Claude Platform on AWS

Claude Platform on AWS bietet dir das vollständige Anthropic-Plattformerlebnis, einschließlich der Messages API, Agent Skills, Code-Ausführung und Beta-Features, zugänglich über dein AWS-Konto. Im Gegensatz zu Amazon Bedrock, bei dem AWS den Inferenz-Stack betreibt, wird Claude Platform on AWS von Anthropic betrieben. AWS stellt die Authentifizierungsschicht (SigV4 oder API-Key), IAM-basierte Zugriffskontrolle und die Abrechnungsintegration über AWS Marketplace bereit.

So funktioniert die Plattformintegration

Claude-Modelle laufen auf von Anthropic verwalteter Infrastruktur. Dies ist eine kommerzielle Integration für Abrechnung und Zugriff über AWS. Anthropic ist der Datenverarbeiter für Inferenz-Eingaben und -Ausgaben; AWS verarbeitet Abrechnungs- und Identitätsmetadaten im Rahmen des Marketplace-Modells. Kunden, die Claude über Claude Platform on AWS nutzen, unterliegen den Datennutzungsbedingungen von Anthropic. Anthropic bietet weiterhin seine branchenführenden Sicherheits- und Datenzusagen.

Beachte die folgenden betrieblichen Merkmale: Daten befinden sich möglicherweise nicht in AWS; Inferenz kann an die primäre Cloud von Anthropic weitergeleitet werden; und Subservices können ohne Vorankündigung im Hintergrund verlagert werden. Setze den Parameter inference_geo pro Anfrage, um die Inferenz an eine bestimmte Geografie zu binden.

Claude Platform on AWS folgt derselben Datenaufbewahrungsrichtlinie wie die First-Party Claude API. Zero Data Retention (ZDR) ist auf Anfrage verfügbar. Kontaktiere deinen Anthropic-Ansprechpartner, um es für deine Organisation zu aktivieren.

Claude Platform on AWS vs. Amazon Bedrock

Beide Angebote ermöglichen dir die Nutzung von Claude über AWS, unterscheiden sich jedoch erheblich in Architektur, API-Oberfläche und Feature-Verfügbarkeit.

Wenn du von AWS betriebenes Claude benötigst, siehe Claude in Amazon Bedrock. Claude Platform on AWS verwendet einen separaten Kapazitätspool, getrennt sowohl von der First-Party Claude API als auch von Amazon Bedrock. Du kannst Workloads auf mehr als einer Plattform ausführen und zwischen ihnen ein Failover durchführen.

AWS PrivateLink wird unterstützt, um deine VPC mit dem Claude Platform on AWS-Endpunkt zu verbinden.

Wann du Bedrock wählen solltest: Organisationen in regulierten Branchen, die FedRAMP High, IL4, IL5 oder HIPAA-Ready-Compliance benötigen oder bei denen AWS der alleinige Datenverarbeiter sein muss, sollten Claude in Amazon Bedrock verwenden. Bedrock läuft vollständig auf von AWS kontrollierter Infrastruktur mit AWS als betreibender Partei.

Dein Konto einrichten

Die Einrichtung von Claude Platform on AWS erfolgt in vier Phasen: Registrierung auf der Service-Seite der AWS Console, Abschluss der Einrichtung deiner Anthropic-Organisation, Notieren deiner Workspace-ID und Anmeldung bei der Claude Console.

Fehlerbehebung bei der Kontoeinrichtung

• „Sign-up failed: Failed to enable OutboundWebIdentityFederation": Wenn du dieses Banner beim ersten Absenden siehst, wähle erneut Continue. Die IAM-Aktivierung kann einen Moment dauern, bis sie wirksam wird.
• Keine Fortschrittsanzeige während der Registrierung: Die Registrierung dauert einige Minuten. Die Seite zeigt ein statisches Banner Sign-up in progress ohne Fortschrittsbalken an, während AWS dein Konto bereitstellt.
• „Signed in as a different account" nach dem Folgen des Einrichtungslinks: Wähle Log out and continue. Die Seite authentifiziert dich erneut mit der von dir eingegebenen E-Mail-Adresse.
• „Not found"-Meldung während der Anmeldung: Diese Meldung kann während der Weiterleitung kurz erscheinen. Du kannst sie schließen.
• Die Nutzungsseite zeigt nach deinem ersten API-Aufruf keine Daten an: Es kann einige Minuten dauern, bis Nutzungsdaten in der Claude Console erscheinen.

