Referência da APISuporte e configuração

Ações do IAM para Claude Platform on AWS

Referência de ações do IAM para controlar o acesso ao Claude Platform on AWS por meio de políticas da AWS.

O Claude Platform on AWS usa o AWS IAM para controle de acesso. Cada rota da API é mapeada para uma ação do IAM no namespace aws-external-anthropic. Esta página lista todas as ações, as rotas que cada ação autoriza e as políticas gerenciadas disponíveis para padrões de acesso comuns. Para configuração da plataforma e autenticação, consulte Claude Platform on AWS.

Detalhes do serviço

Atributo	Valor
Prefixo de serviço do IAM	`aws-external-anthropic`
Tipos de recurso	`workspace`

Formato do ARN de workspace:

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

A região do ARN é sempre preenchida e corresponde à região à qual o workspace está vinculado. O segmento de recurso é o ID de workspace com tag (wrkspc_...), o mesmo valor que você passa no cabeçalho anthropic-workspace-id.

Ações

O serviço define 66 ações. As ações seguem a convenção VerbNoun da AWS e usam disciplina de verbos para que os curingas Get* e List* produzam um limite limpo de somente leitura.

Inferência

Ação	Rotas autorizadas
`CreateInference`	`POST /v1/messages`
`CountTokens`	`POST /v1/messages/count_tokens`

Processamento em lote

Ação	Rotas autorizadas
`CreateBatchInference`	`POST /v1/messages/batches`
`GetBatchInference`	`GET /v1/messages/batches/{id}` `GET /v1/messages/batches/{id}/results`
`ListBatchInferences`	`GET /v1/messages/batches`
`CancelBatchInference`	`POST /v1/messages/batches/{id}/cancel`
`DeleteBatchInference`	`DELETE /v1/messages/batches/{id}`

Modelos

Ação	Rotas autorizadas
`GetModel`	`GET /v1/models/{id}`
`ListModels`	`GET /v1/models`

Arquivos

Ação	Rotas autorizadas
`CreateFile`	`POST /v1/files`
`GetFile`	`GET /v1/files/{id}` `GET /v1/files/{id}/content`
`ListFiles`	`GET /v1/files`
`DeleteFile`	`DELETE /v1/files/{id}`

Skills

Ação	Rotas autorizadas
`CreateSkill`	`POST /v1/skills`
`GetSkill`	`GET /v1/skills/{id}` `GET /v1/skills/{id}/versions` `GET /v1/skills/{id}/versions/{version}` `GET /v1/skills/{id}/versions/{version}/content`
`ListSkills`	`GET /v1/skills`
`UpdateSkill`	`POST /v1/skills/{id}/versions` `DELETE /v1/skills/{id}/versions/{version}`
`DeleteSkill`	`DELETE /v1/skills/{id}`

Agentes

Ação	Rotas autorizadas
`CreateAgent`	`POST /v1/agents`
`GetAgent`	`GET /v1/agents/{id}` `GET /v1/agents/{id}/versions`
`ListAgents`	`GET /v1/agents`
`UpdateAgent`	`POST /v1/agents/{id}`
`ArchiveAgent`	`POST /v1/agents/{id}/archive`

Sessões

Ação	Rotas autorizadas
`CreateSession`	`POST /v1/sessions`
`GetSession`	`GET /v1/sessions/{id}` `GET /v1/sessions/{id}/events` `GET /v1/sessions/{id}/events/stream` `GET /v1/sessions/{id}/resources` `GET /v1/sessions/{id}/resources/{id}`
`ListSessions`	`GET /v1/sessions`
`UpdateSession`	`POST /v1/sessions/{id}` `POST /v1/sessions/{id}/events` `POST /v1/sessions/{id}/resources` `POST /v1/sessions/{id}/resources/{id}` `DELETE /v1/sessions/{id}/resources/{id}`
`ArchiveSession`	`POST /v1/sessions/{id}/archive`
`DeleteSession`	`DELETE /v1/sessions/{id}`

Ambientes

Ação	Rotas autorizadas
`CreateEnvironment`	`POST /v1/environments`
`GetEnvironment`	`GET /v1/environments/{id}` `GET /v1/environments/{id}/work` `GET /v1/environments/{id}/work/{work_id}` `GET /v1/environments/{id}/work/stats`
`ListEnvironments`	`GET /v1/environments`
`UpdateEnvironment`	`POST /v1/environments/{id}`
`ArchiveEnvironment`	`POST /v1/environments/{id}/archive`
`DeleteEnvironment`	`DELETE /v1/environments/{id}`
`ProcessEnvironmentWork`	`GET /v1/environments/{id}/work/poll` `POST /v1/environments/{id}/work/{work_id}` `POST /v1/environments/{id}/work/{work_id}/ack` `POST /v1/environments/{id}/work/{work_id}/heartbeat` `POST /v1/environments/{id}/work/{work_id}/stop`

Vaults

Ação	Rotas autorizadas
`CreateVault`	`POST /v1/vaults`
`GetVault`	`GET /v1/vaults/{id}` `GET /v1/vaults/{id}/credentials` `GET /v1/vaults/{id}/credentials/{id}`
`ListVaults`	`GET /v1/vaults`
`UpdateVault`	`POST /v1/vaults/{id}` `POST /v1/vaults/{id}/credentials` `POST /v1/vaults/{id}/credentials/{id}` `POST /v1/vaults/{id}/credentials/{id}/archive` `DELETE /v1/vaults/{id}/credentials/{id}`
`ArchiveVault`	`POST /v1/vaults/{id}/archive`
`DeleteVault`	`DELETE /v1/vaults/{id}`

