AWS 发布 Claude 平台多环境访问配置指南
来源AWS Machine Learning查看原文
速览
- AWS 发布 Claude 平台多环境访问配置指南，覆盖三种认证路径
- 采用三账户结构：管理账户、AI Services 账户、工作负载账户
- AWS 工作负载用跨账户 SigV4，无需存储密钥
- 开发者用绑定开发工作区的长期 API Key
- 外部环境用 OIDC 联合获取短期令牌，最长 12 小时
- 工作区 ARN 限定权限，实现生产与开发流量隔离
- 短期令牌区域锁定，长期 API Key 不锁定
- 提供完整 CLI 命令、IAM 策略与 Python 代码示例
- 包含清理步骤与生产加固建议
AWS 官方博客发布了一篇技术指南，详细说明如何在 AWS 上为 Claude Platform（CPonAWS）配置多环境访问。方案采用三账户结构：管理账户负责计费与治理，AI Services 账户承载 CPonAWS 订阅与工作区，工作负载账户通过跨账户角色调用推理。指南覆盖三种访问路径：AWS 工作负载通过跨账户 SigV4 签名调用、开发者笔记本通过绑定开发工作区的长期 API Key 调用、外部环境（GCP、非 AWS Kubernetes、GitHub Actions、GitLab CI 等）通过 OIDC 联合获取临时凭证并生成短期令牌。文中给出了完整的 IAM 信任策略、权限策略、CLI 命令与 Python 代码示例，并强调通过工作区 ARN 实现生产与开发流量的隔离。
关键事实
- 方案采用三账户结构：payer（管理）账户、AI Services 账户、一个或多个工作负载账户
- AI Services 账户承载 CPonAWS 订阅、工作区和跨账户角色，工作负载账户不直接接触订阅
- AWS 工作负载通过跨账户 SigV4 签名调用推理，无需存储 API Key 或轮换密钥
- 开发者使用绑定开发工作区的长期 API Key，通过 Anthropic SDK 本地调用
- 外部环境通过 OIDC 联合获取临时 AWS 凭证，再生成短期令牌，令牌有效期 1 小时，最长可配置为 12 小时
- 短期令牌仅在生成它的同一区域端点有效，长期 API Key 不受区域锁定
本站视角
这篇指南对在 AWS 上使用 Claude 的中大型企业、平台工程团队和国内出海团队有直接参考价值。具体影响的对象包括：已经订阅或计划订阅 CPonAWS 的企业架构师、负责 AI 基础设施的平台工程师、需要让开发者在本地调用 Claude 的团队负责人，以及使用 GCP、非 AWS Kubernetes 或 GitHub Actions 等外部 CI/CD 的团队。我们认为，这篇指南的核心价值不在于引入新功能，而在于把企业级 AI 推理的访问控制问题拆解成可操作的 IAM 模式：用跨账户角色替代静态密钥、用工作区 ARN 实现流量隔离、用 OIDC 短期令牌替代长期凭证。这三条路径分别对应生产、开发和外部环境，覆盖了大多数企业的实际场景。与直接使用 Anthropic API Key 相比，CPonAWS 的方案更贴近企业现有的 AWS 治理体系，审计、成本分配和权限管理都可以复用 AWS 原生工具。需要观察的是，指南中提到的短期令牌最长 12 小时、区域锁定等限制，是否会影响长时间运行的外部推理任务；另外，工作区隔离依赖管理员手动移除默认的 AnthropicLimitedAccess 托管策略并创建内联策略，这一步如果遗漏，开发密钥可能意外获得生产工作区访问权限，企业在落地时需要把这一步纳入自动化检查。总体而言，这是一篇实操性强的技术文档，不是营销材料，值得平台团队在评估 CPonAWS 时作为实施参考。
背景与影响
Claude Platform on AWS（CPonAWS）是 Anthropic 模型在 AWS 上的托管服务，企业可以通过 AWS 账户订阅并调用 Claude 模型。随着企业在生产、开发和外部 CI/CD 等多环境中使用 AI 推理，如何统一管理订阅、隔离流量并满足不同环境的认证需求成为实际部署中的关键问题。AWS 此前已发布过关于账户结构和认证路径的架构模式文章，本次发布的是一篇完整的实施指南，承接此前的架构决策，给出从订阅、工作区创建到三种访问路径配置的逐步操作说明。这意味着 AWS 正在将 CPonAWS 定位为企业级多环境 AI 推理平台，通过 IAM 和 OIDC 等原生机制解决密钥管理和访问隔离问题，降低企业在多账户、多云环境下使用 Claude 的门槛。
本文由 AI 辅助整理自公开信源，事实部分以原文为准；「本站视角」一节为编辑部判断，欢迎指正。版权归原作者所有，如有异议请联系我们。