Vor dem Ausführen von API-Aufrufen

Stelle sicher, dass du Folgendes hast:

1. Ein aktives AWS-Konto mit einem Abonnement für Claude Platform on AWS (siehe Dein Konto einrichten)
2. Die AWS CLI installiert und konfiguriert
3. Outbound Web Identity Federation aktiviert in deinem AWS-Konto (ein einmaliger Einrichtungsschritt; siehe Outbound Web Identity Federation aktivieren)
4. Deine Workspace-ID (siehe Deine Workspace-ID abrufen)

Outbound Web Identity Federation aktivieren

Das Claude Platform on AWS-Gateway ruft serverseitig sts:GetWebIdentityToken auf, um ein JWT zu erstellen, das es an Anthropic weiterleitet. Diese STS-Funktion ist in jedem AWS-Konto standardmäßig deaktiviert. Aktiviere sie einmal pro Konto:

aws iam enable-outbound-web-identity-federation

Wenn die Antwort [ERROR] (FeatureEnabled) ... already enabled lautet, ist die Einstellung für dein Konto bereits aktiviert und du kannst fortfahren. Überprüfe und rufe die Issuer-URL deines Kontos ab:

aws iam get-outbound-web-identity-federation-info

Deine Workspace-ID abrufen

Du erstellst einen Workspace über die AWS Console, nachdem du die Kontoeinrichtung abgeschlossen hast (siehe Dein Konto einrichten). Workspaces sind an eine einzelne AWS-Region gebunden. Du findest die Workspace-ID in der Claude Console unter Workspaces oder im Abschnitt Workspaces der Service-Seite in der AWS Console.

Setze die Umgebungsvariablen ANTHROPIC_AWS_WORKSPACE_ID und AWS_REGION, damit die SDK-Clients sie automatisch lesen:

export ANTHROPIC_AWS_WORKSPACE_ID='wrkspc_01AbCdEf23GhIj'
export AWS_REGION='us-west-2'  # Your workspace's AWS region

Die Region ist erforderlich. Der SDK-Client löst einen Fehler aus, wenn keine Region gesetzt ist. Übergib aws_region/awsRegion an den Konstruktor oder setze AWS_REGION (oder AWS_DEFAULT_REGION). Alle kommerziellen AWS-Regionen werden unterstützt.

Authentifizierung

Claude Platform on AWS unterstützt zwei Authentifizierungsmethoden: AWS IAM mit SigV4-Request-Signing (primär) und API-Key-Authentifizierung. Beide verwenden dieselbe Basis-URL und dasselbe Anfrageformat.

SigV4-Authentifizierung

SigV4 ist der Enterprise-native Weg und integriert sich in deine bestehenden AWS IAM-Richtlinien, -Rollen und -Audits. Konfiguriere AWS-Anmeldeinformationen mit einer beliebigen Methode, die von der AWS Default Credential Provider Chain unterstützt wird:

• Umgebungsvariablen (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN)
• Shared-Credentials-Datei (~/.aws/credentials)
• Shared-Config-Datei (~/.aws/config) einschließlich SSO und credential_process
• Web Identity (AWS_WEB_IDENTITY_TOKEN_FILE und AWS_ROLE_ARN) für IRSA und GitHub Actions
• ECS-Container-Anmeldeinformationen
• EC2 Instance Metadata Service (IMDS)

Überprüfe, ob deine Anmeldeinformationen funktionieren:

aws sts get-caller-identity

API-Key-Authentifizierung

Für einfachere Integrationspfade (lokale Entwicklung und Skripte) kannst du dich mit einem API-Key anstelle von SigV4 authentifizieren. Setze die Umgebungsvariable ANTHROPIC_AWS_API_KEY oder übergib apiKey an den SDK-Konstruktor.

Generiere API-Keys in der AWS Console unter Claude Platform on AWS → API keys. Wähle Generate a key und kopiere dann den Key-Wert. Gewähre die IAM-Aktion aws-external-anthropic:CallWithBearerToken den Principals, die die API-Key-Authentifizierung verwenden dürfen.

