API 레퍼런스지원 및 구성

Claude Platform on AWS를 위한 IAM 작업

AWS 정책을 통해 Claude Platform on AWS에 대한 액세스를 제어하기 위한 IAM 작업 참조입니다.

Claude Platform on AWS는 액세스 제어를 위해 AWS IAM을 사용합니다. 모든 API 경로는 aws-external-anthropic 네임스페이스의 IAM 작업에 매핑됩니다. 이 페이지에서는 모든 작업, 각 작업이 권한을 부여하는 경로, 그리고 일반적인 액세스 패턴에 사용할 수 있는 관리형 정책을 나열합니다. 플랫폼 설정 및 인증에 대해서는 Claude Platform on AWS를 참조하세요.

서비스 세부 정보

속성	값
IAM 서비스 접두사	`aws-external-anthropic`
리소스 유형	`workspace`

워크스페이스 ARN 형식:

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

ARN 리전은 항상 채워져 있으며 워크스페이스가 바인딩된 리전과 일치합니다. 리소스 세그먼트는 태그가 지정된 워크스페이스 ID(wrkspc_...)이며, 이는 anthropic-workspace-id 헤더에 전달하는 값과 동일합니다.

작업

이 서비스는 65개의 작업을 정의합니다. 작업은 AWS의 VerbNoun 규칙을 따르며, Get* 및 List* 와일드카드가 명확한 읽기 전용 경계를 생성하도록 동사 규칙을 사용합니다.

추론

작업	권한이 부여되는 경로
`CreateInference`	`POST /v1/messages`
`CountTokens`	`POST /v1/messages/count_tokens`

배치 처리

작업	권한이 부여되는 경로
`CreateBatchInference`	`POST /v1/messages/batches`
`GetBatchInference`	`GET /v1/messages/batches/{id}` `GET /v1/messages/batches/{id}/results`
`ListBatchInferences`	`GET /v1/messages/batches`
`CancelBatchInference`	`POST /v1/messages/batches/{id}/cancel`
`DeleteBatchInference`	`DELETE /v1/messages/batches/{id}`

GetBatchInference는 배치 메타데이터 읽기와 배치 결과 다운로드 모두에 대한 권한을 부여합니다. AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess 정책의 Get* 와일드카드에는 이 작업이 포함됩니다.

모델

작업	권한이 부여되는 경로
`GetModel`	`GET /v1/models/{id}`
`ListModels`	`GET /v1/models`

파일

작업	권한이 부여되는 경로
`CreateFile`	`POST /v1/files`
`GetFile`	`GET /v1/files/{id}` `GET /v1/files/{id}/content`
`ListFiles`	`GET /v1/files`
`DeleteFile`	`DELETE /v1/files/{id}`

GetFile은 메타데이터와 콘텐츠 다운로드 모두에 대한 권한을 부여합니다. 읽기 전용 액세스 권한을 가진 보안 주체는 파일을 나열하는 것뿐만 아니라 파일 바이트를 다운로드할 수 있습니다.

스킬

작업	권한이 부여되는 경로
`CreateSkill`	`POST /v1/skills`
`GetSkill`	`GET /v1/skills/{id}` `GET /v1/skills/{id}/versions` `GET /v1/skills/{id}/versions/{version}` `GET /v1/skills/{id}/versions/{version}/content`
`ListSkills`	`GET /v1/skills`
`UpdateSkill`	`POST /v1/skills/{id}/versions` `DELETE /v1/skills/{id}/versions/{version}`
`DeleteSkill`	`DELETE /v1/skills/{id}`

GetSkill은 스킬 메타데이터와 스킬 콘텐츠 다운로드 모두에 대한 권한을 부여합니다. 읽기 전용 액세스 권한을 가진 보안 주체는 스킬을 나열하는 것뿐만 아니라 스킬 바이트를 다운로드할 수 있습니다.

개별 스킬 버전을 생성하거나 삭제하는 것은 CreateSkill 또는 DeleteSkill이 아닌 UpdateSkill에 매핑됩니다. aws-external-anthropic:Delete*를 거부하는 정책은 여전히 버전 삭제를 허용하며, aws-external-anthropic:Create*를 거부하는 정책은 여전히 버전 생성을 허용합니다. 모든 스킬 변경을 방지해야 하는 경우 UpdateSkill과 CreateSkill도 함께 거부하세요.

에이전트

작업	권한이 부여되는 경로
`CreateAgent`	`POST /v1/agents`
`GetAgent`	`GET /v1/agents/{id}` `GET /v1/agents/{id}/versions`
`ListAgents`	`GET /v1/agents`
`UpdateAgent`	`POST /v1/agents/{id}`
`ArchiveAgent`	`POST /v1/agents/{id}/archive`

에이전트는 완전 삭제가 아닌 아카이브만 지원합니다. aws-external-anthropic:Delete*를 거부하는 정책은 ArchiveAgent를 차단하지 않습니다. 모든 에이전트 변경을 방지해야 하는 경우 ArchiveAgent, UpdateAgent, CreateAgent를 거부하세요.

세션

작업	권한이 부여되는 경로
`CreateSession`	`POST /v1/sessions`
`GetSession`	`GET /v1/sessions/{id}` `GET /v1/sessions/{id}/events` `GET /v1/sessions/{id}/events/stream` `GET /v1/sessions/{id}/resources` `GET /v1/sessions/{id}/resources/{id}`
`ListSessions`	`GET /v1/sessions`
`UpdateSession`	`POST /v1/sessions/{id}` `POST /v1/sessions/{id}/events` `POST /v1/sessions/{id}/resources` `POST /v1/sessions/{id}/resources/{id}` `DELETE /v1/sessions/{id}/resources/{id}`
`ArchiveSession`	`POST /v1/sessions/{id}/archive`
`DeleteSession`	`DELETE /v1/sessions/{id}`

GetSession은 세션 메타데이터, 전체 이벤트 스트림(대화 기록), 세션 리소스 읽기에 대한 권한을 부여합니다. AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess 정책의 Get* 와일드카드에는 이 작업이 포함됩니다.

