APIリファレンスサポートと設定

Claude Platform on AWS の IAM アクション

AWS ポリシーを通じて Claude Platform on AWS へのアクセスを制御するための IAM アクションリファレンスです。

Claude Platform on AWS は、アクセス制御に AWS IAM を使用します。すべての API ルートは aws-external-anthropic 名前空間の IAM アクションにマッピングされます。このページでは、すべてのアクション、各アクションが認可するルート、および一般的なアクセスパターン向けに利用可能なマネージドポリシーを一覧表示します。プラットフォームのセットアップと認証については、Claude Platform on AWS を参照してください。

サービスの詳細

属性	値
IAM サービスプレフィックス	`aws-external-anthropic`
リソースタイプ	`workspace`

ワークスペース ARN の形式：

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

ARN のリージョンは常に設定され、ワークスペースがバインドされているリージョンと一致します。リソースセグメントはタグ付きワークスペース ID（wrkspc_...）であり、anthropic-workspace-id ヘッダーで渡す値と同じです。

アクション

このサービスは 65 個のアクションを定義しています。アクションは AWS の VerbNoun 規則に従い、動詞の規律を使用しているため、Get* および List* ワイルドカードによって明確な読み取り専用の境界が生成されます。

推論

アクション	認可されるルート
`CreateInference`	`POST /v1/messages`
`CountTokens`	`POST /v1/messages/count_tokens`

バッチ処理

アクション	認可されるルート
`CreateBatchInference`	`POST /v1/messages/batches`
`GetBatchInference`	`GET /v1/messages/batches/{id}` `GET /v1/messages/batches/{id}/results`
`ListBatchInferences`	`GET /v1/messages/batches`
`CancelBatchInference`	`POST /v1/messages/batches/{id}/cancel`
`DeleteBatchInference`	`DELETE /v1/messages/batches/{id}`

GetBatchInference は、バッチメタデータの読み取りとバッチ結果のダウンロードの両方を認可します。AnthropicReadOnlyAccess、AnthropicInferenceAccess、および AnthropicLimitedAccess ポリシーの Get* ワイルドカードにはこのアクションが含まれます。

モデル

アクション	認可されるルート
`GetModel`	`GET /v1/models/{id}`
`ListModels`	`GET /v1/models`

ファイル

アクション	認可されるルート
`CreateFile`	`POST /v1/files`
`GetFile`	`GET /v1/files/{id}` `GET /v1/files/{id}/content`
`ListFiles`	`GET /v1/files`
`DeleteFile`	`DELETE /v1/files/{id}`

GetFile は、メタデータとコンテンツのダウンロードの両方を認可します。読み取り専用アクセスを持つプリンシパルは、ファイルを一覧表示するだけでなく、ファイルのバイトをダウンロードできます。

スキル

アクション	認可されるルート
`CreateSkill`	`POST /v1/skills`
`GetSkill`	`GET /v1/skills/{id}` `GET /v1/skills/{id}/versions` `GET /v1/skills/{id}/versions/{version}` `GET /v1/skills/{id}/versions/{version}/content`
`ListSkills`	`GET /v1/skills`
`UpdateSkill`	`POST /v1/skills/{id}/versions` `DELETE /v1/skills/{id}/versions/{version}`
`DeleteSkill`	`DELETE /v1/skills/{id}`

GetSkill は、スキルメタデータとスキルコンテンツのダウンロードの両方を認可します。読み取り専用アクセスを持つプリンシパルは、スキルを一覧表示するだけでなく、スキルのバイトをダウンロードできます。

個々のスキルバージョンの作成または削除は、CreateSkill や DeleteSkill ではなく UpdateSkill にマッピングされます。aws-external-anthropic:Delete* を拒否するポリシーでもバージョンの削除は許可され、aws-external-anthropic:Create* を拒否するポリシーでもバージョンの作成は許可されます。スキルの変更を一切防止する必要がある場合は、UpdateSkill と CreateSkill も拒否してください。

エージェント

アクション	認可されるルート
`CreateAgent`	`POST /v1/agents`
`GetAgent`	`GET /v1/agents/{id}` `GET /v1/agents/{id}/versions`
`ListAgents`	`GET /v1/agents`
`UpdateAgent`	`POST /v1/agents/{id}`
`ArchiveAgent`	`POST /v1/agents/{id}/archive`

エージェントはアーカイブのみをサポートし、完全削除はサポートしていません。aws-external-anthropic:Delete* を拒否するポリシーは ArchiveAgent をブロックしません。エージェントの変更を一切防止する必要がある場合は、ArchiveAgent、UpdateAgent、および CreateAgent を拒否してください。

セッション

アクション	認可されるルート
`CreateSession`	`POST /v1/sessions`
`GetSession`	`GET /v1/sessions/{id}` `GET /v1/sessions/{id}/events` `GET /v1/sessions/{id}/events/stream` `GET /v1/sessions/{id}/resources` `GET /v1/sessions/{id}/resources/{id}`
`ListSessions`	`GET /v1/sessions`
`UpdateSession`	`POST /v1/sessions/{id}` `POST /v1/sessions/{id}/events` `POST /v1/sessions/{id}/resources` `POST /v1/sessions/{id}/resources/{id}` `DELETE /v1/sessions/{id}/resources/{id}`
`ArchiveSession`	`POST /v1/sessions/{id}/archive`
`DeleteSession`	`DELETE /v1/sessions/{id}`