Kurzlebige API-Keys

Für Workloads, die Anmeldeinformationen an einen separaten Prozess übergeben müssen (wie ein LLM-Gateway, eine Serverless-Funktion oder ein Tool, das Bearer-Token-Authentifizierung, aber nicht SigV4 unterstützt), generiere einen kurzlebigen API-Key aus deinen AWS-Anmeldeinformationen, anstatt einen langlebigen Key in der AWS Console bereitzustellen.

AWS veröffentlicht Token-Generator-Bibliotheken für JavaScript, Python und Java. Jede Bibliothek liest deine AWS-Anmeldeinformationen über die Standard-Provider-Chain und gibt ein zeitlich begrenztes Token zurück, das mit dem x-api-key-Header funktioniert. Die Token-Lebensdauer beträgt standardmäßig 12 Stunden und ist auf den kleineren Wert aus deiner angeforderten Dauer, dem Ablauf deiner AWS-Anmeldeinformationen und 12 Stunden begrenzt. Siehe die verlinkten Repository-READMEs für Installation und vollständige Konfigurationsoptionen.

Übergib das generierte Token an das SDK auf dieselbe Weise, wie du einen in der AWS Console generierten API-Key übergeben würdest:

from token_generator_for_aws_external_anthropic import TokenGenerator
from anthropic import AnthropicAWS

token = TokenGenerator(region="us-west-2").get_token()

client = AnthropicAWS(api_key=token, aws_region="us-west-2")

Wenn du das Token lokal generieren kannst, verfügt dein Prozess bereits über SigV4-Anmeldeinformationen, und SigV4-Authentifizierung ist in der Regel die einfachere Wahl. Verwende kurzlebige Keys, wenn der Prozess, der API-Aufrufe durchführt, vom Prozess getrennt ist, der die AWS-Anmeldeinformationen hält.

Das SDK aktualisiert kurzlebige Keys nicht automatisch. Wenn ein Token abläuft, generiere ein neues und erstelle einen neuen Client. Der Principal, der das Token verwendet, benötigt weiterhin die IAM-Aktion aws-external-anthropic:CallWithBearerToken.

Priorität der Anmeldeinformationen

Der plattformspezifische Client löst die Authentifizierung in der folgenden Reihenfolge auf. Argumentnamen variieren je nach Sprachkonvention (TypeScript und PHP verwenden camelCase wie gezeigt; Python und Ruby verwenden snake_case; Go verwendet PascalCase mit großgeschriebenen Akronymen; C# und Java verwenden die Property- oder Builder-Idiome der jeweiligen Sprache).

1. apiKey-Konstruktorargument → x-api-key-Header
2. awsAccessKey + awsSecretAccessKey-Konstruktorargumente → AWS SigV4
3. awsProfile-Konstruktorargument → AWS SigV4 mit benanntem Profil
4. ANTHROPIC_AWS_API_KEY-Umgebungsvariable → x-api-key-Header
5. Default AWS Credential Provider Chain → AWS SigV4

Regionsauflösung

Der Client liest AWS_REGION aus der Umgebung, wenn aws_region/awsRegion nicht an den Konstruktor übergeben wird, und fällt zur Kompatibilität mit den Standard-AWS-SDKs auf AWS_DEFAULT_REGION zurück. Die Region ist erforderlich; es gibt keinen Fallback-Standardwert. Im Gegensatz zu AnthropicBedrock, das auf us-east-1 zurückfällt, löst der AnthropicAWS/AnthropicAws-Client einen Fehler aus, wenn weder das Konstruktorargument noch die Umgebungsvariable gesetzt ist.

Ein SDK installieren

Anthropics Client-SDKs unterstützen Claude Platform on AWS. Jedes SDK bietet eine plattformspezifische Client-Klasse, die SigV4-Signing, regionsbasierte Basis-URL-Konstruktion und den anthropic-workspace-id-Header handhabt.

Verfügbare Modelle

Die folgenden Modelle sind auf Claude Platform on AWS verfügbar:

Modell-IDs sind identisch mit der First-Party Claude API. Es gibt keine Bedrock-artigen ARNs oder anthropic.-Präfixe.

Neue Modelle werden auf Claude Platform on AWS gleichzeitig mit der First-Party Claude API veröffentlicht.