개별 세션 하위 리소스(이벤트 또는 세션 리소스)를 생성, 업데이트 또는 삭제하는 것은 CreateSession 또는 DeleteSession이 아닌 UpdateSession에 매핑됩니다. aws-external-anthropic:Delete*를 거부하는 정책은 여전히 하위 리소스 삭제를 허용하며, aws-external-anthropic:Create*를 거부하는 정책은 여전히 하위 리소스 생성을 허용합니다. 모든 세션 변경을 방지해야 하는 경우 UpdateSession, CreateSession, ArchiveSession도 함께 거부하세요.

환경

작업	권한이 부여되는 경로
`CreateEnvironment`	`POST /v1/environments`
`GetEnvironment`	`GET /v1/environments/{id}` `GET /v1/environments/{id}/work/{work_id}` `GET /v1/environments/{id}/work/stats`
`ListEnvironments`	`GET /v1/environments`
`UpdateEnvironment`	`POST /v1/environments/{id}`
`ArchiveEnvironment`	`POST /v1/environments/{id}/archive`
`DeleteEnvironment`	`DELETE /v1/environments/{id}`
`ProcessEnvironmentWork`	`GET /v1/environments/{id}/work/poll` `POST /v1/environments/{id}/work/{work_id}` `POST /v1/environments/{id}/work/{work_id}/ack` `POST /v1/environments/{id}/work/{work_id}/heartbeat` `POST /v1/environments/{id}/work/{work_id}/stop`

aws-external-anthropic:Delete*를 거부하는 정책은 ArchiveEnvironment를 차단하지 않습니다. ProcessEnvironmentWork는 Create*, Update*, Delete*, Archive* 와일드카드와 일치하지 않습니다. 모든 환경 변경을 방지해야 하는 경우 ArchiveEnvironment, UpdateEnvironment, CreateEnvironment, ProcessEnvironmentWork도 함께 거부하세요.

ProcessEnvironmentWork는 자체 호스팅 샌드박스 워커가 환경 작업 항목을 폴링, 확인(ack), 하트비트, 중지 및 결과 게시할 수 있도록 권한을 부여합니다. 자체 호스팅 환경 워커를 실행하는 보안 주체에게만 부여하세요. AnthropicSelfHostedEnvironmentAccess 관리형 정책에는 이 작업이 포함됩니다.

볼트

작업	권한이 부여되는 경로
`CreateVault`	`POST /v1/vaults`
`GetVault`	`GET /v1/vaults/{id}` `GET /v1/vaults/{id}/credentials` `GET /v1/vaults/{id}/credentials/{id}`
`ListVaults`	`GET /v1/vaults`
`UpdateVault`	`POST /v1/vaults/{id}` `POST /v1/vaults/{id}/credentials` `POST /v1/vaults/{id}/credentials/{id}` `POST /v1/vaults/{id}/credentials/{id}/archive` `DELETE /v1/vaults/{id}/credentials/{id}`
`ArchiveVault`	`POST /v1/vaults/{id}/archive`
`DeleteVault`	`DELETE /v1/vaults/{id}`

개별 볼트 자격 증명을 생성, 업데이트, 아카이브 또는 삭제하는 것은 UpdateVault에 매핑됩니다. 자격 증명 읽기는 GetVault에 매핑됩니다. 볼트 자격 증명 시크릿은 노출되지 않습니다. 시크릿 필드는 쓰기 전용이며 GetVault에서 반환되지 않습니다(볼트로 인증하기 참조). aws-external-anthropic:Delete*를 거부하는 정책은 여전히 자격 증명 삭제를 허용하며, aws-external-anthropic:Create*를 거부하는 정책은 여전히 자격 증명 생성을 허용합니다. 모든 볼트 변경을 방지해야 하는 경우 UpdateVault, CreateVault, ArchiveVault도 함께 거부하세요.

메모리 스토어

작업	권한이 부여되는 경로
`CreateMemoryStore`	`POST /v1/memory_stores`
`GetMemoryStore`	`GET /v1/memory_stores/{id}` `GET /v1/memory_stores/{id}/memories` `GET /v1/memory_stores/{id}/memories/{id}` `GET /v1/memory_stores/{id}/memory_versions` `GET /v1/memory_stores/{id}/memory_versions/{id}`
`ListMemoryStores`	`GET /v1/memory_stores`
`UpdateMemoryStore`	`POST /v1/memory_stores/{id}` `POST /v1/memory_stores/{id}/memories` `POST /v1/memory_stores/{id}/memories/{id}` `DELETE /v1/memory_stores/{id}/memories/{id}` `POST /v1/memory_stores/{id}/memory_versions/{id}/redact`
`ArchiveMemoryStore`	`POST /v1/memory_stores/{id}/archive`
`DeleteMemoryStore`	`DELETE /v1/memory_stores/{id}`

GetMemoryStore는 스토어 메타데이터, 모든 메모리, 메모리 버전 기록 읽기에 대한 권한을 부여합니다. AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess 정책의 Get* 와일드카드에는 이 작업이 포함됩니다.