GetSession は、セッションメタデータ、完全なイベントストリーム（会話履歴）、およびセッションリソースの読み取りを認可します。AnthropicReadOnlyAccess、AnthropicInferenceAccess、および AnthropicLimitedAccess ポリシーの Get* ワイルドカードにはこのアクションが含まれます。

個々のセッションサブリソース（イベントまたはセッションリソース）の作成、更新、または削除は、CreateSession や DeleteSession ではなく UpdateSession にマッピングされます。aws-external-anthropic:Delete* を拒否するポリシーでもサブリソースの削除は許可され、aws-external-anthropic:Create* を拒否するポリシーでもサブリソースの作成は許可されます。セッションの変更を一切防止する必要がある場合は、UpdateSession、CreateSession、および ArchiveSession も拒否してください。

環境

アクション	認可されるルート
`CreateEnvironment`	`POST /v1/environments`
`GetEnvironment`	`GET /v1/environments/{id}` `GET /v1/environments/{id}/work/{work_id}` `GET /v1/environments/{id}/work/stats`
`ListEnvironments`	`GET /v1/environments`
`UpdateEnvironment`	`POST /v1/environments/{id}`
`ArchiveEnvironment`	`POST /v1/environments/{id}/archive`
`DeleteEnvironment`	`DELETE /v1/environments/{id}`
`ProcessEnvironmentWork`	`GET /v1/environments/{id}/work/poll` `POST /v1/environments/{id}/work/{work_id}` `POST /v1/environments/{id}/work/{work_id}/ack` `POST /v1/environments/{id}/work/{work_id}/heartbeat` `POST /v1/environments/{id}/work/{work_id}/stop`

aws-external-anthropic:Delete* を拒否するポリシーは ArchiveEnvironment をブロックしません。ProcessEnvironmentWork は Create*、Update*、Delete*、または Archive* ワイルドカードにマッチしません。環境の変更を一切防止する必要がある場合は、ArchiveEnvironment、UpdateEnvironment、CreateEnvironment、および ProcessEnvironmentWork も拒否してください。

ProcessEnvironmentWork は、セルフホスト型サンドボックスワーカーが環境ワークアイテムのポーリング、確認応答、ハートビート、停止、および結果の投稿を行うことを認可します。セルフホスト型環境ワーカーを実行するプリンシパルにのみ付与してください。AnthropicSelfHostedEnvironmentAccess マネージドポリシーにはこのアクションが含まれます。

ボールト

アクション	認可されるルート
`CreateVault`	`POST /v1/vaults`
`GetVault`	`GET /v1/vaults/{id}` `GET /v1/vaults/{id}/credentials` `GET /v1/vaults/{id}/credentials/{id}`
`ListVaults`	`GET /v1/vaults`
`UpdateVault`	`POST /v1/vaults/{id}` `POST /v1/vaults/{id}/credentials` `POST /v1/vaults/{id}/credentials/{id}` `POST /v1/vaults/{id}/credentials/{id}/archive` `DELETE /v1/vaults/{id}/credentials/{id}`
`ArchiveVault`	`POST /v1/vaults/{id}/archive`
`DeleteVault`	`DELETE /v1/vaults/{id}`

個々のボールト認証情報の作成、更新、アーカイブ、または削除は UpdateVault にマッピングされます。認証情報の読み取りは GetVault にマッピングされます。ボールト認証情報のシークレットは公開されません。シークレットフィールドは書き込み専用であり、GetVault によって返されることはありません（ボールトによる認証を参照）。aws-external-anthropic:Delete* を拒否するポリシーでも認証情報の削除は許可され、aws-external-anthropic:Create* を拒否するポリシーでも認証情報の作成は許可されます。ボールトの変更を一切防止する必要がある場合は、UpdateVault、CreateVault、および ArchiveVault も拒否してください。

メモリストア

アクション	認可されるルート
`CreateMemoryStore`	`POST /v1/memory_stores`
`GetMemoryStore`	`GET /v1/memory_stores/{id}` `GET /v1/memory_stores/{id}/memories` `GET /v1/memory_stores/{id}/memories/{id}` `GET /v1/memory_stores/{id}/memory_versions` `GET /v1/memory_stores/{id}/memory_versions/{id}`
`ListMemoryStores`	`GET /v1/memory_stores`
`UpdateMemoryStore`	`POST /v1/memory_stores/{id}` `POST /v1/memory_stores/{id}/memories` `POST /v1/memory_stores/{id}/memories/{id}` `DELETE /v1/memory_stores/{id}/memories/{id}` `POST /v1/memory_stores/{id}/memory_versions/{id}/redact`
`ArchiveMemoryStore`	`POST /v1/memory_stores/{id}/archive`
`DeleteMemoryStore`	`DELETE /v1/memory_stores/{id}`

GetMemoryStore は、ストアメタデータ、すべてのメモリ、およびメモリバージョン履歴の読み取りを認可します。AnthropicReadOnlyAccess、AnthropicInferenceAccess、および AnthropicLimitedAccess ポリシーの Get* ワイルドカードにはこのアクションが含まれます。

個々のメモリの作成、更新、または削除、およびメモリバージョンの秘匿化は、いずれも CreateMemoryStore や DeleteMemoryStore ではなく UpdateMemoryStore にマッピングされます。aws-external-anthropic:Delete* を拒否するポリシーでも個々のメモリの削除とメモリバージョンの秘匿化は許可され、aws-external-anthropic:Create* を拒否するポリシーでも個々のメモリの作成は許可されます。メモリストアの変更を一切防止する必要がある場合は、UpdateMemoryStore、CreateMemoryStore、および ArchiveMemoryStore も拒否してください。