Anfragen stellen

Claude Platform on AWS verwendet dieselben API-Endpunkte wie die First-Party Claude API. Die Unterschiede sind die Basis-URL, die Authentifizierungsmethode und ein erforderlicher anthropic-workspace-id-Header, der angibt, auf welchen Workspace die Anfrage abzielt.

from anthropic import AnthropicAWS

client = AnthropicAWS()

message = client.messages.create(
    model="claude-sonnet-4-6",
    max_tokens=1024,
    messages=[{"role": "user", "content": "Hello!"}],
)
print(message)

Der Client liest AWS_REGION (oder AWS_DEFAULT_REGION) und ANTHROPIC_AWS_WORKSPACE_ID aus der Umgebung. Du kannst beide überschreiben, indem du aws_region / awsRegion oder workspace_id / workspaceId an den Konstruktor übergibst. Sowohl Region als auch Workspace-ID sind erforderlich. Der Konstruktor löst einen Fehler aus, wenn die Workspace-ID nicht aufgelöst werden kann; eine fehlende Region löst ebenfalls einen Fehler aus.

Der --aws-sigv4-Wert folgt dem Format aws:amz:<region>:<service>. Der SigV4-Servicename ist aws-external-anthropic, und die Region muss mit der Region in deiner Endpunkt-URL übereinstimmen. Eine Nichtübereinstimmung in einem der beiden erzeugt einen generischen Signaturablehnungsfehler anstelle einer spezifischen Diagnose.

Kontextfenster

Die Größen des „context window" (Kontextfenster) auf Claude Platform on AWS sind identisch mit der First-Party Claude API. Siehe Kontextfenster für modellspezifische Limits.

Feature-Unterstützung

Claude Platform on AWS verwendet Claude API-Endpunkte direkt, was bedeutet, dass du vollständige Feature-Parität mit der First-Party Claude API erhältst (außer wo in den Feature-Einschränkungen angegeben):

• Feature-Zugriff: Da Anthropic beide Plattformen betreibt, werden die meisten neuen Features und Beta-Header auf Claude Platform on AWS ohne separaten Integrationsschritt verfügbar. Siehe Feature-Einschränkungen für Ausnahmen.
• Beta-Features: Übergib den Standard-anthropic-beta-Header, um auf Beta-Features zuzugreifen, genau wie bei der Claude API.
• Agent Skills: Verwende vorgefertigte und benutzerdefinierte Agent Skills mit demselben container.skills-Parameter und denselben Beta-Headern wie bei der Claude API. Alle vorgefertigten Skills (PowerPoint, Excel, Word, PDF) funktionieren sofort.
• Code-Ausführung: Führe Code in Anthropics verwalteter Sandbox mit dem Code-Ausführungs-Tool aus.
• Tool-Nutzung: Computer Use und alle anderen Tool-Nutzungs-Funktionen sind verfügbar.
• Erweitertes Denken: Aktiviere erweitertes Denken mit denselben Parametern wie bei der Claude API.
• Streaming: Vollständige SSE-Streaming-Unterstützung für Echtzeit-Antworten.
• Batch-Verarbeitung: Sende Batch-Anfragen für Workloads mit hohem Durchsatz.
• Prompt-Caching: Cache Tools, System-Prompts und Nachrichtenverlauf, um Latenz und Kosten zu reduzieren. Alle Prompt-Caching-Funktionen (5-Minuten-TTL, 1-Stunden-TTL und automatisches Caching) sind verfügbar.
• Files API: Lade Dateien hoch und referenziere sie über Anfragen hinweg.
• Customer-managed encryption keys (CMEK): CMEK ist nur mit AWS KMS-Schlüsseln verfügbar; Google Cloud KMS- und Azure Key Vault-Schlüssel können nicht registriert werden. Erstelle, validiere und verknüpfe Schlüssel in der Claude Console; die external_keys-Admin-API-Endpunkte sind derzeit nicht verfügbar. Der Schlüssel muss sich in derselben AWS-Region befinden wie der Workspace, mit dem er verknüpft ist.
• Compliance API: Die Compliance API ist verfügbar. Der Zugriff wird über AWS IAM autorisiert.

Siehe die Vergleichstabelle für Unterschiede in der Feature-Verfügbarkeit gegenüber Amazon Bedrock.

