获得网关控制与原生Claude平台体验的双重优势。

Claude应用网关的工作原理

该网关由Anthropic内置于开发者已使用的Claude Code CLI二进制文件中。您可以在基础设施中的一个无状态容器中运行它，后端使用PostgreSQL数据库存储短生命周期的登录状态和速率限制计数器。由于网关和客户端是共同构建的，/login流程是网关感知的。客户端在登录时自动应用托管设置，策略在每个请求上一致执行。

入职和离职流程遵循您现有的身份工作流。要授予访问权限，只需将开发者添加到您的身份提供商（IdP）。要撤销权限，将其从IdP移除，会话将在配置的令牌生命周期内（默认一小时）过期。开发者机器上不会存储长期有效的密钥。

网关处理五项核心职责：

身份：网关连接到任何符合OpenID Connect（OIDC）标准的身份提供商。开发者通过浏览器单点登录后，网关颁发一个短期令牌，CLI用于所有后续请求。

策略：您在服务器上一次性定义托管设置。客户端在登录时接收策略，网关在每个请求上强制执行。您可以集中调整允许的模型、工具权限和默认设置，并按IdP组进行范围限定。

遥测：客户端为每个请求标记使用指标，网关通过OpenTelemetry协议（OTLP）将其中继到您配置的收集器，例如您账户中的Amazon CloudWatch、Amazon Managed Service for Prometheus或第三方平台。您控制遥测数据的去向和保留时间。

路由：网关持有您的上游凭证，并代表开发者将推理请求路由到Amazon Bedrock或AWS上的Claude平台，支持跨AWS区域或多个账户的故障转移。

支出上限：按组织、组或用户设置每日、每周和每月的支出限制。当开发者超出上限时，网关会阻止进一步请求，直到周期重置或管理员提高限额。

配置

网关在启动时读取一个YAML文件。以下是生产环境的最小配置示例：

文件包含六个部分，密钥保留在环境变量中。Bedrock上游使用容器的IAM角色，因此无需管理静态凭证。要通过AWS上的Claude平台路由，替换upstreams块即可。

网关作为无状态容器在私有网络中运行，支持Amazon ECS、Amazon EKS或Amazon EC2。您将其放在内部Application Load Balancer后面，并配置AWS Certificate Manager的TLS证书。Amazon RDS for PostgreSQL存储短生命周期的登录状态。开发者通过私有网络访问网关，网关使用IAM任务角色代表他们调用上游提供商。

开发者登录

网关部署后，开发者运行claude /login。管理员通过设备管理工具将托管设置文件推送到开发者机器，预填网关URL，因此开发者直接看到Claude应用网关登录界面。

他们按Enter键，浏览器打开您的企业SSO。一次登录即连接成功。会话使用OIDC刷新令牌在后台静默刷新，因此开发者无需重复浏览器登录即可在重启后保持认证。如果用户从IdP中移除，其会话将在下次刷新时过期。

使用Claude Code

登录后，开发者使用Claude Code的方式与其他认证方法完全相同。他们编写代码、运行命令、正常与Claude交互。区别对他们来说是无感的：每个请求都通过网关认证、通过配置的上游路由，并受您集中设置的策略约束。

模型选择器仅显示策略允许的模型。除模型访问外，策略可以控制工具权限，例如限制文件写入或网络访问。它们还可以强制执行开发者本地无法覆盖的权限规则，并推送环境变量或钩子以标准化团队工作流。使用量归属于每位开发者的身份，支出根据其上限追踪。如果他们离开公司，将其从IdP移除即可在配置的会话生命周期内撤销访问权限。

结论

通过AWS上的Claude应用网关，您可以扩大组织中Claude Code和Claude Desktop的采用率，同时在一个地方管理身份、策略和成本。身份流通过您现有的IdP，策略集中执行，成本按用户归属，开发者机器上无长期密钥。

由于网关是自托管的，您可以在任何AWS区域部署，并将推理路由到Amazon Bedrock或AWS上的Claude平台，包括跨区域和跨账户设置。当数据必须停留在AWS安全边界内时选择Amazon Bedrock；需要访问Anthropic原生平台体验时选择AWS上的Claude平台（附带AWS认证和计费）。

要开始使用，请下载Claude Code CLI并查阅Claude应用网关文档。通过AWS re:Post for Amazon Bedrock或您的常用AWS支持联系人发送反馈。