Memory stores

Ação	Rotas autorizadas
`CreateMemoryStore`	`POST /v1/memory_stores`
`GetMemoryStore`	`GET /v1/memory_stores/{id}` `GET /v1/memory_stores/{id}/memories` `GET /v1/memory_stores/{id}/memories/{id}` `GET /v1/memory_stores/{id}/memory_versions` `GET /v1/memory_stores/{id}/memory_versions/{id}`
`ListMemoryStores`	`GET /v1/memory_stores`
`UpdateMemoryStore`	`POST /v1/memory_stores/{id}` `POST /v1/memory_stores/{id}/memories` `POST /v1/memory_stores/{id}/memories/{id}` `DELETE /v1/memory_stores/{id}/memories/{id}` `POST /v1/memory_stores/{id}/memory_versions/{id}/redact`
`ArchiveMemoryStore`	`POST /v1/memory_stores/{id}/archive`
`DeleteMemoryStore`	`DELETE /v1/memory_stores/{id}`

Webhooks

Ação	Rotas autorizadas
`CreateWebhook`	`POST /v1/webhooks`
`GetWebhook`	`GET /v1/webhooks/{id}`
`ListWebhooks`	`GET /v1/webhooks`
`UpdateWebhook`	`POST /v1/webhooks/{id}`
`DeleteWebhook`	`DELETE /v1/webhooks/{id}`
`RotateWebhookSecret`	`POST /v1/webhooks/{id}/regenerate_signing_secret`

Perfis de usuário

Ação	Rotas autorizadas
`CreateUserProfile`	`POST /v1/user_profiles`
`GetUserProfile`	`GET /v1/user_profiles/{id}`
`ListUserProfiles`	`GET /v1/user_profiles`
`UpdateUserProfile`	`POST /v1/user_profiles/{id}`

Workspaces

Ação	Rotas autorizadas
`CreateWorkspace`	`POST /v1/organizations/workspaces`
`GetWorkspace`	`GET /v1/organizations/workspaces/{id}`
`ListWorkspaces`	`GET /v1/organizations/workspaces`
`UpdateWorkspace`	`POST /v1/organizations/workspaces/{id}`
`ArchiveWorkspace`	`POST /v1/organizations/workspaces/{id}/archive`

Conformidade

Ação	Rotas autorizadas
`ListComplianceActivities`	`GET /v1/compliance/activities`

Autenticação

Ação	Rotas autorizadas
`CallWithBearerToken`	(nenhuma)

CallWithBearerToken é uma permissão da camada de autenticação que autoriza um principal a se autenticar por meio de uma chave de API (bearer token) em vez de AWS SigV4. Ela não é mapeada para uma rota. Conceda-a junto com as ações mapeadas para rotas que você deseja que o portador da chave de API execute.

Acesso ao console

Ação	Rotas autorizadas
`AssumeConsole`	(nenhuma)

AssumeConsole autoriza um principal a abrir o Claude Console para um workspace do Claude Platform on AWS por meio do fluxo de federação do AWS Console. Ela não é mapeada para uma rota. Conceda-a a principals que devem poder clicar em Open Claude Console na página do serviço Claude Platform on AWS no AWS Console. A função do Claude Console (Admin ou Developer) é atribuída separadamente pelo seu representante de conta da Anthropic; ela não é derivada das permissões do IAM do principal. Consulte Usando o Claude Console para o fluxo de login e descrições de funções.

Mapeamento de rota para ação

A tabela a seguir lista todas as rotas no Claude Platform on AWS e a ação do IAM necessária para chamá-las. Cada ação do IAM também autoriza requisições que usam o cabeçalho anthropic-beta; variantes beta de uma rota não exigem uma ação do IAM separada. O CloudTrail classifica cada ação como um evento de Dados (operações de plano de dados de alto volume) ou um evento de Gerenciamento (operações de plano de controle). Ações de vault e webhook são classificadas como eventos de Gerenciamento porque contêm segredos (credenciais de vault e segredos de assinatura de webhook) e se beneficiam do log de auditoria ativado por padrão. Ações de workspace e conformidade também são classificadas como eventos de Gerenciamento porque são operações de plano de controle com escopo de organização. Todas as outras ações, incluindo inferência, lote, modelo, arquivo, skill, perfil de usuário e as demais ações do Claude Managed Agents, são classificadas como eventos de Dados.