Webhook

アクション	認可されるルート
`CreateWebhook`	`POST /v1/webhooks`
`GetWebhook`	`GET /v1/webhooks/{id}`
`ListWebhooks`	`GET /v1/webhooks`
`UpdateWebhook`	`POST /v1/webhooks/{id}`
`DeleteWebhook`	`DELETE /v1/webhooks/{id}`
`RotateWebhookSecret`	`POST /v1/webhooks/{id}/regenerate_signing_secret`

Webhook 署名シークレットは書き込み専用です。GetWebhook は Webhook メタデータのみを返し、署名シークレットは返しません。

RotateWebhookSecret は aws-external-anthropic:Create*、Update*、または Delete* ワイルドカードにマッチしません。これらのパターンを拒否するポリシーでもシークレットのローテーションは許可されます。Webhook の変更を一切防止する必要がある場合は、RotateWebhookSecret、UpdateWebhook、CreateWebhook、および DeleteWebhook を拒否してください。

ユーザープロファイル

アクション	認可されるルート
`CreateUserProfile`	`POST /v1/user_profiles`
`GetUserProfile`	`GET /v1/user_profiles/{id}`
`ListUserProfiles`	`GET /v1/user_profiles`
`UpdateUserProfile`	`POST /v1/user_profiles/{id}`

IAM アクションのマッチングは大文字と小文字を区別しません。ワイルドカード aws-external-anthropic:*File は CreateFile、GetFile、および DeleteFile にマッチしますが、ListFiles（「file」ではなく「files」で終わる）にはマッチしません。また、「Profile」が「file」で終わるため、CreateUserProfile、GetUserProfile、および UpdateUserProfile にも過剰にマッチします。Files API アクションのみを許可または拒否する意図がある場合は、*File サフィックスパターンを使用するのではなく、明示的に列挙してください（CreateFile、GetFile、ListFiles、DeleteFile）。

ワークスペース

アクション	認可されるルート
`CreateWorkspace`	`POST /v1/organizations/workspaces`
`GetWorkspace`	`GET /v1/organizations/workspaces/{id}`
`ListWorkspaces`	`GET /v1/organizations/workspaces`
`UpdateWorkspace`	`POST /v1/organizations/workspaces/{id}`
`ArchiveWorkspace`	`POST /v1/organizations/workspaces/{id}/archive`

ワークスペースはアーカイブのみをサポートし、完全削除はサポートしていません。aws-external-anthropic:Delete* を拒否するポリシーは ArchiveWorkspace をブロックしません。ワークスペースの変更を一切防止する必要がある場合は、ArchiveWorkspace、UpdateWorkspace、および CreateWorkspace を拒否してください。

認証

アクション	認可されるルート
`CallWithBearerToken`	（なし）

CallWithBearerToken は認証レイヤーの権限であり、プリンシパルが AWS SigV4 ではなく APIキー（ベアラートークン）を通じて認証することを認可します。ルートにはマッピングされません。APIキー保有者に実行させたいルートマッピングされたアクションと併せて付与してください。

コンソールアクセス

アクション	認可されるルート
`AssumeConsole`	（なし）

AssumeConsole は、プリンシパルが AWS コンソールフェデレーションフローを通じて Claude Platform on AWS ワークスペースの Claude Console を開くことを認可します。ルートにはマッピングされません。AWS コンソールの Claude Platform on AWS サービスページで Open Claude Console をクリックできるようにすべきプリンシパルに付与してください。Claude Console のロール（Admin または Developer）は、Anthropic アカウント担当者によって別途割り当てられます。プリンシパルの IAM 権限から導出されるものではありません。サインインフローとロールの説明については、Claude Console の使用を参照してください。

ルートとアクションのマッピング

次の表は、Claude Platform on AWS のすべてのルートと、それを呼び出すために必要な IAM アクションを一覧表示しています。各 IAM アクションは、anthropic-beta ヘッダーを使用するリクエストも認可します。ルートのベータバリアントには別の IAM アクションは必要ありません。CloudTrail は各アクションを Data イベント（大量のデータプレーン操作）または Management イベント（コントロールプレーン操作）のいずれかに分類します。ボールトおよび Webhook アクションは、シークレット（ボールト認証情報と Webhook 署名シークレット）を保持しており、デフォルトで有効な監査ログの恩恵を受けるため、Management イベントとして分類されます。ワークスペースアクションも、組織スコープのコントロールプレーン操作であるため、Management イベントとして分類されます。推論、バッチ、モデル、ファイル、スキル、ユーザープロファイル、および残りの Claude Managed Agents アクションを含むその他すべてのアクションは、Data イベントとして分類されます。

