Claude Platform en AWS

Claude Platform en AWS te brinda la experiencia completa de la plataforma de Anthropic, incluyendo la Messages API, Agent Skills, ejecución de código y funciones beta, accesibles a través de tu cuenta de AWS. A diferencia de Amazon Bedrock, donde AWS opera la pila de inferencia, Anthropic opera Claude Platform en AWS. AWS proporciona la capa de autenticación (SigV4 o clave de API), control de acceso basado en IAM e integración de facturación a través de AWS Marketplace.

Cómo funciona la integración de la plataforma

Los modelos de Claude se ejecutan en infraestructura gestionada por Anthropic. Esta es una integración comercial para facturación y acceso a través de AWS. Anthropic es el procesador de datos para las entradas y salidas de inferencia; AWS procesa los metadatos de facturación e identidad bajo el modelo de marketplace. Los clientes que usan Claude a través de Claude Platform en AWS están sujetos a los términos de uso de datos de Anthropic. Anthropic continúa proporcionando sus compromisos de seguridad y datos líderes en la industria.

Ten en cuenta las siguientes características operativas: los datos pueden no residir en AWS; la inferencia puede enrutarse a la nube principal de Anthropic; y los subservicios pueden cambiar internamente sin previo aviso. Configura el parámetro inference_geo en cada solicitud para fijar la inferencia a una geografía específica.

Claude Platform en AWS sigue la misma política de retención de datos que la API de Claude de primera parte. La Retención Cero de Datos (ZDR) está disponible bajo solicitud. Contacta a tu representante de cuenta de Anthropic para habilitarla en tu organización.

Claude Platform en AWS vs Amazon Bedrock

Ambas ofertas te permiten usar Claude a través de AWS, pero difieren significativamente en arquitectura, superficie de API y disponibilidad de funciones.

Si necesitas Claude operado por AWS, consulta Claude en Amazon Bedrock. Claude Platform en AWS usa un grupo de capacidad separado tanto de la API de Claude de primera parte como de Amazon Bedrock. Puedes ejecutar cargas de trabajo en más de una plataforma y conmutar entre ellas en caso de fallo.

AWS PrivateLink es compatible para conectar tu VPC al endpoint de Claude Platform en AWS.

Cuándo elegir Bedrock: Las organizaciones en industrias reguladas que requieren cumplimiento FedRAMP High, IL4, IL5 o preparación para HIPAA, o que necesitan que AWS sea el único procesador de datos, deben usar Claude en Amazon Bedrock. Bedrock se ejecuta completamente en infraestructura controlada por AWS con AWS como la parte operadora.

Configura tu cuenta

La configuración de Claude Platform en AWS ocurre en cuatro fases: regístrate en la página del servicio en la Consola de AWS, completa la configuración de tu organización de Anthropic, anota tu ID de workspace e inicia sesión en la Claude Console.

Solución de problemas de configuración de cuenta

• "Sign-up failed: Failed to enable OutboundWebIdentityFederation": Si ves este banner en el primer envío, elige Continue nuevamente. La habilitación de IAM puede tardar un momento en surtir efecto.
• No hay indicador de progreso durante el registro: El registro tarda unos minutos. La página muestra un banner estático de Sign-up in progress sin barra de progreso mientras AWS aprovisiona tu cuenta.
• "Signed in as a different account" después de seguir el enlace de configuración: Elige Log out and continue. La página te vuelve a autenticar con la dirección de correo electrónico que ingresaste.
• Mensaje "Not found" durante el inicio de sesión: Este mensaje puede aparecer brevemente durante la redirección. Puedes descartarlo.
• La página de uso no muestra datos después de tu primera llamada a la API: Los datos de uso pueden tardar unos minutos en aparecer en la Claude Console.

Antes de hacer llamadas a la API

Asegúrate de tener:

1. Una cuenta de AWS activa con una suscripción a Claude Platform en AWS (consulta Configura tu cuenta)
2. La AWS CLI instalada y configurada
3. Federación de identidad web saliente habilitada en tu cuenta de AWS (un paso de configuración único; consulta Habilitar la federación de identidad web saliente)
4. Tu ID de workspace (consulta Obtén tu ID de workspace)

Habilitar la federación de identidad web saliente

El gateway de Claude Platform en AWS llama a sts:GetWebIdentityToken del lado del servidor para generar un JWT que reenvía a Anthropic. Esta capacidad de STS está deshabilitada de forma predeterminada en todas las cuentas de AWS. Habilítala una vez por cuenta:

aws iam enable-outbound-web-identity-federation

Si la respuesta es [ERROR] (FeatureEnabled) ... already enabled, la configuración ya está activada para tu cuenta y puedes continuar. Verifica y obtén la URL del emisor de tu cuenta:

aws iam get-outbound-web-identity-federation-info

Obtén tu ID de workspace

Creas un workspace desde la Consola de AWS después de completar la configuración de la cuenta (consulta Configura tu cuenta). Los workspaces están vinculados a una única región de AWS. Puedes encontrar el ID del workspace en la Claude Console en Workspaces o en la sección Workspaces de la página del servicio en la Consola de AWS.