Método	Rota	Ação do IAM	Tipo de evento do CloudTrail
`POST`	`/v1/messages`	`CreateInference`	Dados
`POST`	`/v1/messages/count_tokens`	`CountTokens`	Dados
`POST`	`/v1/messages/batches`	`CreateBatchInference`	Dados
`GET`	`/v1/messages/batches`	`ListBatchInferences`	Dados
`GET`	`/v1/messages/batches/{id}`	`GetBatchInference`	Dados
`GET`	`/v1/messages/batches/{id}/results`	`GetBatchInference`	Dados
`POST`	`/v1/messages/batches/{id}/cancel`	`CancelBatchInference`	Dados
`DELETE`	`/v1/messages/batches/{id}`	`DeleteBatchInference`	Dados
`GET`	`/v1/models`	`ListModels`	Dados
`GET`	`/v1/models/{id}`	`GetModel`	Dados
`POST`	`/v1/files`	`CreateFile`	Dados
`GET`	`/v1/files`	`ListFiles`	Dados
`GET`	`/v1/files/{id}`	`GetFile`	Dados
`GET`	`/v1/files/{id}/content`	`GetFile`	Dados
`DELETE`	`/v1/files/{id}`	`DeleteFile`	Dados
`POST`	`/v1/skills`	`CreateSkill`	Dados
`GET`	`/v1/skills`	`ListSkills`	Dados
`GET`	`/v1/skills/{id}`	`GetSkill`	Dados
`DELETE`	`/v1/skills/{id}`	`DeleteSkill`	Dados
`POST`	`/v1/skills/{id}/versions`	`UpdateSkill`	Dados
`GET`	`/v1/skills/{id}/versions`	`GetSkill`	Dados
`GET`	`/v1/skills/{id}/versions/{version}`	`GetSkill`	Dados
`GET`	`/v1/skills/{id}/versions/{version}/content`	`GetSkill`	Dados
`DELETE`	`/v1/skills/{id}/versions/{version}`	`UpdateSkill`	Dados
`POST`	`/v1/user_profiles`	`CreateUserProfile`	Dados
`GET`	`/v1/user_profiles`	`ListUserProfiles`	Dados
`GET`	`/v1/user_profiles/{id}`	`GetUserProfile`	Dados
`POST`	`/v1/user_profiles/{id}`	`UpdateUserProfile`	Dados
`POST`	`/v1/organizations/workspaces`	`CreateWorkspace`	Gerenciamento
`GET`	`/v1/organizations/workspaces`	`ListWorkspaces`	Gerenciamento
`GET`	`/v1/organizations/workspaces/{id}`	`GetWorkspace`	Gerenciamento
`POST`	`/v1/organizations/workspaces/{id}`	`UpdateWorkspace`	Gerenciamento
`POST`	`/v1/organizations/workspaces/{id}/archive`	`ArchiveWorkspace`	Gerenciamento
`GET`	`/v1/compliance/activities`	`ListComplianceActivities`	Gerenciamento
`POST`	`/v1/agents`	`CreateAgent`	Dados
`GET`	`/v1/agents`	`ListAgents`	Dados
`GET`	`/v1/agents/{id}`	`GetAgent`	Dados
`POST`	`/v1/agents/{id}`	`UpdateAgent`	Dados
`POST`	`/v1/agents/{id}/archive`	`ArchiveAgent`	Dados
`GET`	`/v1/agents/{id}/versions`	`GetAgent`	Dados
`POST`	`/v1/sessions`	`CreateSession`	Dados
`GET`	`/v1/sessions`	`ListSessions`	Dados
`GET`	`/v1/sessions/{id}`	`GetSession`	Dados
`POST`	`/v1/sessions/{id}`	`UpdateSession`	Dados
`POST`	`/v1/sessions/{id}/archive`	`ArchiveSession`	Dados
`DELETE`	`/v1/sessions/{id}`	`DeleteSession`	Dados
`GET`	`/v1/sessions/{id}/events`	`GetSession`	Dados
`POST`	`/v1/sessions/{id}/events`	`UpdateSession`	Dados
`GET`	`/v1/sessions/{id}/events/stream`	`GetSession`	Dados
`GET`	`/v1/sessions/{id}/resources`	`GetSession`	Dados
`GET`	`/v1/sessions/{id}/resources/{id}`	`GetSession`	Dados
`POST`	`/v1/sessions/{id}/resources`	`UpdateSession`	Dados
`POST`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Dados
`DELETE`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Dados
`POST`	`/v1/environments`	`CreateEnvironment`	Dados
`GET`	`/v1/environments`	`ListEnvironments`	Dados
`GET`	`/v1/environments/{id}`	`GetEnvironment`	Dados
`POST`	`/v1/environments/{id}`	`UpdateEnvironment`	Dados
`POST`	`/v1/environments/{id}/archive`	`ArchiveEnvironment`	Dados
`DELETE`	`/v1/environments/{id}`	`DeleteEnvironment`	Dados
`GET`	`/v1/environments/{id}/work`	`GetEnvironment`	Dados
`GET`	`/v1/environments/{id}/work/poll`	`ProcessEnvironmentWork`	Dados
`GET`	`/v1/environments/{id}/work/{work_id}`	`GetEnvironment`	Dados
`GET`	`/v1/environments/{id}/work/stats`	`GetEnvironment`	Dados
`POST`	`/v1/environments/{id}/work/{work_id}`	`ProcessEnvironmentWork`	Dados
`POST`	`/v1/environments/{id}/work/{work_id}/ack`	`ProcessEnvironmentWork`	Dados
`POST`	`/v1/environments/{id}/work/{work_id}/heartbeat`	`ProcessEnvironmentWork`	Dados
`POST`	`/v1/environments/{id}/work/{work_id}/stop`	`ProcessEnvironmentWork`	Dados
`POST`	`/v1/vaults`	`CreateVault`	Gerenciamento
`GET`	`/v1/vaults`	`ListVaults`	Gerenciamento
`GET`	`/v1/vaults/{id}`	`GetVault`	Gerenciamento
`POST`	`/v1/vaults/{id}`	`UpdateVault`	Gerenciamento
`POST`	`/v1/vaults/{id}/archive`	`ArchiveVault`	Gerenciamento
`DELETE`	`/v1/vaults/{id}`	`DeleteVault`	Gerenciamento
`GET`	`/v1/vaults/{id}/credentials`	`GetVault`	Gerenciamento
`POST`	`/v1/vaults/{id}/credentials`	`UpdateVault`	Gerenciamento
`GET`	`/v1/vaults/{id}/credentials/{id}`	`GetVault`	Gerenciamento
`POST`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Gerenciamento
`POST`	`/v1/vaults/{id}/credentials/{id}/archive`	`UpdateVault`	Gerenciamento
`DELETE`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Gerenciamento
`POST`	`/v1/memory_stores`	`CreateMemoryStore`	Dados
`GET`	`/v1/memory_stores`	`ListMemoryStores`	Dados
`GET`	`/v1/memory_stores/{id}`	`GetMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}`	`UpdateMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}/archive`	`ArchiveMemoryStore`	Dados
`DELETE`	`/v1/memory_stores/{id}`	`DeleteMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}/memories`	`UpdateMemoryStore`	Dados
`GET`	`/v1/memory_stores/{id}/memories`	`GetMemoryStore`	Dados
`GET`	`/v1/memory_stores/{id}/memories/{id}`	`GetMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Dados
`DELETE`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Dados
`GET`	`/v1/memory_stores/{id}/memory_versions`	`GetMemoryStore`	Dados
`GET`	`/v1/memory_stores/{id}/memory_versions/{id}`	`GetMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}/memory_versions/{id}/redact`	`UpdateMemoryStore`	Dados
`GET`	`/v1/webhooks`	`ListWebhooks`	Gerenciamento
`GET`	`/v1/webhooks/{id}`	`GetWebhook`	Gerenciamento
`POST`	`/v1/webhooks`	`CreateWebhook`	Gerenciamento
`POST`	`/v1/webhooks/{id}`	`UpdateWebhook`	Gerenciamento
`DELETE`	`/v1/webhooks/{id}`	`DeleteWebhook`	Gerenciamento
`POST`	`/v1/webhooks/{id}/regenerate_signing_secret`	`RotateWebhookSecret`	Gerenciamento

