為AWS推出Claude應用網關

企業在多個開發團隊中部署Claude Code和Claude Desktop時，需要集中管理訪問權限、成本和策略。傳統做法中，每位開發者需要獨立的憑證，設置需手動分發，支出難以追蹤或限制。缺乏集中控制點，治理只能依賴各團隊自行實施的工具。

今天，我們宣佈推出Claude應用網關 for AWS——一個自託管控制平面，為組織提供對Claude Code和Claude Desktop的單一控制點。它替代了為每位開發者單獨配置雲憑證、手動推送設置到每枱筆記本電腦或獨立搭建支出追蹤工具的需求。您可以通過Amazon Bedrock部署，將數據保留在AWS安全邊界內，或通過AWS上的Claude平台獲得網關控制與原生Claude平台體驗的雙重優勢。

Claude應用網關的工作原理

該網關由Anthropic內置於開發者已使用的Claude Code CLI二進制文件中。您可以在基礎設施中的一個無狀態容器中運行它，後端使用PostgreSQL數據庫存儲短生命週期的登錄狀態和速率限制計數器。由於網關和客户端是共同構建的，/login流程是網關感知的。客户端在登錄時自動應用託管設置，策略在每個請求上一致執行。

入職和離職流程遵循您現有的身份工作流。要授予訪問權限，只需將開發者添加到您的身份提供商（IdP）。要撤銷權限，將其從IdP移除，會話將在配置的令牌生命週期內（默認一小時）過期。開發者機器上不會存儲長期有效的密鑰。

網關處理五項核心職責：

身份：網關連接到任何符合OpenID Connect（OIDC）標準的身份提供商。開發者通過瀏覽器單點登錄後，網關頒發一個短期令牌，CLI用於所有後續請求。

策略：您在服務器上一次性定義託管設置。客户端在登錄時接收策略，網關在每個請求上強制執行。您可以集中調整允許的模型、工具權限和默認設置，並按IdP組進行範圍限定。

遙測：客户端為每個請求標記使用指標，網關通過OpenTelemetry協議（OTLP）將其中繼到您配置的收集器，例如您賬户中的Amazon CloudWatch、Amazon Managed Service for Prometheus或第三方平台。您控制遙測數據的去向和保留時間。

路由：網關持有您的上游憑證，並代表開發者將推理請求路由到Amazon Bedrock或AWS上的Claude平台，支持跨AWS區域或多個賬户的故障轉移。

支出上限：按組織、組或用户設置每日、每週和每月的支出限制。當開發者超出上限時，網關會阻止進一步請求，直到週期重置或管理員提高限額。

配置

網關在啓動時讀取一個YAML文件。以下是生產環境的最小配置示例：

文件包含六個部分，密鑰保留在環境變量中。Bedrock上游使用容器的IAM角色，因此無需管理靜態憑證。要通過AWS上的Claude平台路由，替換upstreams塊即可。

網關作為無狀態容器在私有網絡中運行，支持Amazon ECS、Amazon EKS或Amazon EC2。您將其放在內部Application Load Balancer後面，並配置AWS Certificate Manager的TLS證書。Amazon RDS for PostgreSQL存儲短生命週期的登錄狀態。開發者通過私有網絡訪問網關，網關使用IAM任務角色代表他們調用上游提供商。

開發者登錄

網關部署後，開發者運行claude /login。管理員通過設備管理工具將託管設置文件推送到開發者機器，預填網關URL，因此開發者直接看到Claude應用網關登錄界面。

他們按Enter鍵，瀏覽器打開您的企業SSO。一次登錄即連接成功。會話使用OIDC刷新令牌在後台靜默刷新，因此開發者無需重複瀏覽器登錄即可在重啓後保持認證。如果用户從IdP中移除，其會話將在下次刷新時過期。

使用Claude Code

登錄後，開發者使用Claude Code的方式與其他認證方法完全相同。他們編寫代碼、運行命令、正常與Claude交互。區別對他們來説是無感的：每個請求都通過網關認證、通過配置的上游路由，並受您集中設置的策略約束。

模型選擇器僅顯示策略允許的模型。除模型訪問外，策略可以控制工具權限，例如限制文件寫入或網絡訪問。它們還可以強制執行開發者本地無法覆蓋的權限規則，並推送環境變量或鈎子以標準化團隊工作流。使用量歸屬於每位開發者的身份，支出根據其上限追蹤。如果他們離開公司，將其從IdP移除即可在配置的會話生命週期內撤銷訪問權限。

結論

通過AWS上的Claude應用網關，您可以擴大組織中Claude Code和Claude Desktop的採用率，同時在一個地方管理身份、策略和成本。身份流通過您現有的IdP，策略集中執行，成本按用户歸屬，開發者機器上無長期密鑰。

由於網關是自託管的，您可以在任何AWS區域部署，並將推理路由到Amazon Bedrock或AWS上的Claude平台，包括跨區域和跨賬户設置。當數據必須停留在AWS安全邊界內時選擇Amazon Bedrock；需要訪問Anthropic原生平台體驗時選擇AWS上的Claude平台（附帶AWS認證和計費）。

要開始使用，請下載Claude Code CLI並查閲Claude應用網關文檔。通過AWS re:Post for Amazon Bedrock或您的常用AWS支持聯繫人發送反饋。