Configura las variables de entorno ANTHROPIC_AWS_WORKSPACE_ID y AWS_REGION para que los clientes SDK las lean automáticamente:

export ANTHROPIC_AWS_WORKSPACE_ID='wrkspc_01AbCdEf23GhIj'
export AWS_REGION='us-west-2'  # Your workspace's AWS region

La región es obligatoria. El cliente SDK genera un error si no se establece ninguna región. Pasa aws_region/awsRegion al constructor, o configura AWS_REGION (o AWS_DEFAULT_REGION). Todas las regiones comerciales de AWS son compatibles.

Autenticación

Claude Platform en AWS admite dos métodos de autenticación: AWS IAM con firma de solicitudes SigV4 (principal) y autenticación con clave de API. Ambos usan la misma URL base y formato de solicitud.

Autenticación SigV4

SigV4 es la ruta nativa empresarial y se integra con tus políticas, roles y auditoría de AWS IAM existentes. Configura las credenciales de AWS usando cualquier método compatible con la cadena de proveedores de credenciales predeterminada de AWS:

• Variables de entorno (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN)
• Archivo de credenciales compartido (~/.aws/credentials)
• Archivo de configuración compartido (~/.aws/config) incluyendo SSO y credential_process
• Identidad web (AWS_WEB_IDENTITY_TOKEN_FILE y AWS_ROLE_ARN) para IRSA y GitHub Actions
• Credenciales de contenedor de ECS
• Servicio de metadatos de instancia de EC2 (IMDS)

Verifica que tus credenciales estén funcionando:

aws sts get-caller-identity

Autenticación con clave de API

Para rutas de integración más simples (desarrollo local y scripts), puedes autenticarte con una clave de API en lugar de SigV4. Configura la variable de entorno ANTHROPIC_AWS_API_KEY o pasa apiKey al constructor del SDK.

Genera claves de API en la Consola de AWS en Claude Platform on AWS → API keys. Elige Generate a key, luego copia el valor de la clave. Otorga la acción de IAM aws-external-anthropic:CallWithBearerToken a los principales que deben tener permiso para usar la autenticación con clave de API.

Claves de API de corta duración

Para cargas de trabajo que necesitan entregar una credencial a un proceso separado (como un gateway de LLM, una función serverless o una herramienta que admite autenticación con bearer token pero no SigV4), genera una clave de API de corta duración a partir de tus credenciales de AWS en lugar de aprovisionar una clave de larga duración en la Consola de AWS.

AWS publica bibliotecas generadoras de tokens para JavaScript, Python y Java. Cada biblioteca lee tus credenciales de AWS a través de la cadena de proveedores estándar y devuelve un token con límite de tiempo que funciona con el encabezado x-api-key. La duración del token es de 12 horas de forma predeterminada y está limitada al menor valor entre la duración solicitada, la expiración de tus credenciales de AWS y 12 horas. Consulta los README de los repositorios enlazados para la instalación y las opciones de configuración completas.

Pasa el token generado al SDK de la misma manera que pasarías una clave de API generada en la Consola de AWS:

Si puedes generar el token localmente, tu proceso ya tiene credenciales SigV4, y la autenticación SigV4 suele ser la opción más simple. Usa claves de corta duración cuando el proceso que hace llamadas a la API sea independiente del proceso que contiene las credenciales de AWS.

El SDK no actualiza las claves de corta duración automáticamente. Cuando un token expira, genera uno nuevo y construye un nuevo cliente. El principal que usa el token aún necesita la acción de IAM aws-external-anthropic:CallWithBearerToken.

Precedencia de credenciales

El cliente específico de la plataforma resuelve la autenticación en el siguiente orden. Los nombres de los argumentos varían según la convención del lenguaje (TypeScript y PHP usan camelCase como se muestra; Python y Ruby usan snake_case; Go usa PascalCase con acrónimos en mayúsculas; C# y Java usan los idiomas de propiedades o builder del lenguaje).