Rotas que não estão nesta tabela não estão disponíveis no Claude Platform on AWS. O gateway nega por padrão qualquer rota não listada aqui.

Políticas gerenciadas

A AWS fornece cinco políticas gerenciadas para o Claude Platform on AWS. Todas as políticas gerenciadas se aplicam a Resource: "*".

Política	Concede
`AnthropicFullAccess`	`aws-external-anthropic:*`
`AnthropicReadOnlyAccess`	`Get`, `List`, `CallWithBearerToken`
`AnthropicInferenceAccess`	`Get`, `List`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`
`AnthropicLimitedAccess`	Todas as ações de `AnthropicInferenceAccess`, mais todas as ações do Claude Managed Agents (agentes, sessões, ambientes, vaults, memory stores, webhooks e trabalho de ambiente auto-hospedado)
`AnthropicSelfHostedEnvironmentAccess`	`GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`

AnthropicInferenceAccess é a política gerenciada mais restrita suficiente para executar inferência. Ela cobre inferência síncrona e em lote e, por meio dos curingas Get* e List*, concede acesso de leitura a todos os recursos da API no namespace, incluindo recursos do Claude Managed Agents (CMA) (agentes, sessões, ambientes, vaults, memory stores e webhooks). Isso inclui download de conteúdo de arquivo por meio de GetFile (consulte a nota de Arquivos), download de conteúdo de skill por meio de GetSkill (consulte a nota de Skills) e conteúdo de memória por meio de GetMemoryStore. Segredos de credenciais de vault e segredos de assinatura de webhook não são expostos: esses campos são somente escrita e nunca são retornados por GetVault ou GetWebhook (consulte Autenticar com vaults). AnthropicInferenceAccess não concede criação ou exclusão de arquivos, gerenciamento de skills, gerenciamento de perfis de usuário, mutação de workspace ou qualquer ação de escrita do Claude Managed Agents (criar, atualizar, arquivar, excluir, processar ou rotacionar). Para excluir leituras de CMA, substitua AnthropicInferenceAccess por uma política personalizada que enumere apenas as ações específicas não-CMA de que você precisa.

AnthropicReadOnlyAccess, AnthropicInferenceAccess e AnthropicLimitedAccess carregam os curingas Get* e List*, que concedem acesso de leitura a todo o conteúdo no workspace: bytes de arquivo, conteúdo de skill, resultados de lote, histórico de conversa de sessão e conteúdo de memória. O curinga List* também concede ListComplianceActivities, que lê o Activity Feed de conformidade da organização assim que a Compliance API for habilitada para a organização (consulte Conformidade). Segredos de credenciais de vault e segredos de assinatura de webhook não são expostos; esses campos são somente escrita e nunca são retornados por GetVault ou GetWebhook. Se seu principal não deve ler conteúdo existente, use uma política personalizada que enumere apenas as ações de que você precisa.

AnthropicLimitedAccess inclui todas as ações do Claude Managed Agents além das ações de inferência.

AnthropicSelfHostedEnvironmentAccess é a política gerenciada mais restrita suficiente para executar um worker de sandbox auto-hospedado. Anexe-a ao principal com o qual seu worker de ambiente se autentica.

AssumeConsole não está incluída em AnthropicReadOnlyAccess, AnthropicInferenceAccess, AnthropicLimitedAccess ou AnthropicSelfHostedEnvironmentAccess. Principals que precisam de acesso ao Claude Console requerem AnthropicFullAccess ou uma política personalizada que conceda aws-external-anthropic:AssumeConsole. Consulte Acesso ao console.