개별 메모리를 생성, 업데이트 또는 삭제하는 것과 메모리 버전을 삭제(redact)하는 것은 모두 CreateMemoryStore 또는 DeleteMemoryStore가 아닌 UpdateMemoryStore에 매핑됩니다. aws-external-anthropic:Delete*를 거부하는 정책은 여전히 개별 메모리 삭제 및 메모리 버전 삭제를 허용하며, aws-external-anthropic:Create*를 거부하는 정책은 여전히 개별 메모리 생성을 허용합니다. 모든 메모리 스토어 변경을 방지해야 하는 경우 UpdateMemoryStore, CreateMemoryStore, ArchiveMemoryStore도 함께 거부하세요.

웹훅

작업	권한이 부여되는 경로
`CreateWebhook`	`POST /v1/webhooks`
`GetWebhook`	`GET /v1/webhooks/{id}`
`ListWebhooks`	`GET /v1/webhooks`
`UpdateWebhook`	`POST /v1/webhooks/{id}`
`DeleteWebhook`	`DELETE /v1/webhooks/{id}`
`RotateWebhookSecret`	`POST /v1/webhooks/{id}/regenerate_signing_secret`

웹훅 서명 시크릿은 쓰기 전용입니다. GetWebhook은 웹훅 메타데이터만 반환하며 서명 시크릿은 반환하지 않습니다.

RotateWebhookSecret은 aws-external-anthropic:Create*, Update*, Delete* 와일드카드와 일치하지 않습니다. 이러한 패턴을 거부하는 정책은 여전히 시크릿 교체를 허용합니다. 모든 웹훅 변경을 방지해야 하는 경우 RotateWebhookSecret, UpdateWebhook, CreateWebhook, DeleteWebhook을 거부하세요.

사용자 프로필

작업	권한이 부여되는 경로
`CreateUserProfile`	`POST /v1/user_profiles`
`GetUserProfile`	`GET /v1/user_profiles/{id}`
`ListUserProfiles`	`GET /v1/user_profiles`
`UpdateUserProfile`	`POST /v1/user_profiles/{id}`

IAM 작업 매칭은 대소문자를 구분하지 않습니다. 와일드카드 aws-external-anthropic:*File은 CreateFile, GetFile, DeleteFile과 일치하지만 ListFiles("file"이 아닌 "files"로 끝남)와는 일치하지 않습니다. 또한 "Profile"이 "file"로 끝나기 때문에 CreateUserProfile, GetUserProfile, UpdateUserProfile과도 의도치 않게 일치합니다. Files API 작업만 허용하거나 거부하려는 경우 *File 접미사 패턴을 사용하는 대신 명시적으로 나열하세요(CreateFile, GetFile, ListFiles, DeleteFile).

워크스페이스

작업	권한이 부여되는 경로
`CreateWorkspace`	`POST /v1/organizations/workspaces`
`GetWorkspace`	`GET /v1/organizations/workspaces/{id}`
`ListWorkspaces`	`GET /v1/organizations/workspaces`
`UpdateWorkspace`	`POST /v1/organizations/workspaces/{id}`
`ArchiveWorkspace`	`POST /v1/organizations/workspaces/{id}/archive`

워크스페이스는 완전 삭제가 아닌 아카이브만 지원합니다. aws-external-anthropic:Delete*를 거부하는 정책은 ArchiveWorkspace를 차단하지 않습니다. 모든 워크스페이스 변경을 방지해야 하는 경우 ArchiveWorkspace, UpdateWorkspace, CreateWorkspace를 거부하세요.

인증

작업	권한이 부여되는 경로
`CallWithBearerToken`	(없음)

CallWithBearerToken은 보안 주체가 AWS SigV4 대신 API 키(베어러 토큰)를 통해 인증할 수 있도록 권한을 부여하는 인증 계층 권한입니다. 경로에 매핑되지 않습니다. API 키 보유자가 수행하기를 원하는 경로 매핑 작업과 함께 부여하세요.

콘솔 액세스

작업	권한이 부여되는 경로
`AssumeConsole`	(없음)

AssumeConsole은 보안 주체가 AWS Console 페더레이션 플로우를 통해 Claude Platform on AWS 워크스페이스의 Claude Console을 열 수 있도록 권한을 부여합니다. 경로에 매핑되지 않습니다. AWS Console의 Claude Platform on AWS 서비스 페이지에서 Open Claude Console을 클릭할 수 있어야 하는 보안 주체에게 부여하세요. Claude Console 역할(Admin 또는 Developer)은 Anthropic 계정 담당자가 별도로 할당하며, 보안 주체의 IAM 권한에서 파생되지 않습니다. 로그인 플로우 및 역할 설명은 Claude Console 사용하기를 참조하세요.

경로-작업 매핑

다음 표는 Claude Platform on AWS의 모든 경로와 해당 경로를 호출하는 데 필요한 IAM 작업을 나열합니다. 각 IAM 작업은 anthropic-beta 헤더를 사용하는 요청에도 권한을 부여합니다. 경로의 베타 변형에는 별도의 IAM 작업이 필요하지 않습니다. CloudTrail은 각 작업을 Data 이벤트(대용량 데이터 플레인 작업) 또는 Management 이벤트(컨트롤 플레인 작업)로 분류합니다. 볼트 및 웹훅 작업은 시크릿(볼트 자격 증명 및 웹훅 서명 시크릿)을 보유하고 있으며 기본적으로 활성화된 감사 로깅의 이점을 얻기 때문에 Management 이벤트로 분류됩니다. 워크스페이스 작업도 조직 범위의 컨트롤 플레인 작업이므로 Management 이벤트로 분류됩니다. 추론, 배치, 모델, 파일, 스킬, 사용자 프로필 및 나머지 Claude Managed Agents 작업을 포함한 다른 모든 작업은 Data 이벤트로 분류됩니다.