1. Argumento del constructor apiKey → encabezado x-api-key
2. Argumentos del constructor awsAccessKey + awsSecretAccessKey → AWS SigV4
3. Argumento del constructor awsProfile → AWS SigV4 con perfil nombrado
4. Variable de entorno ANTHROPIC_AWS_API_KEY → encabezado x-api-key
5. Cadena de proveedores de credenciales predeterminada de AWS → AWS SigV4

Resolución de región

El cliente lee AWS_REGION del entorno si no se pasa aws_region/awsRegion al constructor, recurriendo a AWS_DEFAULT_REGION para compatibilidad con los SDKs estándar de AWS. La región es obligatoria; no hay un valor predeterminado de respaldo. A diferencia de AnthropicBedrock, que recurre a us-east-1, el cliente AnthropicAWS/AnthropicAws genera un error si no se establece ni el argumento del constructor ni la variable de entorno.

Instalar un SDK

Los SDKs de cliente de Anthropic son compatibles con Claude Platform en AWS. Cada SDK proporciona una clase de cliente específica de la plataforma que maneja la firma SigV4, la construcción de la URL base según la región y el encabezado anthropic-workspace-id.

Modelos disponibles

Los siguientes modelos están disponibles en Claude Platform en AWS:

Los IDs de modelo son idénticos a los de la API de Claude de primera parte. No hay ARNs al estilo de Bedrock ni prefijos anthropic..

Los nuevos modelos se lanzan en Claude Platform en AWS simultáneamente con la API de Claude de primera parte.

Hacer solicitudes

Claude Platform en AWS usa los mismos endpoints de API que la API de Claude de primera parte. Las diferencias son la URL base, el método de autenticación y un encabezado obligatorio anthropic-workspace-id que identifica a qué workspace se dirige la solicitud.

El cliente lee AWS_REGION (o AWS_DEFAULT_REGION) y ANTHROPIC_AWS_WORKSPACE_ID del entorno. Puedes anular cualquiera de ellos pasando aws_region / awsRegion o workspace_id / workspaceId al constructor. Tanto la región como el ID del workspace son obligatorios. El constructor genera un error si no se puede resolver el ID del workspace; una región faltante también genera un error.

El valor de --aws-sigv4 sigue el formato aws:amz:<region>:<service>. El nombre del servicio SigV4 es aws-external-anthropic, y la región debe coincidir con la región en la URL de tu endpoint. Una discrepancia en cualquiera de ellos produce un error genérico de rechazo de firma en lugar de un diagnóstico específico.

Ventana de contexto

Los tamaños de "context window" (ventana de contexto) en Claude Platform en AWS son idénticos a los de la API de Claude de primera parte. Consulta Ventanas de contexto para conocer los límites por modelo.

Compatibilidad de funciones

Claude Platform en AWS usa los endpoints de la API de Claude directamente, lo que significa que obtienes paridad completa de funciones con la API de Claude de primera parte (excepto donde se indique en las limitaciones de funciones):

• Acceso a funciones: Debido a que Anthropic opera ambas plataformas, la mayoría de las nuevas funciones y encabezados beta están disponibles en Claude Platform en AWS sin un paso de integración separado. Consulta limitaciones de funciones para las excepciones.
• Funciones beta: Pasa el encabezado estándar anthropic-beta para acceder a funciones beta, tal como lo harías con la API de Claude.
• Agent Skills: Usa Agent Skills predefinidos y personalizados con el mismo parámetro container.skills y encabezados beta que la API de Claude. Todos los Skills predefinidos (PowerPoint, Excel, Word, PDF) funcionan de inmediato.
• Ejecución de código: Ejecuta código en el sandbox gestionado de Anthropic usando la herramienta de ejecución de código.
• Uso de herramientas: El uso de computadora y todas las demás capacidades de uso de herramientas están disponibles.
• Pensamiento extendido: Habilita el pensamiento extendido con los mismos parámetros que la API de Claude.
• Soporte completo de streaming SSE para respuestas en tiempo real.

Consulta la tabla comparativa para conocer las diferencias de disponibilidad de funciones con Amazon Bedrock.

Claude Managed Agents

Claude Managed Agents está disponible en Claude Platform en AWS, incluyendo agentes, entornos, sesiones, bóvedas de credenciales, almacenes de memoria, webhooks, orquestación multiagente y sandboxes autoalojados.