Exemplos de políticas

Inferência síncrona em um único workspace

Concede as permissões mínimas para um principal do IAM que executa inferência em um workspace de produção:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

Isolamento de workspace por cliente

Restringe uma função a um único workspace:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}

O curinga aws-external-anthropic:* na primeira instrução inclui ações com escopo de conta (CreateWorkspace, ListWorkspaces, ListComplianceActivities) que a restrição de ARN de workspace filtra silenciosamente. Isso é consistente com a intenção de "isolamento" (a função não pode criar workspaces, enumerar workspaces ou ler o Activity Feed de conformidade), mas a política contém permissões que não têm efeito. Consulte Automação de provisionamento para o padrão com escopo de conta.

CallWithBearerToken e AssumeConsole são ações sem rota que não se vinculam a um ARN de workspace. A segunda instrução as concede em Resource: "*" para que a função possa se autenticar com uma chave de API e abrir o Claude Console. Omita esta instrução se a função usar apenas SigV4 e não precisar de acesso ao Claude Console.

Bloqueio de recursos para um workspace sensível a ZDR

Bloqueia processamento em lote e upload de arquivos em um workspace específico, mantendo a inferência síncrona disponível. Útil quando um workspace lida com dados de Zero Data Retention (ZDR) que não devem persistir no lado do servidor. Anexe esta política junto com uma política Allow como AnthropicInferenceAccess ou o exemplo de workspace único; por si só, uma política somente Deny não concede permissões:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

Automação de provisionamento

Concede a uma função de CI/CD as ações necessárias para criar e gerenciar workspaces, sem nenhuma permissão de inferência:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}

CreateWorkspace e ListWorkspaces são operações com escopo de conta. Especificar um ARN de workspace nessas ações não tem efeito; use Resource: "*".

Veja também

Claude Platform on AWS para configuração, autenticação e visão geral da plataforma
Guia do usuário do AWS IAM para sintaxe de políticas do IAM e lógica de avaliação
Guia do usuário do AWS CloudTrail para configuração de log de auditoria

Was this page helpful?

Referência da APISuporte e configuração

Ações do IAM para Claude Platform on AWS

Referência de ações do IAM para controlar o acesso ao Claude Platform on AWS por meio de políticas da AWS.

Detalhes do serviço

Atributo	Valor
Prefixo de serviço do IAM	`aws-external-anthropic`
Tipos de recurso	`workspace`

Formato do ARN de workspace:

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

Ações

O serviço define 66 ações. As ações seguem a convenção VerbNoun da AWS e usam disciplina de verbos para que os curingas Get* e List* produzam um limite limpo de somente leitura.

Inferência

Ação	Rotas autorizadas
`CreateInference`	`POST /v1/messages`
`CountTokens`	`POST /v1/messages/count_tokens`

Processamento em lote

Ação	Rotas autorizadas
`CreateBatchInference`	`POST /v1/messages/batches`
`GetBatchInference`	`GET /v1/messages/batches/{id}` `GET /v1/messages/batches/{id}/results`
`ListBatchInferences`	`GET /v1/messages/batches`
`CancelBatchInference`	`POST /v1/messages/batches/{id}/cancel`
`DeleteBatchInference`	`DELETE /v1/messages/batches/{id}`

Modelos

Ação	Rotas autorizadas
`GetModel`	`GET /v1/models/{id}`
`ListModels`	`GET /v1/models`

Arquivos

Ação	Rotas autorizadas
`CreateFile`	`POST /v1/files`
`GetFile`	`GET /v1/files/{id}` `GET /v1/files/{id}/content`
`ListFiles`	`GET /v1/files`
`DeleteFile`	`DELETE /v1/files/{id}`

Skills

Ação	Rotas autorizadas
`CreateSkill`	`POST /v1/skills`
`GetSkill`	`GET /v1/skills/{id}` `GET /v1/skills/{id}/versions` `GET /v1/skills/{id}/versions/{version}` `GET /v1/skills/{id}/versions/{version}/content`
`ListSkills`	`GET /v1/skills`
`UpdateSkill`	`POST /v1/skills/{id}/versions` `DELETE /v1/skills/{id}/versions/{version}`
`DeleteSkill`	`DELETE /v1/skills/{id}`

Agentes

Ação	Rotas autorizadas
`CreateAgent`	`POST /v1/agents`
`GetAgent`	`GET /v1/agents/{id}` `GET /v1/agents/{id}/versions`
`ListAgents`	`GET /v1/agents`
`UpdateAgent`	`POST /v1/agents/{id}`
`ArchiveAgent`	`POST /v1/agents/{id}/archive`

Sessões

Ação	Rotas autorizadas
`CreateSession`	`POST /v1/sessions`
`GetSession`	`GET /v1/sessions/{id}` `GET /v1/sessions/{id}/events` `GET /v1/sessions/{id}/events/stream` `GET /v1/sessions/{id}/resources` `GET /v1/sessions/{id}/resources/{id}`
`ListSessions`	`GET /v1/sessions`
`UpdateSession`	`POST /v1/sessions/{id}` `POST /v1/sessions/{id}/events` `POST /v1/sessions/{id}/resources` `POST /v1/sessions/{id}/resources/{id}` `DELETE /v1/sessions/{id}/resources/{id}`
`ArchiveSession`	`POST /v1/sessions/{id}/archive`
`DeleteSession`	`DELETE /v1/sessions/{id}`