Claude Managed Agents

Claude Managed Agents ist auf Claude Platform on AWS verfügbar, einschließlich Agents, Environments, Sessions, Credential Vaults, Memory Stores, Webhooks, Multiagent-Orchestrierung und selbst gehosteten Sandboxes.

Das Session-Verhalten auf Claude Platform on AWS unterscheidet sich in einem Punkt von First-Party Claude Managed Agents:

• Reauthentifizierung autonomer Sessions: Eine Session kann bis zu 6 Stunden autonom laufen, ohne User-Events. Nach 6 Stunden erfordert die Session eine Reauthentifizierung, bevor sie fortgesetzt wird. Um zu reauthentifizieren, sende ein beliebiges User-Role-Event an die Session (siehe Events und Streaming). First-Party Claude Managed Agents hat kein Laufzeitlimit für autonome Sessions.

Nicht unterstützte Features

Die folgenden Funktionen sind derzeit nicht auf Claude Platform on AWS verfügbar:

• HIPAA-Readiness: Anthropics HIPAA-Ready-Programm ist nicht verfügbar. Siehe API und Datenaufbewahrung.

• Admin API: Workspace-Endpunkte (Erstellen, Abrufen, Auflisten, Aktualisieren und Archivieren unter /v1/organizations/workspaces) sind verfügbar. Andere Admin-API-Endpunkte (Organisationsmitglieder, Workspace-Mitglieder, Einladungen, API-Keys, Nutzungsberichte, Kostenberichte, Ratenlimit-Berichte und externe Schlüssel) sind derzeit nicht verfügbar. Verwalte CMEK-Schlüssel stattdessen in der Claude Console. Sieh dir Nutzungs- und Kostendaten stattdessen in der Claude Console an. AWS IAM verwaltet die Organisationsmitgliedschaft.
• Workspace-Mitgliederverwaltung: Das Hinzufügen oder Entfernen von Benutzern zu einzelnen Workspaces ist nicht verfügbar. AWS IAM-Richtlinien auf Workspace-ARNs steuern den Zugriff.
• Ausgabenlimits: Nicht verfügbar. Verlasse dich stattdessen auf AWS-Abrechnungskontrollen.
• Claude Code-Workspace und Analytics API: Der Claude Code-Workspace mit automatischen Ratenlimits ist nicht verfügbar. Claude Code-Nutzung erscheint in der allgemeinen Nutzungsansicht statt auf einem dedizierten Bildschirm.
• OAuth-Authentifizierung: Nicht unterstützt. Verwende SigV4- oder API-Key-Authentifizierung.
• Fast Mode: Nicht verfügbar auf Claude Platform on AWS.
• OpenAI-kompatible API-Endpunkte: Nicht verfügbar auf Claude Platform on AWS.
• Work-List-Endpunkt für selbst gehostete Sandboxes: Der Endpunkt GET /v1/environments/{id}/work, der ausstehende Arbeit für eine selbst gehostete Sandbox auflistet, ist derzeit nicht verfügbar. Die anderen Work-Endpunkte (poll, ack, heartbeat, stop, post results, per-item get und stats) funktionieren normal.
• MCP-Tunnel: Nur MCP-Server, die über das öffentliche Internet erreichbar sind, werden unterstützt.

Datenresidenz

Claude Platform on AWS unterstützt die folgenden Inferenz-Geografien:

• US: Inferenz bleibt innerhalb von US-Rechenzentren. Ein Preismultiplikator von 1,1x gilt.
• Global: Inferenz kann an jedes von Anthropic betriebene Rechenzentrum weltweit weitergeleitet werden. Standardpreise gelten.

Setze die Inferenz-Geografie pro Anfrage mit dem inference_geo-Parameter:

from anthropic import AnthropicAWS

client = AnthropicAWS()
message = client.messages.create(
    model="claude-sonnet-4-6",
    max_tokens=1024,
    inference_geo="us",
    messages=[{"role": "user", "content": "Hello!"}],
)
print(message)

Wenn du inference_geo weglässt, verwendet die Anfrage die default_inference_geo des Workspaces, falls eine konfiguriert ist, andernfalls global.

Inferenz-Geografie-Kontrollen auf Workspace-Ebene (allowed_inference_geos und default_inference_geo) sind ebenfalls auf Claude Platform on AWS verfügbar. Siehe Einschränkungen auf Workspace-Ebene.