메서드	경로	IAM 작업	CloudTrail 이벤트 유형
`POST`	`/v1/messages`	`CreateInference`	Data
`POST`	`/v1/messages/count_tokens`	`CountTokens`	Data
`POST`	`/v1/messages/batches`	`CreateBatchInference`	Data
`GET`	`/v1/messages/batches`	`ListBatchInferences`	Data
`GET`	`/v1/messages/batches/{id}`	`GetBatchInference`	Data
`GET`	`/v1/messages/batches/{id}/results`	`GetBatchInference`	Data
`POST`	`/v1/messages/batches/{id}/cancel`	`CancelBatchInference`	Data
`DELETE`	`/v1/messages/batches/{id}`	`DeleteBatchInference`	Data
`GET`	`/v1/models`	`ListModels`	Data
`GET`	`/v1/models/{id}`	`GetModel`	Data
`POST`	`/v1/files`	`CreateFile`	Data
`GET`	`/v1/files`	`ListFiles`	Data
`GET`	`/v1/files/{id}`	`GetFile`	Data
`GET`	`/v1/files/{id}/content`	`GetFile`	Data
`DELETE`	`/v1/files/{id}`	`DeleteFile`	Data
`POST`	`/v1/skills`	`CreateSkill`	Data
`GET`	`/v1/skills`	`ListSkills`	Data
`GET`	`/v1/skills/{id}`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}`	`DeleteSkill`	Data
`POST`	`/v1/skills/{id}/versions`	`UpdateSkill`	Data
`GET`	`/v1/skills/{id}/versions`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}/content`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}/versions/{version}`	`UpdateSkill`	Data
`POST`	`/v1/user_profiles`	`CreateUserProfile`	Data
`GET`	`/v1/user_profiles`	`ListUserProfiles`	Data
`GET`	`/v1/user_profiles/{id}`	`GetUserProfile`	Data
`POST`	`/v1/user_profiles/{id}`	`UpdateUserProfile`	Data
`POST`	`/v1/organizations/workspaces`	`CreateWorkspace`	Management
`GET`	`/v1/organizations/workspaces`	`ListWorkspaces`	Management
`GET`	`/v1/organizations/workspaces/{id}`	`GetWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}`	`UpdateWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}/archive`	`ArchiveWorkspace`	Management
`POST`	`/v1/agents`	`CreateAgent`	Data
`GET`	`/v1/agents`	`ListAgents`	Data
`GET`	`/v1/agents/{id}`	`GetAgent`	Data
`POST`	`/v1/agents/{id}`	`UpdateAgent`	Data
`POST`	`/v1/agents/{id}/archive`	`ArchiveAgent`	Data
`GET`	`/v1/agents/{id}/versions`	`GetAgent`	Data
`POST`	`/v1/sessions`	`CreateSession`	Data
`GET`	`/v1/sessions`	`ListSessions`	Data
`GET`	`/v1/sessions/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/archive`	`ArchiveSession`	Data
`DELETE`	`/v1/sessions/{id}`	`DeleteSession`	Data
`GET`	`/v1/sessions/{id}/events`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/events`	`UpdateSession`	Data
`GET`	`/v1/sessions/{id}/events/stream`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/resources`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`DELETE`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`POST`	`/v1/environments`	`CreateEnvironment`	Data
`GET`	`/v1/environments`	`ListEnvironments`	Data
`GET`	`/v1/environments/{id}`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}`	`UpdateEnvironment`	Data
`POST`	`/v1/environments/{id}/archive`	`ArchiveEnvironment`	Data
`DELETE`	`/v1/environments/{id}`	`DeleteEnvironment`	Data
`GET`	`/v1/environments/{id}/work/poll`	`ProcessEnvironmentWork`	Data
`GET`	`/v1/environments/{id}/work/{work_id}`	`GetEnvironment`	Data
`GET`	`/v1/environments/{id}/work/stats`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}/work/{work_id}`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/ack`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/heartbeat`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/stop`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/vaults`	`CreateVault`	Management
`GET`	`/v1/vaults`	`ListVaults`	Management
`GET`	`/v1/vaults/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/archive`	`ArchiveVault`	Management
`DELETE`	`/v1/vaults/{id}`	`DeleteVault`	Management
`GET`	`/v1/vaults/{id}/credentials`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials`	`UpdateVault`	Management
`GET`	`/v1/vaults/{id}/credentials/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}/archive`	`UpdateVault`	Management
`DELETE`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/memory_stores`	`CreateMemoryStore`	Data
`GET`	`/v1/memory_stores`	`ListMemoryStores`	Data
`GET`	`/v1/memory_stores/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}`	`UpdateMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/archive`	`ArchiveMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}`	`DeleteMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memory_versions/{id}/redact`	`UpdateMemoryStore`	Data
`GET`	`/v1/webhooks`	`ListWebhooks`	Management
`GET`	`/v1/webhooks/{id}`	`GetWebhook`	Management
`POST`	`/v1/webhooks`	`CreateWebhook`	Management
`POST`	`/v1/webhooks/{id}`	`UpdateWebhook`	Management
`DELETE`	`/v1/webhooks/{id}`	`DeleteWebhook`	Management
`POST`	`/v1/webhooks/{id}/regenerate_signing_secret`	`RotateWebhookSecret`	Management

이 표에 없는 경로는 Claude Platform on AWS에서 사용할 수 없습니다. 게이트웨이는 여기에 나열되지 않은 모든 경로를 기본적으로 거부합니다.

워크스페이스 경로는 Claude Platform on AWS에서 사용할 수 있는 유일한 Admin API 경로입니다. Claude Console의 Workspaces 페이지는 읽기 전용입니다. 워크스페이스를 생성, 업데이트 또는 아카이브하려면 Admin API 또는 AWS Console을 사용하세요.