メソッド	ルート	IAM アクション	CloudTrail イベントタイプ
`POST`	`/v1/messages`	`CreateInference`	Data
`POST`	`/v1/messages/count_tokens`	`CountTokens`	Data
`POST`	`/v1/messages/batches`	`CreateBatchInference`	Data
`GET`	`/v1/messages/batches`	`ListBatchInferences`	Data
`GET`	`/v1/messages/batches/{id}`	`GetBatchInference`	Data
`GET`	`/v1/messages/batches/{id}/results`	`GetBatchInference`	Data
`POST`	`/v1/messages/batches/{id}/cancel`	`CancelBatchInference`	Data
`DELETE`	`/v1/messages/batches/{id}`	`DeleteBatchInference`	Data
`GET`	`/v1/models`	`ListModels`	Data
`GET`	`/v1/models/{id}`	`GetModel`	Data
`POST`	`/v1/files`	`CreateFile`	Data
`GET`	`/v1/files`	`ListFiles`	Data
`GET`	`/v1/files/{id}`	`GetFile`	Data
`GET`	`/v1/files/{id}/content`	`GetFile`	Data
`DELETE`	`/v1/files/{id}`	`DeleteFile`	Data
`POST`	`/v1/skills`	`CreateSkill`	Data
`GET`	`/v1/skills`	`ListSkills`	Data
`GET`	`/v1/skills/{id}`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}`	`DeleteSkill`	Data
`POST`	`/v1/skills/{id}/versions`	`UpdateSkill`	Data
`GET`	`/v1/skills/{id}/versions`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}/content`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}/versions/{version}`	`UpdateSkill`	Data
`POST`	`/v1/user_profiles`	`CreateUserProfile`	Data
`GET`	`/v1/user_profiles`	`ListUserProfiles`	Data
`GET`	`/v1/user_profiles/{id}`	`GetUserProfile`	Data
`POST`	`/v1/user_profiles/{id}`	`UpdateUserProfile`	Data
`POST`	`/v1/organizations/workspaces`	`CreateWorkspace`	Management
`GET`	`/v1/organizations/workspaces`	`ListWorkspaces`	Management
`GET`	`/v1/organizations/workspaces/{id}`	`GetWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}`	`UpdateWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}/archive`	`ArchiveWorkspace`	Management
`POST`	`/v1/agents`	`CreateAgent`	Data
`GET`	`/v1/agents`	`ListAgents`	Data
`GET`	`/v1/agents/{id}`	`GetAgent`	Data
`POST`	`/v1/agents/{id}`	`UpdateAgent`	Data
`POST`	`/v1/agents/{id}/archive`	`ArchiveAgent`	Data
`GET`	`/v1/agents/{id}/versions`	`GetAgent`	Data
`POST`	`/v1/sessions`	`CreateSession`	Data
`GET`	`/v1/sessions`	`ListSessions`	Data
`GET`	`/v1/sessions/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/archive`	`ArchiveSession`	Data
`DELETE`	`/v1/sessions/{id}`	`DeleteSession`	Data
`GET`	`/v1/sessions/{id}/events`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/events`	`UpdateSession`	Data
`GET`	`/v1/sessions/{id}/events/stream`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/resources`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`DELETE`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`POST`	`/v1/environments`	`CreateEnvironment`	Data
`GET`	`/v1/environments`	`ListEnvironments`	Data
`GET`	`/v1/environments/{id}`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}`	`UpdateEnvironment`	Data
`POST`	`/v1/environments/{id}/archive`	`ArchiveEnvironment`	Data
`DELETE`	`/v1/environments/{id}`	`DeleteEnvironment`	Data
`GET`	`/v1/environments/{id}/work/poll`	`ProcessEnvironmentWork`	Data
`GET`	`/v1/environments/{id}/work/{work_id}`	`GetEnvironment`	Data
`GET`	`/v1/environments/{id}/work/stats`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}/work/{work_id}`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/ack`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/heartbeat`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/stop`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/vaults`	`CreateVault`	Management
`GET`	`/v1/vaults`	`ListVaults`	Management
`GET`	`/v1/vaults/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/archive`	`ArchiveVault`	Management
`DELETE`	`/v1/vaults/{id}`	`DeleteVault`	Management
`GET`	`/v1/vaults/{id}/credentials`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials`	`UpdateVault`	Management
`GET`	`/v1/vaults/{id}/credentials/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}/archive`	`UpdateVault`	Management
`DELETE`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/memory_stores`	`CreateMemoryStore`	Data
`GET`	`/v1/memory_stores`	`ListMemoryStores`	Data
`GET`	`/v1/memory_stores/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}`	`UpdateMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/archive`	`ArchiveMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}`	`DeleteMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memory_versions/{id}/redact`	`UpdateMemoryStore`	Data
`GET`	`/v1/webhooks`	`ListWebhooks`	Management
`GET`	`/v1/webhooks/{id}`	`GetWebhook`	Management
`POST`	`/v1/webhooks`	`CreateWebhook`	Management
`POST`	`/v1/webhooks/{id}`	`UpdateWebhook`	Management
`DELETE`	`/v1/webhooks/{id}`	`DeleteWebhook`	Management
`POST`	`/v1/webhooks/{id}/regenerate_signing_secret`	`RotateWebhookSecret`	Management

この表にないルートは Claude Platform on AWS では利用できません。ゲートウェイは、ここに記載されていないルートをデフォルトで拒否します。

ワークスペースルートは、Claude Platform on AWS で利用可能な唯一の Admin API ルートです。Claude Console の Workspaces ページは読み取り専用です。ワークスペースの作成、更新、またはアーカイブには、Admin API または AWS コンソールを使用してください。

マネージドポリシー

AWS は Claude Platform on AWS 向けに 5 つのマネージドポリシーを提供しています。すべてのマネージドポリシーは Resource: "*" に適用されます。