Workspaces

Inferenz- und Ressourcenanfragen auf Claude Platform on AWS zielen auf einen Workspace ab. Du übergibst die ID des Workspaces im anthropic-workspace-id-Header bei diesen API-Aufrufen. Workspace-IDs verwenden das getaggte Format wrkspc_ gefolgt von einem alphanumerischen Bezeichner (zum Beispiel wrkspc_01AbCdEf23GhIj). Siehe Deine Workspace-ID abrufen, falls du sie noch nicht hast.

Workspace-Scoping

Workspaces sind an eine einzelne AWS-Region gebunden. Ein in us-west-2 erstellter Workspace kann nur über den us-west-2-Endpunkt aufgerufen werden. Nutzung, Kontingente, Kosten, Dateien, Batches und Skills werden alle pro Workspace aggregiert, was dir regionsspezifische Aufschlüsselungen in der Claude Console liefert.

Workspaces dienen auch als primäre IAM-Ressource für Claude Platform on AWS. Du gewährst oder verweigerst den Zugriff auf bestimmte Workspaces über AWS IAM-Richtlinien unter Verwendung der Workspace-ARN. Das Ressourcensegment der ARN ist dieselbe wrkspc_-präfixierte ID, die du im anthropic-workspace-id-Header übergibst:

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

Zum Beispiel:

arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj

Siehe IAM-Richtlinien für Richtlinienbeispiele.

Workspaces verwalten

Erstelle zusätzliche Workspaces, benenne einen Workspace um oder archiviere einen Workspace über die Seite Workspaces in der AWS Console oder mit den Workspace-Endpunkten der Admin API. Ein neuer Workspace ist an die AWS-Region des Endpunkts gebunden, den du zum Erstellen aufrufst (siehe Workspace-Scoping). Die Workspaces-Seite in der Claude Console ist schreibgeschützt.

Die Claude Console verwenden

Claude Platform on AWS verwendet die Standard-Claude Console unter platform.claude.com. Wenn du dich über die AWS Console anmeldest, erscheint ein Indikator Account managed by AWS unten links in der Seitenleiste der Claude Console, und die Konsole ist auf deine Claude Platform on AWS-Organisation beschränkt. Sie bietet Nutzungsanalysen, Kostenaufschlüsselungen, Ratenlimit-Sichtbarkeit, Workspace-Sichtbarkeit und Seiten zur Verwaltung von Dateien, Agent Skills, Batch-Jobs und Claude Managed Agents-Ressourcen (Agents, Sessions, Environments, Credential Vaults, Memory Stores und Webhooks).

Anmelden

Der Zugriff auf die Claude Console ist über AWS IAM föderiert. Siehe Dein Konto einrichten für den vollständigen Ablauf der ersten Anmeldung. Kurz zusammengefasst:

1. Nimm eine IAM-Rolle mit der Berechtigung aws-external-anthropic:AssumeConsole an. Siehe IAM-Aktionen für Claude Platform on AWS.
2. Navigiere zur Claude Platform on AWS-Seite in der AWS Console.
3. Wähle Open Claude Console. Die AWS Console stellt ein JWT aus und leitet dich zu platform.claude.com weiter.
4. Bei der ersten Anmeldung wirst du nach einer E-Mail-Adresse gefragt; gib deine geschäftliche E-Mail-Adresse ein. Die Plattform erstellt deinen Claude Console-Benutzer just-in-time.

Zwei Claude Console-Rollen sind verfügbar: Admin und Developer. Die Admin-Rolle gewährt Zugriff auf alle Claude Console-Seiten und -Einstellungen, die für Claude Platform on AWS verfügbar sind. Die Developer-Rolle gewährt Lesezugriff auf Nutzungs-, Kosten-, Ratenlimit- und Workspace-Informationen. Kontaktiere deinen Anthropic-Ansprechpartner, um einem Principal die Admin- oder Developer-Rolle zuzuweisen.

Verfügbare Seiten

Die Spalte Über AWS-Gateway gibt an, ob die Seite Daten über das AWS-Gateway liest und schreibt (und daher durch IAM-Aktionen gesteuert wird). Seiten, die mit Nein gekennzeichnet sind, lesen Metadaten auf Organisationsebene direkt von Anthropic und umgehen die IAM-Aktionsprüfungen.