El comportamiento de las sesiones en Claude Platform en AWS difiere de Claude Managed Agents de primera parte en un aspecto:

• Reautenticación de sesiones autónomas: Una sesión puede ejecutarse de forma autónoma, sin ningún evento de usuario, durante un máximo de 6 horas. Después de 6 horas, la sesión requiere reautenticación antes de continuar. Para reautenticar, envía cualquier evento con rol de usuario a la sesión (consulta Eventos y streaming). Claude Managed Agents de primera parte no tiene límite de tiempo de ejecución para sesiones autónomas.

Funciones no compatibles

Las siguientes capacidades no están disponibles actualmente en Claude Platform en AWS:

• Preparación para HIPAA: El programa de preparación para HIPAA de Anthropic no está disponible. Consulta API y retención de datos.

• Admin API: Los endpoints de workspace (crear, obtener, listar, actualizar y archivar en /v1/organizations/workspaces) están disponibles. Otros endpoints de la Admin API (miembros de la organización, miembros del workspace, invitaciones, claves de API, informes de uso, informes de costos, informes de límites de velocidad y claves externas) no están disponibles actualmente. Gestiona las claves de CMEK en la Claude Console en su lugar. Consulta los datos de uso y costos en la Claude Console en su lugar. AWS IAM gestiona la membresía de la organización.
• Gestión de miembros del workspace: Agregar o eliminar usuarios de workspaces individuales no está disponible. Las políticas de AWS IAM sobre los ARNs de workspace controlan el acceso.
• Límites de gasto: No disponibles. Usa los controles de facturación de AWS en su lugar.
• Workspace de Claude Code y Analytics API: El workspace de Claude Code con límites de velocidad automáticos no está disponible. El uso de Claude Code aparece en la vista de uso general en lugar de una pantalla dedicada.
• Autenticación OAuth: No compatible. Usa autenticación SigV4 o con clave de API.
• Modo rápido: No disponible en Claude Platform en AWS.
• No disponibles en Claude Platform en AWS.

Residencia de datos

Claude Platform en AWS admite las siguientes geografías de inferencia:

• US: La inferencia permanece dentro de los centros de datos de EE. UU. Se aplica un multiplicador de precio de 1.1x.
• Global: La inferencia puede enrutarse a cualquier centro de datos operado por Anthropic en todo el mundo. Se aplican los precios estándar.

Configura la geografía de inferencia por solicitud con el parámetro inference_geo:

Si omites inference_geo, la solicitud usa el default_inference_geo del workspace si hay uno configurado, de lo contrario global.

Los controles de geografía de inferencia a nivel de workspace (allowed_inference_geos y default_inference_geo) también están disponibles en Claude Platform en AWS. Consulta Restricciones a nivel de workspace.

Workspaces

Las solicitudes de inferencia y recursos en Claude Platform en AWS se dirigen a un workspace. Pasas el ID del workspace en el encabezado anthropic-workspace-id en estas llamadas a la API. Los IDs de workspace usan el formato etiquetado wrkspc_ seguido de un identificador alfanumérico (por ejemplo, wrkspc_01AbCdEf23GhIj). Consulta Obtén tu ID de workspace si aún no lo tienes.

Alcance del workspace

Los workspaces están vinculados a una única región de AWS. Un workspace creado en us-west-2 solo se puede acceder a través del endpoint de us-west-2. El uso, las cuotas, el costo, los archivos, los lotes y los Skills se agrupan por workspace, lo que te brinda desgloses por región en la Claude Console.

Los workspaces también sirven como el recurso principal de IAM para Claude Platform en AWS. Otorgas o deniegas acceso a workspaces específicos a través de políticas de AWS IAM usando el ARN del workspace. El segmento de recurso del ARN es el mismo ID con prefijo wrkspc_ que pasas en el encabezado anthropic-workspace-id:

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

Por ejemplo:

arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj

Consulta Políticas de IAM para ver ejemplos de políticas.

Gestión de workspaces

Crea workspaces adicionales, renombra un workspace o archiva un workspace desde la página Workspaces de la Consola de AWS o con los endpoints de workspace de la Admin API. Un nuevo workspace se vincula a la región de AWS del endpoint al que llamas para crearlo (consulta Alcance del workspace). La página de Workspaces de la Claude Console es de solo lectura.