ポリシー	付与される権限
`AnthropicFullAccess`	`aws-external-anthropic:*`
`AnthropicReadOnlyAccess`	`Get`、`List`、`CallWithBearerToken`
`AnthropicInferenceAccess`	`Get`、`List`、`CreateInference`、`CreateBatchInference`、`CancelBatchInference`、`DeleteBatchInference`、`CountTokens`、`CallWithBearerToken`
`AnthropicLimitedAccess`	すべての `AnthropicInferenceAccess` アクションに加えて、すべての Claude Managed Agents アクション（エージェント、セッション、環境、ボールト、メモリストア、Webhook、およびセルフホスト型環境ワーク）
`AnthropicSelfHostedEnvironmentAccess`	`GetEnvironment`、`ProcessEnvironmentWork`、`GetSession`、`UpdateSession`、`GetSkill`、`CallWithBearerToken`

AnthropicInferenceAccess は、推論を実行するのに十分な最も狭いマネージドポリシーです。同期推論とバッチ推論の両方をカバーし、Get* および List* ワイルドカードを通じて、Claude Managed Agents（CMA）リソース（エージェント、セッション、環境、ボールト、メモリストア、および Webhook）を含む名前空間内のすべての API リソースへの読み取りアクセスを付与します。これには、GetFile を通じたファイルコンテンツのダウンロード（ファイルの注記を参照）、GetSkill を通じたスキルコンテンツのダウンロード（スキルの注記を参照）、および GetMemoryStore を通じたメモリコンテンツが含まれます。ボールト認証情報のシークレットと Webhook 署名シークレットは公開されません。これらのフィールドは書き込み専用であり、GetVault や GetWebhook によって返されることはありません（ボールトによる認証を参照）。AnthropicInferenceAccess は、ファイルの作成または削除、スキル管理、ユーザープロファイル管理、ワークスペースの変更、または Claude Managed Agents の書き込みアクション（作成、更新、アーカイブ、削除、処理、またはローテーション）を付与しません。CMA の読み取りを除外するには、AnthropicInferenceAccess を、必要な特定の非 CMA アクションのみを列挙するカスタムポリシーに置き換えてください。

AnthropicReadOnlyAccess、AnthropicInferenceAccess、および AnthropicLimitedAccess はすべて Get* および List* ワイルドカードを含んでおり、ワークスペース内のすべてのコンテンツ（ファイルバイト、スキルコンテンツ、バッチ結果、セッション会話履歴、およびメモリコンテンツ）への読み取りアクセスを付与します。ボールト認証情報のシークレットと Webhook 署名シークレットは公開されません。これらのフィールドは書き込み専用であり、GetVault や GetWebhook によって返されることはありません。プリンシパルが既存のコンテンツを読み取るべきでない場合は、必要なアクションのみを列挙するカスタムポリシーを使用してください。

AnthropicLimitedAccess には、推論アクションに加えてすべての Claude Managed Agents アクションが含まれます。

AnthropicSelfHostedEnvironmentAccess は、セルフホスト型サンドボックスワーカーを実行するのに十分な最も狭いマネージドポリシーです。環境ワーカーが認証に使用するプリンシパルにアタッチしてください。

AssumeConsole は、AnthropicReadOnlyAccess、AnthropicInferenceAccess、AnthropicLimitedAccess、または AnthropicSelfHostedEnvironmentAccess には含まれていません。Claude Console へのアクセスが必要なプリンシパルには、AnthropicFullAccess または aws-external-anthropic:AssumeConsole を付与するカスタムポリシーのいずれかが必要です。コンソールアクセスを参照してください。

CreateInference と CreateBatchInference は別々のアクションです。一方を拒否しても他方はブロックされません。すべてのモデル呼び出しを防止する意図がある場合は、両方を拒否してください。

ポリシーの例

単一ワークスペースでの同期推論

1 つの本番ワークスペースに対して推論を実行する IAM プリンシパルに最小限の権限を付与します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

ListWorkspaces はアカウントスコープです（プロビジョニングの自動化を参照）。サービスアカウントがワークスペースを列挙する必要がある場合は、Resource: "*" を指定した ListWorkspaces 用の別の Allow ステートメントを追加してください。

このポリシーは AWS SigV4 認証を前提としています。プリンシパルが APIキーで認証する場合は、Resource: "*" を指定した aws-external-anthropic:CallWithBearerToken 用の別の Allow ステートメントを追加してください。CallWithBearerToken はルートを持たないアクションであり、ワークスペース ARN にバインドされません。2 ステートメントパターンについては、顧客ごとのワークスペース分離を参照してください。

顧客ごとのワークスペース分離

ロールを単一のワークスペースに制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}

最初のステートメントの aws-external-anthropic:* ワイルドカードには、ワークスペース ARN 制約によって暗黙的に除外されるアカウントスコープのアクション（CreateWorkspace、ListWorkspaces）が含まれています。これは「分離」の意図と一貫しています（ロールはワークスペースを作成または列挙できません）が、ポリシーには効果のない権限が含まれています。アカウントスコープのパターンについては、プロビジョニングの自動化を参照してください。

CallWithBearerToken と AssumeConsole はルートを持たないアクションであり、ワークスペース ARN にバインドされません。2 番目のステートメントは、ロールが APIキーで認証し、Claude Console を開けるように、これらを Resource: "*" で付与します。ロールが SigV4 のみを使用し、Claude Console へのアクセスが不要な場合は、このステートメントを省略してください。

ZDR 対応ワークスペースの機能ロックダウン

特定のワークスペースでバッチ処理とファイルアップロードをブロックしつつ、同期推論は利用可能なままにします。サーバー側に永続化してはならない Zero Data Retention（ZDR）データを扱うワークスペースに便利です。このポリシーは、AnthropicInferenceAccess や単一ワークスペースの例などの Allow ポリシーと併せてアタッチしてください。Deny のみのポリシーは、単独では権限を付与しません。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