Ambientes

Ação	Rotas autorizadas
`CreateEnvironment`	`POST /v1/environments`
`GetEnvironment`	`GET /v1/environments/{id}` `GET /v1/environments/{id}/work` `GET /v1/environments/{id}/work/{work_id}` `GET /v1/environments/{id}/work/stats`
`ListEnvironments`	`GET /v1/environments`
`UpdateEnvironment`	`POST /v1/environments/{id}`
`ArchiveEnvironment`	`POST /v1/environments/{id}/archive`
`DeleteEnvironment`	`DELETE /v1/environments/{id}`
`ProcessEnvironmentWork`	`GET /v1/environments/{id}/work/poll` `POST /v1/environments/{id}/work/{work_id}` `POST /v1/environments/{id}/work/{work_id}/ack` `POST /v1/environments/{id}/work/{work_id}/heartbeat` `POST /v1/environments/{id}/work/{work_id}/stop`

Vaults

Ação	Rotas autorizadas
`CreateVault`	`POST /v1/vaults`
`GetVault`	`GET /v1/vaults/{id}` `GET /v1/vaults/{id}/credentials` `GET /v1/vaults/{id}/credentials/{id}`
`ListVaults`	`GET /v1/vaults`
`UpdateVault`	`POST /v1/vaults/{id}` `POST /v1/vaults/{id}/credentials` `POST /v1/vaults/{id}/credentials/{id}` `POST /v1/vaults/{id}/credentials/{id}/archive` `DELETE /v1/vaults/{id}/credentials/{id}`
`ArchiveVault`	`POST /v1/vaults/{id}/archive`
`DeleteVault`	`DELETE /v1/vaults/{id}`

Memory stores

Ação	Rotas autorizadas
`CreateMemoryStore`	`POST /v1/memory_stores`
`GetMemoryStore`	`GET /v1/memory_stores/{id}` `GET /v1/memory_stores/{id}/memories` `GET /v1/memory_stores/{id}/memories/{id}` `GET /v1/memory_stores/{id}/memory_versions` `GET /v1/memory_stores/{id}/memory_versions/{id}`
`ListMemoryStores`	`GET /v1/memory_stores`
`UpdateMemoryStore`	`POST /v1/memory_stores/{id}` `POST /v1/memory_stores/{id}/memories` `POST /v1/memory_stores/{id}/memories/{id}` `DELETE /v1/memory_stores/{id}/memories/{id}` `POST /v1/memory_stores/{id}/memory_versions/{id}/redact`
`ArchiveMemoryStore`	`POST /v1/memory_stores/{id}/archive`
`DeleteMemoryStore`	`DELETE /v1/memory_stores/{id}`

Webhooks

Ação	Rotas autorizadas
`CreateWebhook`	`POST /v1/webhooks`
`GetWebhook`	`GET /v1/webhooks/{id}`
`ListWebhooks`	`GET /v1/webhooks`
`UpdateWebhook`	`POST /v1/webhooks/{id}`
`DeleteWebhook`	`DELETE /v1/webhooks/{id}`
`RotateWebhookSecret`	`POST /v1/webhooks/{id}/regenerate_signing_secret`

Perfis de usuário

Ação	Rotas autorizadas
`CreateUserProfile`	`POST /v1/user_profiles`
`GetUserProfile`	`GET /v1/user_profiles/{id}`
`ListUserProfiles`	`GET /v1/user_profiles`
`UpdateUserProfile`	`POST /v1/user_profiles/{id}`

Workspaces

Ação	Rotas autorizadas
`CreateWorkspace`	`POST /v1/organizations/workspaces`
`GetWorkspace`	`GET /v1/organizations/workspaces/{id}`
`ListWorkspaces`	`GET /v1/organizations/workspaces`
`UpdateWorkspace`	`POST /v1/organizations/workspaces/{id}`
`ArchiveWorkspace`	`POST /v1/organizations/workspaces/{id}/archive`

Conformidade

Ação	Rotas autorizadas
`ListComplianceActivities`	`GET /v1/compliance/activities`

Autenticação

Ação	Rotas autorizadas
`CallWithBearerToken`	(nenhuma)

Acesso ao console

Ação	Rotas autorizadas
`AssumeConsole`	(nenhuma)