Organisationen wechseln

Die Claude Console unterstützt keinen Organisationswechsel für Claude Platform on AWS. Um auf eine andere Organisation zuzugreifen, melde dich ab und authentifiziere dich erneut über die AWS Console mit der IAM-Rolle für das AWS-Konto dieser Organisation.

Ratenlimits und Kontingente

Claude Platform on AWS weist bei der Anmeldung Ratenlimits der Stufe 1 zu. Anthropic verwaltet Ratenlimits direkt, nicht über AWS-Kontingentsysteme.

Im Gegensatz zur First-Party-Claude-API gibt es keine automatische Stufenerhöhung. Wenn du höhere Limits benötigst, wende dich an deinen Anthropic-Ansprechpartner. Details zu den Stufen und Limits pro Modell findest du unter Ratenlimits.

Abrechnung

Claude Platform on AWS rechnet über AWS Marketplace ab. Die Nutzung wird in „Claude Consumption Units" (Claude-Verbrauchseinheiten), oder CCUs, angegeben, stündlich gemessen und monatlich nachträglich auf deiner AWS-Rechnung abgerechnet. CCUs sind keine vorausbezahlten Credits; es gibt kein CCU-Guthaben und keine Verpflichtung.

Informationen zum CCU-Preis, zur Umrechnungsmechanik, zur Anwendung von Rabatten und zu den Token-Preisen pro Modell findest du unter Claude Platform on AWS – Preise.

Monitoring und Logging

AWS CloudTrail kann alle Anfragen an Claude Platform on AWS erfassen. Workspace-, Vault- und Webhook-Operationen werden standardmäßig als Management-Events protokolliert. Inferenz-, Batch-, Datei-, Skill-, Modell-, Benutzerprofil- und Claude-Managed-Agents-Operationen (außer Vaults und Webhooks) werden als Data-Events klassifiziert und erfordern eine explizite Konfiguration des Data-Event-Loggings, was zusätzliche CloudTrail-Gebühren verursacht. Die vollständige Klassifizierung der Event-Typen findest du in der IAM-Aktionsreferenz und Konfigurationsdetails in der AWS CloudTrail-Dokumentation.

Request-IDs

Jede Antwort enthält zwei Request-IDs in den Response-Headern:

• AWS-Request-ID (x-amzn-requestid): Die primäre ID, indiziert in CloudTrail. Verwende diese, wenn du Anfragen über AWS-Tools untersuchst oder den AWS-Support kontaktierst.
• Anthropic-Request-ID (request-id): Die sekundäre ID. Verwende diese, wenn du den Anthropic-Support kontaktierst.

from anthropic import AnthropicAWS

client = AnthropicAWS()

response = client.messages.with_raw_response.create(
    model="claude-sonnet-4-6",
    max_tokens=1024,
    messages=[{"role": "user", "content": "Hello!"}],
)

print(response.headers.get("x-amzn-requestid"))  # AWS request ID
print(response.headers.get("request-id"))  # Anthropic request ID

message = response.parse()
print(message.content)

Anthropic empfiehlt, deine Aktivitäten mindestens auf rollierender 30-Tage-Basis zu protokollieren, um Nutzungsmuster zu verstehen und mögliche Probleme zu untersuchen.

Migration von Amazon Bedrock

Wenn du derzeit Claude auf Bedrock verwendest, erfordert die Migration zu Claude Platform on AWS Änderungen in deiner gesamten Integration. Die SigV4-Signierung wird weiterhin unterstützt, aber der Signierungskontext, die Basis-URL, das API-Format, die Modell-IDs, der SDK-Client und das Paket, das Streaming-Format, die Request-Header und die Regionsverfügbarkeit ändern sich alle. Die folgende Tabelle fasst die Unterschiede zusammen.

Was sich ändert

Der Migrationsaufwand hängt davon ab, von welcher Bedrock-Integration du kommst. Die folgende Tabelle zeigt sowohl die aktuelle Bedrock-Integration (Messages API unter bedrock-mantle.{region}.api.aws) als auch die Legacy-InvokeModel-Integration.