この拒否は作成のみをブロックします。他のファイルおよびバッチアクションは、同様に列挙しない限り拒否されません。ワークスペースがファイルやバッチを一切保持してはならない完全なロックダウンの場合は、aws-external-anthropic:GetFile、aws-external-anthropic:ListFiles、aws-external-anthropic:DeleteFile、aws-external-anthropic:GetBatchInference、aws-external-anthropic:ListBatchInferences、aws-external-anthropic:CancelBatchInference、および aws-external-anthropic:DeleteBatchInference も拒否してください。

プロビジョニングの自動化

Claude Console の Workspaces ページは読み取り専用です。ワークスペースの作成、更新、またはアーカイブには、Admin API のワークスペースエンドポイントまたは AWS コンソールを使用してください。

推論権限なしで、ワークスペースの作成と管理に必要なアクションを CI/CD ロールに付与します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}

CreateWorkspace と ListWorkspaces はアカウントスコープの操作です。これらのアクションにワークスペース ARN を指定しても効果はありません。Resource: "*" を使用してください。

Claude Platform on AWS の IAM アクション

AWS ポリシーを通じて Claude Platform on AWS へのアクセスを制御するための IAM アクションリファレンスです。

サービスの詳細

属性	値
IAM サービスプレフィックス	`aws-external-anthropic`
リソースタイプ	`workspace`

ワークスペース ARN の形式：

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

アクション

推論

アクション	認可されるルート
`CreateInference`	`POST /v1/messages`
`CountTokens`	`POST /v1/messages/count_tokens`

バッチ処理

アクション	認可されるルート
`CreateBatchInference`	`POST /v1/messages/batches`
`GetBatchInference`	`GET /v1/messages/batches/{id}` `GET /v1/messages/batches/{id}/results`
`ListBatchInferences`	`GET /v1/messages/batches`
`CancelBatchInference`	`POST /v1/messages/batches/{id}/cancel`
`DeleteBatchInference`	`DELETE /v1/messages/batches/{id}`

モデル

アクション	認可されるルート
`GetModel`	`GET /v1/models/{id}`
`ListModels`	`GET /v1/models`

ファイル

アクション	認可されるルート
`CreateFile`	`POST /v1/files`
`GetFile`	`GET /v1/files/{id}` `GET /v1/files/{id}/content`
`ListFiles`	`GET /v1/files`
`DeleteFile`	`DELETE /v1/files/{id}`

スキル

アクション	認可されるルート
`CreateSkill`	`POST /v1/skills`
`GetSkill`	`GET /v1/skills/{id}` `GET /v1/skills/{id}/versions` `GET /v1/skills/{id}/versions/{version}` `GET /v1/skills/{id}/versions/{version}/content`
`ListSkills`	`GET /v1/skills`
`UpdateSkill`	`POST /v1/skills/{id}/versions` `DELETE /v1/skills/{id}/versions/{version}`
`DeleteSkill`	`DELETE /v1/skills/{id}`

エージェント

アクション	認可されるルート
`CreateAgent`	`POST /v1/agents`
`GetAgent`	`GET /v1/agents/{id}` `GET /v1/agents/{id}/versions`
`ListAgents`	`GET /v1/agents`
`UpdateAgent`	`POST /v1/agents/{id}`
`ArchiveAgent`	`POST /v1/agents/{id}/archive`

セッション

アクション	認可されるルート
`CreateSession`	`POST /v1/sessions`
`GetSession`	`GET /v1/sessions/{id}` `GET /v1/sessions/{id}/events` `GET /v1/sessions/{id}/events/stream` `GET /v1/sessions/{id}/resources` `GET /v1/sessions/{id}/resources/{id}`
`ListSessions`	`GET /v1/sessions`
`UpdateSession`	`POST /v1/sessions/{id}` `POST /v1/sessions/{id}/events` `POST /v1/sessions/{id}/resources` `POST /v1/sessions/{id}/resources/{id}` `DELETE /v1/sessions/{id}/resources/{id}`
`ArchiveSession`	`POST /v1/sessions/{id}/archive`
`DeleteSession`	`DELETE /v1/sessions/{id}`

環境

アクション	認可されるルート
`CreateEnvironment`	`POST /v1/environments`
`GetEnvironment`	`GET /v1/environments/{id}` `GET /v1/environments/{id}/work/{work_id}` `GET /v1/environments/{id}/work/stats`
`ListEnvironments`	`GET /v1/environments`
`UpdateEnvironment`	`POST /v1/environments/{id}`
`ArchiveEnvironment`	`POST /v1/environments/{id}/archive`
`DeleteEnvironment`	`DELETE /v1/environments/{id}`
`ProcessEnvironmentWork`	`GET /v1/environments/{id}/work/poll` `POST /v1/environments/{id}/work/{work_id}` `POST /v1/environments/{id}/work/{work_id}/ack` `POST /v1/environments/{id}/work/{work_id}/heartbeat` `POST /v1/environments/{id}/work/{work_id}/stop`