관리형 정책

AWS는 Claude Platform on AWS를 위한 5개의 관리형 정책을 제공합니다. 모든 관리형 정책은 Resource: "*"에 적용됩니다.

정책	부여되는 권한
`AnthropicFullAccess`	`aws-external-anthropic:*`
`AnthropicReadOnlyAccess`	`Get`, `List`, `CallWithBearerToken`
`AnthropicInferenceAccess`	`Get`, `List`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`
`AnthropicLimitedAccess`	모든 `AnthropicInferenceAccess` 작업과 모든 Claude Managed Agents 작업(에이전트, 세션, 환경, 볼트, 메모리 스토어, 웹훅, 자체 호스팅 환경 작업)
`AnthropicSelfHostedEnvironmentAccess`	`GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`

AnthropicInferenceAccess는 추론을 실행하기에 충분한 가장 좁은 범위의 관리형 정책입니다. 동기 및 배치 추론을 모두 다루며, Get* 및 List* 와일드카드를 통해 Claude Managed Agents(CMA) 리소스(에이전트, 세션, 환경, 볼트, 메모리 스토어, 웹훅)를 포함한 네임스페이스의 모든 API 리소스에 대한 읽기 액세스를 부여합니다. 여기에는 GetFile을 통한 파일 콘텐츠 다운로드(파일 참고 사항 참조), GetSkill을 통한 스킬 콘텐츠 다운로드(스킬 참고 사항 참조), GetMemoryStore를 통한 메모리 콘텐츠가 포함됩니다. 볼트 자격 증명 시크릿과 웹훅 서명 시크릿은 노출되지 않습니다. 해당 필드는 쓰기 전용이며 GetVault 또는 GetWebhook에서 반환되지 않습니다(볼트로 인증하기 참조). AnthropicInferenceAccess는 파일 생성 또는 삭제, 스킬 관리, 사용자 프로필 관리, 워크스페이스 변경, 또는 Claude Managed Agents 쓰기 작업(생성, 업데이트, 아카이브, 삭제, 처리, 교체)을 부여하지 않습니다. CMA 읽기를 제외하려면 AnthropicInferenceAccess를 필요한 특정 비 CMA 작업만 나열하는 사용자 지정 정책으로 대체하세요.

AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess는 모두 Get* 및 List* 와일드카드를 포함하며, 이는 워크스페이스의 모든 콘텐츠(파일 바이트, 스킬 콘텐츠, 배치 결과, 세션 대화 기록, 메모리 콘텐츠)에 대한 읽기 액세스를 부여합니다. 볼트 자격 증명 시크릿과 웹훅 서명 시크릿은 노출되지 않습니다. 해당 필드는 쓰기 전용이며 GetVault 또는 GetWebhook에서 반환되지 않습니다. 보안 주체가 기존 콘텐츠를 읽지 않아야 하는 경우 필요한 작업만 나열하는 사용자 지정 정책을 사용하세요.

AnthropicLimitedAccess는 추론 작업 외에 모든 Claude Managed Agents 작업을 포함합니다.

AnthropicSelfHostedEnvironmentAccess는 자체 호스팅 샌드박스 워커를 실행하기에 충분한 가장 좁은 범위의 관리형 정책입니다. 환경 워커가 인증하는 보안 주체에 연결하세요.

AssumeConsole은 AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess, AnthropicSelfHostedEnvironmentAccess에 포함되지 않습니다. Claude Console 액세스가 필요한 보안 주체는 AnthropicFullAccess 또는 aws-external-anthropic:AssumeConsole을 부여하는 사용자 지정 정책이 필요합니다. 콘솔 액세스를 참조하세요.

CreateInference와 CreateBatchInference는 별개의 작업입니다. 하나를 거부해도 다른 하나는 차단되지 않습니다. 모든 모델 호출을 방지하려면 둘 다 거부하세요.

정책 예시

단일 워크스페이스에서의 동기 추론

하나의 프로덕션 워크스페이스에 대해 추론을 실행하는 IAM 보안 주체에 대한 최소 권한을 부여합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

ListWorkspaces는 계정 범위입니다(프로비저닝 자동화 참조). 서비스 계정이 워크스페이스를 나열해야 하는 경우 Resource: "*"로 ListWorkspaces에 대한 별도의 Allow 문을 추가하세요.

이 정책은 AWS SigV4 인증을 가정합니다. 보안 주체가 API 키로 인증하는 경우 Resource: "*"로 aws-external-anthropic:CallWithBearerToken에 대한 별도의 Allow 문을 추가하세요. CallWithBearerToken은 워크스페이스 ARN에 바인딩되지 않는 경로 없는 작업입니다. 두 개의 문으로 구성된 패턴은 고객별 워크스페이스 격리를 참조하세요.

고객별 워크스페이스 격리

역할을 단일 워크스페이스로 제한합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}

첫 번째 문의 aws-external-anthropic:* 와일드카드에는 워크스페이스 ARN 제약 조건이 자동으로 필터링하는 계정 범위 작업(CreateWorkspace, ListWorkspaces)이 포함됩니다. 이는 "격리" 의도와 일치하지만(역할이 워크스페이스를 생성하거나 나열할 수 없음), 정책에는 효과가 없는 권한이 포함되어 있습니다. 계정 범위 패턴은 프로비저닝 자동화를 참조하세요.

CallWithBearerToken과 AssumeConsole은 워크스페이스 ARN에 바인딩되지 않는 경로 없는 작업입니다. 두 번째 문은 역할이 API 키로 인증하고 Claude Console을 열 수 있도록 Resource: "*"에 대해 이를 부여합니다. 역할이 SigV4만 사용하고 Claude Console 액세스가 필요하지 않은 경우 이 문을 생략하세요.