Mapeamento de rota para ação

Método	Rota	Ação do IAM	Tipo de evento do CloudTrail
`POST`	`/v1/messages`	`CreateInference`	Dados
`POST`	`/v1/messages/count_tokens`	`CountTokens`	Dados
`POST`	`/v1/messages/batches`	`CreateBatchInference`	Dados
`GET`	`/v1/messages/batches`	`ListBatchInferences`	Dados
`GET`	`/v1/messages/batches/{id}`	`GetBatchInference`	Dados
`GET`	`/v1/messages/batches/{id}/results`	`GetBatchInference`	Dados
`POST`	`/v1/messages/batches/{id}/cancel`	`CancelBatchInference`	Dados
`DELETE`	`/v1/messages/batches/{id}`	`DeleteBatchInference`	Dados
`GET`	`/v1/models`	`ListModels`	Dados
`GET`	`/v1/models/{id}`	`GetModel`	Dados
`POST`	`/v1/files`	`CreateFile`	Dados
`GET`	`/v1/files`	`ListFiles`	Dados
`GET`	`/v1/files/{id}`	`GetFile`	Dados
`GET`	`/v1/files/{id}/content`	`GetFile`	Dados
`DELETE`	`/v1/files/{id}`	`DeleteFile`	Dados
`POST`	`/v1/skills`	`CreateSkill`	Dados
`GET`	`/v1/skills`	`ListSkills`	Dados
`GET`	`/v1/skills/{id}`	`GetSkill`	Dados
`DELETE`	`/v1/skills/{id}`	`DeleteSkill`	Dados
`POST`	`/v1/skills/{id}/versions`	`UpdateSkill`	Dados
`GET`	`/v1/skills/{id}/versions`	`GetSkill`	Dados
`GET`	`/v1/skills/{id}/versions/{version}`	`GetSkill`	Dados
`GET`	`/v1/skills/{id}/versions/{version}/content`	`GetSkill`	Dados
`DELETE`	`/v1/skills/{id}/versions/{version}`	`UpdateSkill`	Dados
`POST`	`/v1/user_profiles`	`CreateUserProfile`	Dados
`GET`	`/v1/user_profiles`	`ListUserProfiles`	Dados
`GET`	`/v1/user_profiles/{id}`	`GetUserProfile`	Dados
`POST`	`/v1/user_profiles/{id}`	`UpdateUserProfile`	Dados
`POST`	`/v1/organizations/workspaces`	`CreateWorkspace`	Gerenciamento
`GET`	`/v1/organizations/workspaces`	`ListWorkspaces`	Gerenciamento
`GET`	`/v1/organizations/workspaces/{id}`	`GetWorkspace`	Gerenciamento
`POST`	`/v1/organizations/workspaces/{id}`	`UpdateWorkspace`	Gerenciamento
`POST`	`/v1/organizations/workspaces/{id}/archive`	`ArchiveWorkspace`	Gerenciamento
`GET`	`/v1/compliance/activities`	`ListComplianceActivities`	Gerenciamento
`POST`	`/v1/agents`	`CreateAgent`	Dados
`GET`	`/v1/agents`	`ListAgents`	Dados
`GET`	`/v1/agents/{id}`	`GetAgent`	Dados
`POST`	`/v1/agents/{id}`	`UpdateAgent`	Dados
`POST`	`/v1/agents/{id}/archive`	`ArchiveAgent`	Dados
`GET`	`/v1/agents/{id}/versions`	`GetAgent`	Dados
`POST`	`/v1/sessions`	`CreateSession`	Dados
`GET`	`/v1/sessions`	`ListSessions`	Dados
`GET`	`/v1/sessions/{id}`	`GetSession`	Dados
`POST`	`/v1/sessions/{id}`	`UpdateSession`	Dados
`POST`	`/v1/sessions/{id}/archive`	`ArchiveSession`	Dados
`DELETE`	`/v1/sessions/{id}`	`DeleteSession`	Dados
`GET`	`/v1/sessions/{id}/events`	`GetSession`	Dados
`POST`	`/v1/sessions/{id}/events`	`UpdateSession`	Dados
`GET`	`/v1/sessions/{id}/events/stream`	`GetSession`	Dados
`GET`	`/v1/sessions/{id}/resources`	`GetSession`	Dados
`GET`	`/v1/sessions/{id}/resources/{id}`	`GetSession`	Dados
`POST`	`/v1/sessions/{id}/resources`	`UpdateSession`	Dados
`POST`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Dados
`DELETE`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Dados
`POST`	`/v1/environments`	`CreateEnvironment`	Dados
`GET`	`/v1/environments`	`ListEnvironments`	Dados
`GET`	`/v1/environments/{id}`	`GetEnvironment`	Dados
`POST`	`/v1/environments/{id}`	`UpdateEnvironment`	Dados
`POST`	`/v1/environments/{id}/archive`	`ArchiveEnvironment`	Dados
`DELETE`	`/v1/environments/{id}`	`DeleteEnvironment`	Dados
`GET`	`/v1/environments/{id}/work`	`GetEnvironment`	Dados
`GET`	`/v1/environments/{id}/work/poll`	`ProcessEnvironmentWork`	Dados
`GET`	`/v1/environments/{id}/work/{work_id}`	`GetEnvironment`	Dados
`GET`	`/v1/environments/{id}/work/stats`	`GetEnvironment`	Dados
`POST`	`/v1/environments/{id}/work/{work_id}`	`ProcessEnvironmentWork`	Dados
`POST`	`/v1/environments/{id}/work/{work_id}/ack`	`ProcessEnvironmentWork`	Dados
`POST`	`/v1/environments/{id}/work/{work_id}/heartbeat`	`ProcessEnvironmentWork`	Dados
`POST`	`/v1/environments/{id}/work/{work_id}/stop`	`ProcessEnvironmentWork`	Dados
`POST`	`/v1/vaults`	`CreateVault`	Gerenciamento
`GET`	`/v1/vaults`	`ListVaults`	Gerenciamento
`GET`	`/v1/vaults/{id}`	`GetVault`	Gerenciamento
`POST`	`/v1/vaults/{id}`	`UpdateVault`	Gerenciamento
`POST`	`/v1/vaults/{id}/archive`	`ArchiveVault`	Gerenciamento
`DELETE`	`/v1/vaults/{id}`	`DeleteVault`	Gerenciamento
`GET`	`/v1/vaults/{id}/credentials`	`GetVault`	Gerenciamento
`POST`	`/v1/vaults/{id}/credentials`	`UpdateVault`	Gerenciamento
`GET`	`/v1/vaults/{id}/credentials/{id}`	`GetVault`	Gerenciamento
`POST`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Gerenciamento
`POST`	`/v1/vaults/{id}/credentials/{id}/archive`	`UpdateVault`	Gerenciamento
`DELETE`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Gerenciamento
`POST`	`/v1/memory_stores`	`CreateMemoryStore`	Dados
`GET`	`/v1/memory_stores`	`ListMemoryStores`	Dados
`GET`	`/v1/memory_stores/{id}`	`GetMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}`	`UpdateMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}/archive`	`ArchiveMemoryStore`	Dados
`DELETE`	`/v1/memory_stores/{id}`	`DeleteMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}/memories`	`UpdateMemoryStore`	Dados
`GET`	`/v1/memory_stores/{id}/memories`	`GetMemoryStore`	Dados
`GET`	`/v1/memory_stores/{id}/memories/{id}`	`GetMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Dados
`DELETE`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Dados
`GET`	`/v1/memory_stores/{id}/memory_versions`	`GetMemoryStore`	Dados
`GET`	`/v1/memory_stores/{id}/memory_versions/{id}`	`GetMemoryStore`	Dados
`POST`	`/v1/memory_stores/{id}/memory_versions/{id}/redact`	`UpdateMemoryStore`	Dados
`GET`	`/v1/webhooks`	`ListWebhooks`	Gerenciamento
`GET`	`/v1/webhooks/{id}`	`GetWebhook`	Gerenciamento
`POST`	`/v1/webhooks`	`CreateWebhook`	Gerenciamento
`POST`	`/v1/webhooks/{id}`	`UpdateWebhook`	Gerenciamento
`DELETE`	`/v1/webhooks/{id}`	`DeleteWebhook`	Gerenciamento
`POST`	`/v1/webhooks/{id}/regenerate_signing_secret`	`RotateWebhookSecret`	Gerenciamento