ボールト

アクション	認可されるルート
`CreateVault`	`POST /v1/vaults`
`GetVault`	`GET /v1/vaults/{id}` `GET /v1/vaults/{id}/credentials` `GET /v1/vaults/{id}/credentials/{id}`
`ListVaults`	`GET /v1/vaults`
`UpdateVault`	`POST /v1/vaults/{id}` `POST /v1/vaults/{id}/credentials` `POST /v1/vaults/{id}/credentials/{id}` `POST /v1/vaults/{id}/credentials/{id}/archive` `DELETE /v1/vaults/{id}/credentials/{id}`
`ArchiveVault`	`POST /v1/vaults/{id}/archive`
`DeleteVault`	`DELETE /v1/vaults/{id}`

メモリストア

アクション	認可されるルート
`CreateMemoryStore`	`POST /v1/memory_stores`
`GetMemoryStore`	`GET /v1/memory_stores/{id}` `GET /v1/memory_stores/{id}/memories` `GET /v1/memory_stores/{id}/memories/{id}` `GET /v1/memory_stores/{id}/memory_versions` `GET /v1/memory_stores/{id}/memory_versions/{id}`
`ListMemoryStores`	`GET /v1/memory_stores`
`UpdateMemoryStore`	`POST /v1/memory_stores/{id}` `POST /v1/memory_stores/{id}/memories` `POST /v1/memory_stores/{id}/memories/{id}` `DELETE /v1/memory_stores/{id}/memories/{id}` `POST /v1/memory_stores/{id}/memory_versions/{id}/redact`
`ArchiveMemoryStore`	`POST /v1/memory_stores/{id}/archive`
`DeleteMemoryStore`	`DELETE /v1/memory_stores/{id}`

Webhook

アクション	認可されるルート
`CreateWebhook`	`POST /v1/webhooks`
`GetWebhook`	`GET /v1/webhooks/{id}`
`ListWebhooks`	`GET /v1/webhooks`
`UpdateWebhook`	`POST /v1/webhooks/{id}`
`DeleteWebhook`	`DELETE /v1/webhooks/{id}`
`RotateWebhookSecret`	`POST /v1/webhooks/{id}/regenerate_signing_secret`

Webhook 署名シークレットは書き込み専用です。GetWebhook は Webhook メタデータのみを返し、署名シークレットは返しません。

ユーザープロファイル

アクション	認可されるルート
`CreateUserProfile`	`POST /v1/user_profiles`
`GetUserProfile`	`GET /v1/user_profiles/{id}`
`ListUserProfiles`	`GET /v1/user_profiles`
`UpdateUserProfile`	`POST /v1/user_profiles/{id}`

ワークスペース

アクション	認可されるルート
`CreateWorkspace`	`POST /v1/organizations/workspaces`
`GetWorkspace`	`GET /v1/organizations/workspaces/{id}`
`ListWorkspaces`	`GET /v1/organizations/workspaces`
`UpdateWorkspace`	`POST /v1/organizations/workspaces/{id}`
`ArchiveWorkspace`	`POST /v1/organizations/workspaces/{id}/archive`

