API 參考支援與設定

Claude Platform on AWS 的 IAM 動作

透過 AWS 政策控制 Claude Platform on AWS 存取權限的 IAM 動作參考。

Claude Platform on AWS 使用 AWS IAM 進行存取控制。每個 API 路由都對應到 aws-external-anthropic 命名空間中的一個 IAM 動作。本頁列出所有動作、每個動作所授權的路由，以及適用於常見存取模式的受管政策（managed policies）。如需平台設定與驗證的相關資訊，請參閱 Claude Platform on AWS。

服務詳細資訊

屬性	值
IAM 服務前綴	`aws-external-anthropic`
資源類型	`workspace`

Workspace ARN 格式：

arn:aws:aws-external-anthropic:{region}:{account-id}:workspace/{workspace-id}

ARN 的區域欄位一律會填入，且與該 workspace 所綁定的區域相符。資源區段為帶標籤的 workspace ID（wrkspc_...），與您在 anthropic-workspace-id 標頭中傳入的值相同。

動作

此服務定義了 71 個動作。動作遵循 AWS 的 VerbNoun 慣例並採用動詞規範，使 Get* 與 List* 萬用字元能產生清晰的唯讀邊界。

推論

動作	授權的路由
`CreateInference`	`POST /v1/messages`
`CountTokens`	`POST /v1/messages/count_tokens`

批次處理

動作	授權的路由
`CreateBatchInference`	`POST /v1/messages/batches`
`GetBatchInference`	`GET /v1/messages/batches/{id}` `GET /v1/messages/batches/{id}/results`
`ListBatchInferences`	`GET /v1/messages/batches`
`CancelBatchInference`	`POST /v1/messages/batches/{id}/cancel`
`DeleteBatchInference`	`DELETE /v1/messages/batches/{id}`

模型

動作	授權的路由
`GetModel`	`GET /v1/models/{id}`
`ListModels`	`GET /v1/models`

檔案

動作	授權的路由
`CreateFile`	`POST /v1/files`
`GetFile`	`GET /v1/files/{id}` `GET /v1/files/{id}/content`
`ListFiles`	`GET /v1/files`
`DeleteFile`	`DELETE /v1/files/{id}`

Skills

動作	授權的路由
`CreateSkill`	`POST /v1/skills`
`GetSkill`	`GET /v1/skills/{id}` `GET /v1/skills/{id}/versions` `GET /v1/skills/{id}/versions/{version}` `GET /v1/skills/{id}/versions/{version}/content`
`ListSkills`	`GET /v1/skills`
`UpdateSkill`	`POST /v1/skills/{id}/versions` `DELETE /v1/skills/{id}/versions/{version}`
`DeleteSkill`	`DELETE /v1/skills/{id}`

Agents

動作	授權的路由
`CreateAgent`	`POST /v1/agents`
`GetAgent`	`GET /v1/agents/{id}` `GET /v1/agents/{id}/versions`
`ListAgents`	`GET /v1/agents`
`UpdateAgent`	`POST /v1/agents/{id}`
`ArchiveAgent`	`POST /v1/agents/{id}/archive`

Sessions

動作	授權的路由
`CreateSession`	`POST /v1/sessions`
`GetSession`	`GET /v1/sessions/{id}` `GET /v1/sessions/{id}/events` `GET /v1/sessions/{id}/events/stream` `GET /v1/sessions/{id}/resources` `GET /v1/sessions/{id}/resources/{id}`
`ListSessions`	`GET /v1/sessions`
`UpdateSession`	`POST /v1/sessions/{id}` `POST /v1/sessions/{id}/events` `POST /v1/sessions/{id}/resources` `POST /v1/sessions/{id}/resources/{id}` `DELETE /v1/sessions/{id}/resources/{id}`
`ArchiveSession`	`POST /v1/sessions/{id}/archive`
`DeleteSession`	`DELETE /v1/sessions/{id}`

Environments

動作	授權的路由
`CreateEnvironment`	`POST /v1/environments`
`GetEnvironment`	`GET /v1/environments/{id}` `GET /v1/environments/{id}/work` `GET /v1/environments/{id}/work/{work_id}` `GET /v1/environments/{id}/work/stats`
`ListEnvironments`	`GET /v1/environments`
`UpdateEnvironment`	`POST /v1/environments/{id}`
`ArchiveEnvironment`	`POST /v1/environments/{id}/archive`
`DeleteEnvironment`	`DELETE /v1/environments/{id}`
`ProcessEnvironmentWork`	`GET /v1/environments/{id}/work/poll` `POST /v1/environments/{id}/work/{work_id}` `POST /v1/environments/{id}/work/{work_id}/ack` `POST /v1/environments/{id}/work/{work_id}/heartbeat` `POST /v1/environments/{id}/work/{work_id}/stop`