Wenn du die aktuelle Bedrock-Integration verwendest, entspricht das Request-Body-Format bereits der Messages API; die Änderungen betreffen die Basis-URL, den SigV4-Servicenamen, die Modell-IDs und das Hinzufügen des anthropic-workspace-id-Headers. Wenn du die Legacy-InvokeModel- oder Converse-API verwendest, musst du außerdem die Request- und Response-Strukturen in das Messages-API-Format umschreiben. Siehe Claude auf Amazon Bedrock (Legacy) für die Zuordnung der Request-Strukturen.

Was du gewinnst

• In der Regel Zugriff auf neue Modelle und Features noch am selben Tag (siehe Feature-Einschränkungen)
• Agent Skills für die Dokumentenerstellung (PowerPoint, Excel, Word, PDF)
• Code-Ausführung in Anthropics verwalteter Sandbox
• Beta-Features über den anthropic-beta-Header (siehe Feature-Einschränkungen)
• Claude Console für Kontingentübersicht und Nutzungsanalysen
• Direkter Anthropic-Support
• API-Key-Authentifizierung als Alternative zu SigV4 (siehe API-Key-Authentifizierung)

Was gleich bleibt

• AWS-IAM-Authentifizierung (SigV4)
• AWS als rechnungsstellende Partei (der Abrechnungskanal wechselt vom nativen AWS-Dienst zu AWS Marketplace; siehe Kommerzielle Überlegungen)
• AWS-Commitment-Anrechnung

Fallstricke bei der Migration

Kommerzielle Überlegungen

• Anthropic-Nutzungsbedingungen: Die Nutzung von Claude Platform on AWS erfordert die Zustimmung zu Anthropics Commercial Terms of Service und Usage Policy. Wenn deine Organisation diese noch nicht akzeptiert hat (zum Beispiel, wenn du Claude bisher nur über Bedrock verwendet hast), wirst du während der Kontoeinrichtung dazu aufgefordert. Siehe Konto einrichten.
• Rabatte und Private Offers: Ausgehandelte Rabatte und AWS Marketplace Private Offers werden nicht automatisch zwischen Bedrock und Claude Platform on AWS übertragen. Arbeite mit deinem Anthropic-Ansprechpartner zusammen, um kommerzielle Konditionen für Claude Platform on AWS einzurichten.

IAM-Richtlinien

Claude Platform on AWS ist für die Zugriffskontrolle in AWS IAM integriert. Du gewährst oder verweigerst den Zugriff auf bestimmte API-Aktionen für bestimmte Workspaces mithilfe der standardmäßigen IAM-Richtliniensyntax.

Der SigV4-Servicename und IAM-Aktions-Namespace ist aws-external-anthropic. Aktionen folgen dem Muster aws-external-anthropic:<Action> (zum Beispiel aws-external-anthropic:CreateInference).

Beispiel: Batch-Inferenz verweigern

Die folgende Richtlinie erlaubt Echtzeit-Inferenz und blockiert gleichzeitig die Batch-Verarbeitung:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:*:*:workspace/*"
    },
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:ListWorkspaces",
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:GetBatchInference",
        "aws-external-anthropic:ListBatchInferences"
      ],
      "Resource": "*"
    }
  ]
}

Die Aktion GetBatchInference autorisiert sowohl die Batch-Metadaten-Route als auch die Batch-Ergebnis-Route. Wenn du sie verweigerst, werden beide Lesevorgänge blockiert. Eine reine Deny-Richtlinie, die für ZDR-sensible Workloads geeignet ist, findest du unter Feature-Sperrung für einen ZDR-sensiblen Workspace.

Verwaltete Richtlinien

AWS stellt fünf verwaltete Richtlinien bereit (AnthropicFullAccess, AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess und AnthropicSelfHostedEnvironmentAccess) für gängige Zugriffsmuster. Die Aktionen, die jede Richtlinie gewährt, die vollständige Liste der IAM-Aktionen, die Route-zu-Aktion-Zuordnung und zusätzliche Richtlinienbeispiele findest du unter IAM-Aktionen für Claude Platform on AWS.

Zusätzliche Ressourcen

• Claude Console für Claude Platform on AWS: platform.claude.com (Zugriff über die AWS Console)
• Preisdetails: Preise
• Bedrock (von AWS betriebenes Claude): Claude in Amazon Bedrock
• AWS Marketplace: aws.amazon.com/marketplace