ZDR 민감 워크스페이스에 대한 기능 잠금

동기 추론은 사용 가능한 상태로 유지하면서 특정 워크스페이스에서 배치 처리 및 파일 업로드를 차단합니다. 워크스페이스가 서버 측에 유지되어서는 안 되는 Zero Data Retention(ZDR) 데이터를 처리할 때 유용합니다. 이 정책을 AnthropicInferenceAccess 또는 단일 워크스페이스 예시와 같은 Allow 정책과 함께 연결하세요. Deny 전용 정책만으로는 권한이 부여되지 않습니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

이 거부는 생성만 차단합니다. 다른 파일 및 배치 작업은 함께 나열하지 않는 한 거부되지 않습니다. 워크스페이스가 파일이나 배치를 절대 보유해서는 안 되는 완전한 잠금을 위해서는 aws-external-anthropic:GetFile, aws-external-anthropic:ListFiles, aws-external-anthropic:DeleteFile, aws-external-anthropic:GetBatchInference, aws-external-anthropic:ListBatchInferences, aws-external-anthropic:CancelBatchInference, aws-external-anthropic:DeleteBatchInference도 거부하세요.

프로비저닝 자동화

Claude Console의 Workspaces 페이지는 읽기 전용입니다. 워크스페이스를 생성, 업데이트 또는 아카이브하려면 Admin API 워크스페이스 엔드포인트 또는 AWS Console을 사용하세요.

추론 권한 없이 워크스페이스를 생성하고 관리하는 데 필요한 작업을 CI/CD 역할에 부여합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}

CreateWorkspace와 ListWorkspaces는 계정 범위 작업입니다. 이러한 작업에 워크스페이스 ARN을 지정해도 효과가 없으므로 Resource: "*"를 사용하세요.

참고 자료

설정, 인증 및 플랫폼 개요는 Claude Platform on AWS를 참조하세요
IAM 정책 구문 및 평가 로직은 AWS IAM 사용 설명서를 참조하세요
감사 로깅 구성은 AWS CloudTrail 사용 설명서를 참조하세요

Was this page helpful?

API 레퍼런스지원 및 구성

Claude Platform on AWS를 위한 IAM 작업

AWS 정책을 통해 Claude Platform on AWS에 대한 액세스를 제어하기 위한 IAM 작업 참조입니다.

서비스 세부 정보

속성	값
IAM 서비스 접두사	`aws-external-anthropic`
리소스 유형	`workspace`

워크스페이스 ARN 형식:

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

작업

추론

작업	권한이 부여되는 경로
`CreateInference`	`POST /v1/messages`
`CountTokens`	`POST /v1/messages/count_tokens`

배치 처리

작업	권한이 부여되는 경로
`CreateBatchInference`	`POST /v1/messages/batches`
`GetBatchInference`	`GET /v1/messages/batches/{id}` `GET /v1/messages/batches/{id}/results`
`ListBatchInferences`	`GET /v1/messages/batches`
`CancelBatchInference`	`POST /v1/messages/batches/{id}/cancel`
`DeleteBatchInference`	`DELETE /v1/messages/batches/{id}`

모델

작업	권한이 부여되는 경로
`GetModel`	`GET /v1/models/{id}`
`ListModels`	`GET /v1/models`

파일

작업	권한이 부여되는 경로
`CreateFile`	`POST /v1/files`
`GetFile`	`GET /v1/files/{id}` `GET /v1/files/{id}/content`
`ListFiles`	`GET /v1/files`
`DeleteFile`	`DELETE /v1/files/{id}`

스킬

작업	권한이 부여되는 경로
`CreateSkill`	`POST /v1/skills`
`GetSkill`	`GET /v1/skills/{id}` `GET /v1/skills/{id}/versions` `GET /v1/skills/{id}/versions/{version}` `GET /v1/skills/{id}/versions/{version}/content`
`ListSkills`	`GET /v1/skills`
`UpdateSkill`	`POST /v1/skills/{id}/versions` `DELETE /v1/skills/{id}/versions/{version}`
`DeleteSkill`	`DELETE /v1/skills/{id}`

에이전트

작업	권한이 부여되는 경로
`CreateAgent`	`POST /v1/agents`
`GetAgent`	`GET /v1/agents/{id}` `GET /v1/agents/{id}/versions`
`ListAgents`	`GET /v1/agents`
`UpdateAgent`	`POST /v1/agents/{id}`
`ArchiveAgent`	`POST /v1/agents/{id}/archive`

세션

작업	권한이 부여되는 경로
`CreateSession`	`POST /v1/sessions`
`GetSession`	`GET /v1/sessions/{id}` `GET /v1/sessions/{id}/events` `GET /v1/sessions/{id}/events/stream` `GET /v1/sessions/{id}/resources` `GET /v1/sessions/{id}/resources/{id}`
`ListSessions`	`GET /v1/sessions`
`UpdateSession`	`POST /v1/sessions/{id}` `POST /v1/sessions/{id}/events` `POST /v1/sessions/{id}/resources` `POST /v1/sessions/{id}/resources/{id}` `DELETE /v1/sessions/{id}/resources/{id}`
`ArchiveSession`	`POST /v1/sessions/{id}/archive`
`DeleteSession`	`DELETE /v1/sessions/{id}`