Uso de la Claude Console

Claude Platform en AWS usa la Claude Console estándar en platform.claude.com. Cuando inicias sesión desde la Consola de AWS, aparece un indicador de Account managed by AWS en la parte inferior izquierda de la barra lateral de la Claude Console y la Consola se limita a tu organización de Claude Platform en AWS. Proporciona análisis de uso, desgloses de costos, visibilidad de límites de velocidad, visibilidad de workspaces y páginas para gestionar archivos, Agent Skills, trabajos por lotes y recursos de Claude Managed Agents (agentes, sesiones, entornos, bóvedas de credenciales, almacenes de memoria y webhooks).

Inicio de sesión

El acceso a la Claude Console está federado a través de AWS IAM. Consulta Configura tu cuenta para el flujo completo de inicio de sesión por primera vez. En resumen:

1. Asume un rol de IAM con el permiso aws-external-anthropic:AssumeConsole. Consulta Acciones de IAM para Claude Platform en AWS.
2. Navega a la página de Claude Platform on AWS en la Consola de AWS.
3. Elige Open Claude Console. La Consola de AWS emite un JWT y te redirige a platform.claude.com.
4. En el primer inicio de sesión, se te solicita una dirección de correo electrónico; ingresa tu correo electrónico de trabajo. La plataforma aprovisiona tu usuario de la Claude Console en el momento.

Hay dos roles de la Claude Console disponibles: Admin y Developer. El rol Admin otorga acceso a todas las páginas y configuraciones de la Claude Console disponibles para Claude Platform en AWS. El rol Developer otorga acceso de lectura a la información de uso, costos, límites de velocidad y workspaces. Contacta a tu representante de cuenta de Anthropic para asignar el rol Admin o Developer a un principal.

Páginas disponibles

La columna A través de la puerta de enlace de AWS indica si la página lee y escribe datos a través de la puerta de enlace de AWS (y, por lo tanto, está regida por las acciones de IAM). Las páginas marcadas como No leen metadatos a nivel de organización directamente desde Anthropic y omiten las verificaciones de acciones de IAM.

Cambiar de organización

La Claude Console no admite el cambio de organización para Claude Platform on AWS. Para acceder a una organización diferente, cierra sesión y vuelve a autenticarte a través de la consola de AWS usando el rol de IAM de la cuenta de AWS de esa organización.

Límites de velocidad y cuotas

Claude Platform on AWS asigna límites de velocidad de Nivel 1 al registrarte. Anthropic gestiona los límites de velocidad directamente, no a través de los sistemas de cuotas de AWS.

A diferencia de la API de Claude de primera parte, el avance automático de nivel no aplica. Si necesitas límites más altos, contacta a tu representante de cuenta de Anthropic. Para obtener detalles sobre los niveles y los límites por modelo, consulta Límites de velocidad.

Facturación

Claude Platform on AWS factura a través de AWS Marketplace. El uso se denomina en "Claude Consumption Units" (unidades de consumo de Claude), o CCUs, se mide por hora y se factura mensualmente a mes vencido en tu factura de AWS. Las CCUs no son créditos prepagados; no existe un saldo ni un compromiso de CCUs.

Para conocer el precio de la CCU, la mecánica de conversión, la aplicación de descuentos y las tarifas de tokens por modelo, consulta Precios de Claude Platform on AWS.

Monitoreo y registro

AWS CloudTrail puede capturar todas las solicitudes a Claude Platform on AWS. Las operaciones de workspace, vault y webhook se registran como eventos de administración (Management events) de forma predeterminada. Las operaciones de inferencia, lotes, archivos, skills, modelos, perfiles de usuario y Claude Managed Agents (distintas de vaults y webhooks) se clasifican como eventos de datos (Data events) y requieren una configuración explícita de registro de eventos de datos, lo cual genera cargos adicionales de CloudTrail. Consulta la referencia de acciones de IAM para ver la clasificación completa de tipos de eventos y la documentación de AWS CloudTrail para obtener detalles de configuración.

IDs de solicitud

Cada respuesta incluye dos IDs de solicitud en los encabezados de respuesta:

• ID de solicitud de AWS (x-amzn-requestid): El ID principal, indexado en CloudTrail. Úsalo cuando investigues solicitudes a través de las herramientas de AWS o cuando contactes al soporte de AWS.
• ID de solicitud de Anthropic (request-id): El ID secundario. Úsalo cuando contactes al soporte de Anthropic.

Anthropic recomienda registrar tu actividad durante al menos 30 días de forma continua para comprender los patrones de uso e investigar cualquier problema potencial.