認証

アクション	認可されるルート
`CallWithBearerToken`	（なし）

コンソールアクセス

アクション	認可されるルート
`AssumeConsole`	（なし）

ルートとアクションのマッピング

メソッド	ルート	IAM アクション	CloudTrail イベントタイプ
`POST`	`/v1/messages`	`CreateInference`	Data
`POST`	`/v1/messages/count_tokens`	`CountTokens`	Data
`POST`	`/v1/messages/batches`	`CreateBatchInference`	Data
`GET`	`/v1/messages/batches`	`ListBatchInferences`	Data
`GET`	`/v1/messages/batches/{id}`	`GetBatchInference`	Data
`GET`	`/v1/messages/batches/{id}/results`	`GetBatchInference`	Data
`POST`	`/v1/messages/batches/{id}/cancel`	`CancelBatchInference`	Data
`DELETE`	`/v1/messages/batches/{id}`	`DeleteBatchInference`	Data
`GET`	`/v1/models`	`ListModels`	Data
`GET`	`/v1/models/{id}`	`GetModel`	Data
`POST`	`/v1/files`	`CreateFile`	Data
`GET`	`/v1/files`	`ListFiles`	Data
`GET`	`/v1/files/{id}`	`GetFile`	Data
`GET`	`/v1/files/{id}/content`	`GetFile`	Data
`DELETE`	`/v1/files/{id}`	`DeleteFile`	Data
`POST`	`/v1/skills`	`CreateSkill`	Data
`GET`	`/v1/skills`	`ListSkills`	Data
`GET`	`/v1/skills/{id}`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}`	`DeleteSkill`	Data
`POST`	`/v1/skills/{id}/versions`	`UpdateSkill`	Data
`GET`	`/v1/skills/{id}/versions`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}/content`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}/versions/{version}`	`UpdateSkill`	Data
`POST`	`/v1/user_profiles`	`CreateUserProfile`	Data
`GET`	`/v1/user_profiles`	`ListUserProfiles`	Data
`GET`	`/v1/user_profiles/{id}`	`GetUserProfile`	Data
`POST`	`/v1/user_profiles/{id}`	`UpdateUserProfile`	Data
`POST`	`/v1/organizations/workspaces`	`CreateWorkspace`	Management
`GET`	`/v1/organizations/workspaces`	`ListWorkspaces`	Management
`GET`	`/v1/organizations/workspaces/{id}`	`GetWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}`	`UpdateWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}/archive`	`ArchiveWorkspace`	Management
`POST`	`/v1/agents`	`CreateAgent`	Data
`GET`	`/v1/agents`	`ListAgents`	Data
`GET`	`/v1/agents/{id}`	`GetAgent`	Data
`POST`	`/v1/agents/{id}`	`UpdateAgent`	Data
`POST`	`/v1/agents/{id}/archive`	`ArchiveAgent`	Data
`GET`	`/v1/agents/{id}/versions`	`GetAgent`	Data
`POST`	`/v1/sessions`	`CreateSession`	Data
`GET`	`/v1/sessions`	`ListSessions`	Data
`GET`	`/v1/sessions/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/archive`	`ArchiveSession`	Data
`DELETE`	`/v1/sessions/{id}`	`DeleteSession`	Data
`GET`	`/v1/sessions/{id}/events`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/events`	`UpdateSession`	Data
`GET`	`/v1/sessions/{id}/events/stream`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/resources`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`DELETE`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`POST`	`/v1/environments`	`CreateEnvironment`	Data
`GET`	`/v1/environments`	`ListEnvironments`	Data
`GET`	`/v1/environments/{id}`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}`	`UpdateEnvironment`	Data
`POST`	`/v1/environments/{id}/archive`	`ArchiveEnvironment`	Data
`DELETE`	`/v1/environments/{id}`	`DeleteEnvironment`	Data
`GET`	`/v1/environments/{id}/work/poll`	`ProcessEnvironmentWork`	Data
`GET`	`/v1/environments/{id}/work/{work_id}`	`GetEnvironment`	Data
`GET`	`/v1/environments/{id}/work/stats`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}/work/{work_id}`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/ack`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/heartbeat`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/stop`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/vaults`	`CreateVault`	Management
`GET`	`/v1/vaults`	`ListVaults`	Management
`GET`	`/v1/vaults/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/archive`	`ArchiveVault`	Management
`DELETE`	`/v1/vaults/{id}`	`DeleteVault`	Management
`GET`	`/v1/vaults/{id}/credentials`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials`	`UpdateVault`	Management
`GET`	`/v1/vaults/{id}/credentials/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}/archive`	`UpdateVault`	Management
`DELETE`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/memory_stores`	`CreateMemoryStore`	Data
`GET`	`/v1/memory_stores`	`ListMemoryStores`	Data
`GET`	`/v1/memory_stores/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}`	`UpdateMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/archive`	`ArchiveMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}`	`DeleteMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memory_versions/{id}/redact`	`UpdateMemoryStore`	Data
`GET`	`/v1/webhooks`	`ListWebhooks`	Management
`GET`	`/v1/webhooks/{id}`	`GetWebhook`	Management
`POST`	`/v1/webhooks`	`CreateWebhook`	Management
`POST`	`/v1/webhooks/{id}`	`UpdateWebhook`	Management
`DELETE`	`/v1/webhooks/{id}`	`DeleteWebhook`	Management
`POST`	`/v1/webhooks/{id}/regenerate_signing_secret`	`RotateWebhookSecret`	Management

この表にないルートは Claude Platform on AWS では利用できません。ゲートウェイは、ここに記載されていないルートをデフォルトで拒否します。

マネージドポリシー

AWS は Claude Platform on AWS 向けに 5 つのマネージドポリシーを提供しています。すべてのマネージドポリシーは Resource: "*" に適用されます。

ポリシー	付与される権限
`AnthropicFullAccess`	`aws-external-anthropic:*`
`AnthropicReadOnlyAccess`	`Get`、`List`、`CallWithBearerToken`
`AnthropicInferenceAccess`	`Get`、`List`、`CreateInference`、`CreateBatchInference`、`CancelBatchInference`、`DeleteBatchInference`、`CountTokens`、`CallWithBearerToken`
`AnthropicLimitedAccess`	すべての `AnthropicInferenceAccess` アクションに加えて、すべての Claude Managed Agents アクション（エージェント、セッション、環境、ボールト、メモリストア、Webhook、およびセルフホスト型環境ワーク）
`AnthropicSelfHostedEnvironmentAccess`	`GetEnvironment`、`ProcessEnvironmentWork`、`GetSession`、`UpdateSession`、`GetSkill`、`CallWithBearerToken`

AnthropicLimitedAccess には、推論アクションに加えてすべての Claude Managed Agents アクションが含まれます。

ポリシーの例

単一ワークスペースでの同期推論

1 つの本番ワークスペースに対して推論を実行する IAM プリンシパルに最小限の権限を付与します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

顧客ごとのワークスペース分離

ロールを単一のワークスペースに制限します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}

ZDR 対応ワークスペースの機能ロックダウン

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

プロビジョニングの自動化

推論権限なしで、ワークスペースの作成と管理に必要なアクションを CI/CD ロールに付与します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}

サービスの詳細

アクション

推論

バッチ処理

モデル

ファイル

スキル

エージェント

セッション

環境

ボールト

メモリストア

Webhook

ユーザープロファイル

ワークスペース

認証

コンソールアクセス

ルートとアクションのマッピング

マネージドポリシー

ポリシーの例

単一ワークスペースでの同期推論

顧客ごとのワークスペース分離

ZDR 対応ワークスペースの機能ロックダウン

プロビジョニングの自動化

関連情報

サービスの詳細

アクション

推論

バッチ処理

モデル

ファイル

スキル

エージェント

セッション

環境

ボールト

メモリストア

Webhook

ユーザープロファイル

ワークスペース

認証

コンソールアクセス

ルートとアクションのマッピング

マネージドポリシー

ポリシーの例

単一ワークスペースでの同期推論

顧客ごとのワークスペース分離

ZDR 対応ワークスペースの機能ロックダウン

プロビジョニングの自動化

関連情報