환경

작업	권한이 부여되는 경로
`CreateEnvironment`	`POST /v1/environments`
`GetEnvironment`	`GET /v1/environments/{id}` `GET /v1/environments/{id}/work/{work_id}` `GET /v1/environments/{id}/work/stats`
`ListEnvironments`	`GET /v1/environments`
`UpdateEnvironment`	`POST /v1/environments/{id}`
`ArchiveEnvironment`	`POST /v1/environments/{id}/archive`
`DeleteEnvironment`	`DELETE /v1/environments/{id}`
`ProcessEnvironmentWork`	`GET /v1/environments/{id}/work/poll` `POST /v1/environments/{id}/work/{work_id}` `POST /v1/environments/{id}/work/{work_id}/ack` `POST /v1/environments/{id}/work/{work_id}/heartbeat` `POST /v1/environments/{id}/work/{work_id}/stop`

볼트

작업	권한이 부여되는 경로
`CreateVault`	`POST /v1/vaults`
`GetVault`	`GET /v1/vaults/{id}` `GET /v1/vaults/{id}/credentials` `GET /v1/vaults/{id}/credentials/{id}`
`ListVaults`	`GET /v1/vaults`
`UpdateVault`	`POST /v1/vaults/{id}` `POST /v1/vaults/{id}/credentials` `POST /v1/vaults/{id}/credentials/{id}` `POST /v1/vaults/{id}/credentials/{id}/archive` `DELETE /v1/vaults/{id}/credentials/{id}`
`ArchiveVault`	`POST /v1/vaults/{id}/archive`
`DeleteVault`	`DELETE /v1/vaults/{id}`

메모리 스토어

작업	권한이 부여되는 경로
`CreateMemoryStore`	`POST /v1/memory_stores`
`GetMemoryStore`	`GET /v1/memory_stores/{id}` `GET /v1/memory_stores/{id}/memories` `GET /v1/memory_stores/{id}/memories/{id}` `GET /v1/memory_stores/{id}/memory_versions` `GET /v1/memory_stores/{id}/memory_versions/{id}`
`ListMemoryStores`	`GET /v1/memory_stores`
`UpdateMemoryStore`	`POST /v1/memory_stores/{id}` `POST /v1/memory_stores/{id}/memories` `POST /v1/memory_stores/{id}/memories/{id}` `DELETE /v1/memory_stores/{id}/memories/{id}` `POST /v1/memory_stores/{id}/memory_versions/{id}/redact`
`ArchiveMemoryStore`	`POST /v1/memory_stores/{id}/archive`
`DeleteMemoryStore`	`DELETE /v1/memory_stores/{id}`

웹훅

작업	권한이 부여되는 경로
`CreateWebhook`	`POST /v1/webhooks`
`GetWebhook`	`GET /v1/webhooks/{id}`
`ListWebhooks`	`GET /v1/webhooks`
`UpdateWebhook`	`POST /v1/webhooks/{id}`
`DeleteWebhook`	`DELETE /v1/webhooks/{id}`
`RotateWebhookSecret`	`POST /v1/webhooks/{id}/regenerate_signing_secret`

웹훅 서명 시크릿은 쓰기 전용입니다. GetWebhook은 웹훅 메타데이터만 반환하며 서명 시크릿은 반환하지 않습니다.

사용자 프로필

작업	권한이 부여되는 경로
`CreateUserProfile`	`POST /v1/user_profiles`
`GetUserProfile`	`GET /v1/user_profiles/{id}`
`ListUserProfiles`	`GET /v1/user_profiles`
`UpdateUserProfile`	`POST /v1/user_profiles/{id}`

워크스페이스

작업	권한이 부여되는 경로
`CreateWorkspace`	`POST /v1/organizations/workspaces`
`GetWorkspace`	`GET /v1/organizations/workspaces/{id}`
`ListWorkspaces`	`GET /v1/organizations/workspaces`
`UpdateWorkspace`	`POST /v1/organizations/workspaces/{id}`
`ArchiveWorkspace`	`POST /v1/organizations/workspaces/{id}/archive`

인증

작업	권한이 부여되는 경로
`CallWithBearerToken`	(없음)

콘솔 액세스

작업	권한이 부여되는 경로
`AssumeConsole`	(없음)