Rotas que não estão nesta tabela não estão disponíveis no Claude Platform on AWS. O gateway nega por padrão qualquer rota não listada aqui.

Políticas gerenciadas

A AWS fornece cinco políticas gerenciadas para o Claude Platform on AWS. Todas as políticas gerenciadas se aplicam a Resource: "*".

Política	Concede
`AnthropicFullAccess`	`aws-external-anthropic:*`
`AnthropicReadOnlyAccess`	`Get`, `List`, `CallWithBearerToken`
`AnthropicInferenceAccess`	`Get`, `List`, `CreateInference`, `CreateBatchInference`, `CancelBatchInference`, `DeleteBatchInference`, `CountTokens`, `CallWithBearerToken`
`AnthropicLimitedAccess`	Todas as ações de `AnthropicInferenceAccess`, mais todas as ações do Claude Managed Agents (agentes, sessões, ambientes, vaults, memory stores, webhooks e trabalho de ambiente auto-hospedado)
`AnthropicSelfHostedEnvironmentAccess`	`GetEnvironment`, `ProcessEnvironmentWork`, `GetSession`, `UpdateSession`, `GetSkill`, `CallWithBearerToken`

AnthropicLimitedAccess inclui todas as ações do Claude Managed Agents além das ações de inferência.

Exemplos de políticas

Inferência síncrona em um único workspace

Concede as permissões mínimas para um principal do IAM que executa inferência em um workspace de produção:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

Isolamento de workspace por cliente

Restringe uma função a um único workspace:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}

Bloqueio de recursos para um workspace sensível a ZDR

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

Automação de provisionamento

Concede a uma função de CI/CD as ações necessárias para criar e gerenciar workspaces, sem nenhuma permissão de inferência:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}

CreateWorkspace e ListWorkspaces são operações com escopo de conta. Especificar um ARN de workspace nessas ações não tem efeito; use Resource: "*".

Veja também

Claude Platform on AWS para configuração, autenticação e visão geral da plataforma
Guia do usuário do AWS IAM para sintaxe de políticas do IAM e lógica de avaliação
Guia do usuário do AWS CloudTrail para configuração de log de auditoria

Was this page helpful?

Detalhes do serviço

Ações

Inferência

Processamento em lote

Modelos

Arquivos

Skills

Agentes

Sessões

Ambientes

Vaults

Memory stores

Webhooks

Perfis de usuário

Workspaces

Conformidade

Autenticação

Acesso ao console

Mapeamento de rota para ação

Políticas gerenciadas

Exemplos de políticas

Inferência síncrona em um único workspace

Isolamento de workspace por cliente

Bloqueio de recursos para um workspace sensível a ZDR

Automação de provisionamento

Veja também

Detalhes do serviço

Ações

Inferência

Processamento em lote

Modelos

Arquivos

Skills

Agentes

Sessões

Ambientes

Vaults

Memory stores

Webhooks

Perfis de usuário

Workspaces

Conformidade

Autenticação

Acesso ao console

Mapeamento de rota para ação

Políticas gerenciadas

Exemplos de políticas

Inferência síncrona em um único workspace

Isolamento de workspace por cliente

Bloqueio de recursos para um workspace sensível a ZDR

Automação de provisionamento

Veja também

Detalhes do serviço

Ações

Inferência

Processamento em lote

Modelos

Arquivos

Skills

Agentes

Sessões

Ambientes

Vaults

Memory stores

Webhooks

Perfis de usuário

Workspaces

Conformidade

Autenticação

Acesso ao console

Mapeamento de rota para ação

Políticas gerenciadas

Exemplos de políticas

Inferência síncrona em um único workspace

Isolamento de workspace por cliente

Bloqueio de recursos para um workspace sensível a ZDR

Automação de provisionamento

Veja também

Detalhes do serviço

Ações

Inferência

Processamento em lote

Modelos

Arquivos

Skills

Agentes

Sessões

Ambientes

Vaults

Memory stores

Webhooks

Perfis de usuário

Workspaces

Conformidade

Autenticação

Acesso ao console

Mapeamento de rota para ação

Políticas gerenciadas

Exemplos de políticas

Inferência síncrona em um único workspace

Isolamento de workspace por cliente

Bloqueio de recursos para um workspace sensível a ZDR

Automação de provisionamento

Veja também