Migración desde Amazon Bedrock

Si actualmente usas Claude en Bedrock, migrar a Claude Platform on AWS requiere cambios en toda tu integración. La firma SigV4 sigue siendo compatible, pero el contexto de firma, la URL base, el formato de la API, los IDs de modelo, el cliente y paquete del SDK, el formato de streaming, los encabezados de solicitud y la disponibilidad por región cambian. La siguiente tabla resume las diferencias.

Qué cambia

El alcance de la migración depende de qué integración de Bedrock estés usando actualmente. La siguiente tabla muestra tanto la integración actual de Bedrock (Messages API en bedrock-mantle.{region}.api.aws) como la integración heredada de InvokeModel.

Si estás en la integración actual de Bedrock, el formato del cuerpo de la solicitud ya es la Messages API; los cambios son la URL base, el nombre de servicio SigV4, los IDs de modelo y agregar el encabezado anthropic-workspace-id. Si estás en la API heredada de InvokeModel o Converse, también tendrás que reescribir las estructuras de solicitud y respuesta al formato de la Messages API. Consulta Claude en Amazon Bedrock (heredado) para ver el mapeo de la estructura de solicitud.

Qué ganas

• Acceso, generalmente el mismo día, a nuevos modelos y funciones (consulta limitaciones de funciones)
• Agent Skills para la generación de documentos (PowerPoint, Excel, Word, PDF)
• Ejecución de código en el sandbox gestionado de Anthropic
• Funciones beta a través del encabezado anthropic-beta (consulta limitaciones de funciones)
• Claude Console para visibilidad de cuotas y análisis de uso
• Soporte directo de Anthropic
• Autenticación con clave de API como alternativa a SigV4 (consulta Autenticación con clave de API)

Qué se mantiene igual

• Autenticación de AWS IAM (SigV4)
• AWS como la parte facturadora (el canal de facturación cambia de servicio nativo de AWS a AWS Marketplace; consulta Consideraciones comerciales)
• Retiro de compromisos de AWS

Errores comunes en la migración

Consideraciones comerciales

• Términos de servicio de Anthropic: Usar Claude Platform on AWS requiere aceptar los Términos de Servicio Comerciales y la Política de Uso de Anthropic. Si tu organización aún no los ha aceptado (por ejemplo, si solo has usado Claude a través de Bedrock), se te solicitará hacerlo durante la configuración de la cuenta. Consulta Configurar tu cuenta.
• Descuentos y ofertas privadas: Los descuentos negociados y las ofertas privadas de AWS Marketplace no se transfieren automáticamente entre Bedrock y Claude Platform on AWS. Trabaja con tu representante de cuenta de Anthropic para establecer los términos comerciales para Claude Platform on AWS.

Políticas de IAM

Claude Platform on AWS se integra con AWS IAM para el control de acceso. Puedes conceder o denegar acceso a acciones específicas de la API en workspaces específicos usando la sintaxis estándar de políticas de IAM.

El nombre de servicio SigV4 y el espacio de nombres de acciones de IAM es aws-external-anthropic. Las acciones siguen el patrón aws-external-anthropic:<Action> (por ejemplo, aws-external-anthropic:CreateInference).

Ejemplo: denegar inferencia por lotes

La siguiente política permite la inferencia en tiempo real mientras bloquea el procesamiento por lotes:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:*:*:workspace/*"
    },
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:ListWorkspaces",
      "Resource": "*"
    },
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:GetBatchInference",
        "aws-external-anthropic:ListBatchInferences"
      ],
      "Resource": "*"
    }
  ]
}

La acción GetBatchInference autoriza tanto la ruta de metadatos del lote como la ruta de resultados del lote. Denegarla bloquea ambas lecturas. Para una política de solo denegación (Deny-only) adecuada para cargas de trabajo sensibles a ZDR, consulta Bloqueo de funciones para un workspace sensible a ZDR.

Políticas administradas

AWS proporciona cinco políticas administradas (AnthropicFullAccess, AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess y AnthropicSelfHostedEnvironmentAccess) para patrones de acceso comunes. Para conocer las acciones que concede cada política, la lista completa de acciones de IAM, el mapeo de ruta a acción y ejemplos adicionales de políticas, consulta Acciones de IAM para Claude Platform on AWS.

Recursos adicionales

• Claude Console para Claude Platform on AWS: platform.claude.com (acceso a través de la consola de AWS)
• Detalles de precios: Precios
• Bedrock (Claude operado por AWS): Claude en Amazon Bedrock
• AWS Marketplace: aws.amazon.com/marketplace