Vaults

動作	授權的路由
`CreateVault`	`POST /v1/vaults`
`GetVault`	`GET /v1/vaults/{id}` `GET /v1/vaults/{id}/credentials` `GET /v1/vaults/{id}/credentials/{id}`
`ListVaults`	`GET /v1/vaults`
`UpdateVault`	`POST /v1/vaults/{id}` `POST /v1/vaults/{id}/credentials` `POST /v1/vaults/{id}/credentials/{id}` `POST /v1/vaults/{id}/credentials/{id}/archive` `DELETE /v1/vaults/{id}/credentials/{id}`
`ArchiveVault`	`POST /v1/vaults/{id}/archive`
`DeleteVault`	`DELETE /v1/vaults/{id}`

Memory stores

動作	授權的路由
`CreateMemoryStore`	`POST /v1/memory_stores`
`GetMemoryStore`	`GET /v1/memory_stores/{id}` `GET /v1/memory_stores/{id}/memories` `GET /v1/memory_stores/{id}/memories/{id}` `GET /v1/memory_stores/{id}/memory_versions` `GET /v1/memory_stores/{id}/memory_versions/{id}`
`ListMemoryStores`	`GET /v1/memory_stores`
`UpdateMemoryStore`	`POST /v1/memory_stores/{id}` `POST /v1/memory_stores/{id}/memories` `POST /v1/memory_stores/{id}/memories/{id}` `DELETE /v1/memory_stores/{id}/memories/{id}` `POST /v1/memory_stores/{id}/memory_versions/{id}/redact`
`ArchiveMemoryStore`	`POST /v1/memory_stores/{id}/archive`
`DeleteMemoryStore`	`DELETE /v1/memory_stores/{id}`

Webhooks

動作	授權的路由
`CreateWebhook`	`POST /v1/webhooks`
`GetWebhook`	`GET /v1/webhooks/{id}`
`ListWebhooks`	`GET /v1/webhooks`
`UpdateWebhook`	`POST /v1/webhooks/{id}`
`DeleteWebhook`	`DELETE /v1/webhooks/{id}`
`RotateWebhookSecret`	`POST /v1/webhooks/{id}/regenerate_signing_secret`

使用者設定檔

動作	授權的路由
`CreateUserProfile`	`POST /v1/user_profiles`
`GetUserProfile`	`GET /v1/user_profiles/{id}`
`ListUserProfiles`	`GET /v1/user_profiles`
`UpdateUserProfile`	`POST /v1/user_profiles/{id}`

Workspaces

動作	授權的路由
`CreateWorkspace`	`POST /v1/organizations/workspaces`
`GetWorkspace`	`GET /v1/organizations/workspaces/{id}`
`ListWorkspaces`	`GET /v1/organizations/workspaces`
`UpdateWorkspace`	`POST /v1/organizations/workspaces/{id}`
`ArchiveWorkspace`	`POST /v1/organizations/workspaces/{id}/archive`

加密金鑰

動作	授權的路由
`RegisterKey`	`POST /v1/organizations/external_keys`
`GetKey`	`GET /v1/organizations/external_keys/{id}`
`ListKeys`	`GET /v1/organizations/external_keys`
`UpdateKey`	`POST /v1/organizations/external_keys/{id}`
`DisableKey`	`DELETE /v1/organizations/external_keys/{id}`

這些動作管理您組織的客戶管理加密金鑰（CMEK）註冊，也就是記錄哪些 AWS KMS 金鑰 ARN 已註冊。它們不會在 AWS KMS 中建立、變更或停用金鑰。DisableKey 會移除註冊，且在仍有任何 workspace 使用該金鑰時會被拒絕。RegisterKey 與 DisableKey 不會被 Create*、Update* 或 Delete* 萬用字元比對到；若您需要防止對金鑰註冊的任何變更，請拒絕 RegisterKey、UpdateKey 與 DisableKey。在這些路由中，{id} 是經 URL 編碼的 KMS 金鑰 ARN。將已註冊的金鑰附加到 workspace 屬於 workspace 操作，由 CreateWorkspace 或 UpdateWorkspace 授權；附加金鑰的主體還需要對該金鑰具有 kms:DescribeKey、kms:Encrypt 與 kms:Decrypt 權限（請參閱先決條件）。外部金鑰動作為帳戶範圍：對其指定 workspace ARN 不會產生任何效果；請使用 Resource: "*"。

合規

動作	授權的路由
`ListComplianceActivities`	`GET /v1/compliance/activities`

驗證

動作	授權的路由
`CallWithBearerToken`	（無）

CallWithBearerToken 是驗證層的權限，授權主體透過 API 金鑰（bearer token）而非 AWS SigV4 進行驗證。它不對應到任何路由。請將其與您希望 API 金鑰持有者能執行的路由對應動作一併授予。