경로-작업 매핑

메서드	경로	IAM 작업	CloudTrail 이벤트 유형
`POST`	`/v1/messages`	`CreateInference`	Data
`POST`	`/v1/messages/count_tokens`	`CountTokens`	Data
`POST`	`/v1/messages/batches`	`CreateBatchInference`	Data
`GET`	`/v1/messages/batches`	`ListBatchInferences`	Data
`GET`	`/v1/messages/batches/{id}`	`GetBatchInference`	Data
`GET`	`/v1/messages/batches/{id}/results`	`GetBatchInference`	Data
`POST`	`/v1/messages/batches/{id}/cancel`	`CancelBatchInference`	Data
`DELETE`	`/v1/messages/batches/{id}`	`DeleteBatchInference`	Data
`GET`	`/v1/models`	`ListModels`	Data
`GET`	`/v1/models/{id}`	`GetModel`	Data
`POST`	`/v1/files`	`CreateFile`	Data
`GET`	`/v1/files`	`ListFiles`	Data
`GET`	`/v1/files/{id}`	`GetFile`	Data
`GET`	`/v1/files/{id}/content`	`GetFile`	Data
`DELETE`	`/v1/files/{id}`	`DeleteFile`	Data
`POST`	`/v1/skills`	`CreateSkill`	Data
`GET`	`/v1/skills`	`ListSkills`	Data
`GET`	`/v1/skills/{id}`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}`	`DeleteSkill`	Data
`POST`	`/v1/skills/{id}/versions`	`UpdateSkill`	Data
`GET`	`/v1/skills/{id}/versions`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}/content`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}/versions/{version}`	`UpdateSkill`	Data
`POST`	`/v1/user_profiles`	`CreateUserProfile`	Data
`GET`	`/v1/user_profiles`	`ListUserProfiles`	Data
`GET`	`/v1/user_profiles/{id}`	`GetUserProfile`	Data
`POST`	`/v1/user_profiles/{id}`	`UpdateUserProfile`	Data
`POST`	`/v1/organizations/workspaces`	`CreateWorkspace`	Management
`GET`	`/v1/organizations/workspaces`	`ListWorkspaces`	Management
`GET`	`/v1/organizations/workspaces/{id}`	`GetWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}`	`UpdateWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}/archive`	`ArchiveWorkspace`	Management
`POST`	`/v1/agents`	`CreateAgent`	Data
`GET`	`/v1/agents`	`ListAgents`	Data
`GET`	`/v1/agents/{id}`	`GetAgent`	Data
`POST`	`/v1/agents/{id}`	`UpdateAgent`	Data
`POST`	`/v1/agents/{id}/archive`	`ArchiveAgent`	Data
`GET`	`/v1/agents/{id}/versions`	`GetAgent`	Data
`POST`	`/v1/sessions`	`CreateSession`	Data
`GET`	`/v1/sessions`	`ListSessions`	Data
`GET`	`/v1/sessions/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/archive`	`ArchiveSession`	Data
`DELETE`	`/v1/sessions/{id}`	`DeleteSession`	Data
`GET`	`/v1/sessions/{id}/events`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/events`	`UpdateSession`	Data
`GET`	`/v1/sessions/{id}/events/stream`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/resources`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`DELETE`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`POST`	`/v1/environments`	`CreateEnvironment`	Data
`GET`	`/v1/environments`	`ListEnvironments`	Data
`GET`	`/v1/environments/{id}`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}`	`UpdateEnvironment`	Data
`POST`	`/v1/environments/{id}/archive`	`ArchiveEnvironment`	Data
`DELETE`	`/v1/environments/{id}`	`DeleteEnvironment`	Data
`GET`	`/v1/environments/{id}/work/poll`	`ProcessEnvironmentWork`	Data
`GET`	`/v1/environments/{id}/work/{work_id}`	`GetEnvironment`	Data
`GET`	`/v1/environments/{id}/work/stats`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}/work/{work_id}`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/ack`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/heartbeat`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/stop`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/vaults`	`CreateVault`	Management
`GET`	`/v1/vaults`	`ListVaults`	Management
`GET`	`/v1/vaults/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/archive`	`ArchiveVault`	Management
`DELETE`	`/v1/vaults/{id}`	`DeleteVault`	Management
`GET`	`/v1/vaults/{id}/credentials`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials`	`UpdateVault`	Management
`GET`	`/v1/vaults/{id}/credentials/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}/archive`	`UpdateVault`	Management
`DELETE`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/memory_stores`	`CreateMemoryStore`	Data
`GET`	`/v1/memory_stores`	`ListMemoryStores`	Data
`GET`	`/v1/memory_stores/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}`	`UpdateMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/archive`	`ArchiveMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}`	`DeleteMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memory_versions/{id}/redact`	`UpdateMemoryStore`	Data
`GET`	`/v1/webhooks`	`ListWebhooks`	Management
`GET`	`/v1/webhooks/{id}`	`GetWebhook`	Management
`POST`	`/v1/webhooks`	`CreateWebhook`	Management
`POST`	`/v1/webhooks/{id}`	`UpdateWebhook`	Management
`DELETE`	`/v1/webhooks/{id}`	`DeleteWebhook`	Management
`POST`	`/v1/webhooks/{id}/regenerate_signing_secret`	`RotateWebhookSecret`	Management

이 표에 없는 경로는 Claude Platform on AWS에서 사용할 수 없습니다. 게이트웨이는 여기에 나열되지 않은 모든 경로를 기본적으로 거부합니다.

관리형 정책

AWS는 Claude Platform on AWS를 위한 5개의 관리형 정책을 제공합니다. 모든 관리형 정책은 Resource: "*"에 적용됩니다.

정책	부여되는 권한
`AnthropicFullAccess`	`aws-external-anthropic:*`
`AnthropicReadOnlyAccess`	`Get`, `List`, `CallWithBearerToken`
`AnthropicInferenceAccess`	`Get`, `List`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`
`AnthropicLimitedAccess`	모든 `AnthropicInferenceAccess` 작업과 모든 Claude Managed Agents 작업(에이전트, 세션, 환경, 볼트, 메모리 스토어, 웹훅, 자체 호스팅 환경 작업)
`AnthropicSelfHostedEnvironmentAccess`	`GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`

AnthropicLimitedAccess는 추론 작업 외에 모든 Claude Managed Agents 작업을 포함합니다.

정책 예시

단일 워크스페이스에서의 동기 추론

하나의 프로덕션 워크스페이스에 대해 추론을 실행하는 IAM 보안 주체에 대한 최소 권한을 부여합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

고객별 워크스페이스 격리

역할을 단일 워크스페이스로 제한합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}

ZDR 민감 워크스페이스에 대한 기능 잠금

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

프로비저닝 자동화

추론 권한 없이 워크스페이스를 생성하고 관리하는 데 필요한 작업을 CI/CD 역할에 부여합니다:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}

CreateWorkspace와 ListWorkspaces는 계정 범위 작업입니다. 이러한 작업에 워크스페이스 ARN을 지정해도 효과가 없으므로 Resource: "*"를 사용하세요.

참고 자료

설정, 인증 및 플랫폼 개요는 Claude Platform on AWS를 참조하세요
IAM 정책 구문 및 평가 로직은 AWS IAM 사용 설명서를 참조하세요
감사 로깅 구성은 AWS CloudTrail 사용 설명서를 참조하세요

Was this page helpful?