Console 存取

動作	授權的路由
`AssumeConsole`	（無）

AssumeConsole 授權主體透過 AWS Console 聯合流程，為 Claude Platform on AWS workspace 開啟 Claude Console。它不對應到任何路由。請將其授予應能在 AWS Console 的 Claude Platform on AWS 服務頁面上點擊 Open Claude Console 的主體。Claude Console 角色（Admin 或 Developer）由您的 Anthropic 帳戶代表另行指派；並非由主體的 IAM 權限推導而來。如需登入流程與角色說明，請參閱使用 Claude Console。

路由對動作對應

下表列出 Claude Platform on AWS 上的每個路由，以及呼叫該路由所需的 IAM 動作。每個 IAM 動作也授權使用 anthropic-beta 標頭的請求；路由的 beta 變體不需要另外的 IAM 動作。CloudTrail 將每個動作分類為 Data 事件（高流量的資料平面操作）或 Management 事件（控制平面操作）。Vault 與 webhook 動作被分類為 Management 事件，因為它們持有密鑰（vault 憑證與 webhook 簽署密鑰），並受益於預設開啟的稽核記錄。Workspace、外部金鑰與合規動作也被分類為 Management 事件，因為它們是組織範圍的控制平面操作。所有其他動作，包括推論、批次、模型、檔案、skill、使用者設定檔以及其餘的 Claude Managed Agents 動作，皆被分類為 Data 事件。

方法	路由	IAM 動作	CloudTrail 事件類型
`POST`	`/v1/messages`	`CreateInference`	Data
`POST`	`/v1/messages/count_tokens`	`CountTokens`	Data
`POST`	`/v1/messages/batches`	`CreateBatchInference`	Data
`GET`	`/v1/messages/batches`	`ListBatchInferences`	Data
`GET`	`/v1/messages/batches/{id}`	`GetBatchInference`	Data
`GET`	`/v1/messages/batches/{id}/results`	`GetBatchInference`	Data
`POST`	`/v1/messages/batches/{id}/cancel`	`CancelBatchInference`	Data
`DELETE`	`/v1/messages/batches/{id}`	`DeleteBatchInference`	Data
`GET`	`/v1/models`	`ListModels`	Data
`GET`	`/v1/models/{id}`	`GetModel`	Data
`POST`	`/v1/files`	`CreateFile`	Data
`GET`	`/v1/files`	`ListFiles`	Data
`GET`	`/v1/files/{id}`	`GetFile`	Data
`GET`	`/v1/files/{id}/content`	`GetFile`	Data
`DELETE`	`/v1/files/{id}`	`DeleteFile`	Data
`POST`	`/v1/skills`	`CreateSkill`	Data
`GET`	`/v1/skills`	`ListSkills`	Data
`GET`	`/v1/skills/{id}`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}`	`DeleteSkill`	Data
`POST`	`/v1/skills/{id}/versions`	`UpdateSkill`	Data
`GET`	`/v1/skills/{id}/versions`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}`	`GetSkill`	Data
`GET`	`/v1/skills/{id}/versions/{version}/content`	`GetSkill`	Data
`DELETE`	`/v1/skills/{id}/versions/{version}`	`UpdateSkill`	Data
`POST`	`/v1/user_profiles`	`CreateUserProfile`	Data
`GET`	`/v1/user_profiles`	`ListUserProfiles`	Data
`GET`	`/v1/user_profiles/{id}`	`GetUserProfile`	Data
`POST`	`/v1/user_profiles/{id}`	`UpdateUserProfile`	Data
`POST`	`/v1/organizations/workspaces`	`CreateWorkspace`	Management
`GET`	`/v1/organizations/workspaces`	`ListWorkspaces`	Management
`GET`	`/v1/organizations/workspaces/{id}`	`GetWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}`	`UpdateWorkspace`	Management
`POST`	`/v1/organizations/workspaces/{id}/archive`	`ArchiveWorkspace`	Management
`POST`	`/v1/organizations/external_keys`	`RegisterKey`	Management
`GET`	`/v1/organizations/external_keys`	`ListKeys`	Management
`GET`	`/v1/organizations/external_keys/{id}`	`GetKey`	Management
`POST`	`/v1/organizations/external_keys/{id}`	`UpdateKey`	Management
`DELETE`	`/v1/organizations/external_keys/{id}`	`DisableKey`	Management
`GET`	`/v1/compliance/activities`	`ListComplianceActivities`	Management
`POST`	`/v1/agents`	`CreateAgent`	Data
`GET`	`/v1/agents`	`ListAgents`	Data
`GET`	`/v1/agents/{id}`	`GetAgent`	Data
`POST`	`/v1/agents/{id}`	`UpdateAgent`	Data
`POST`	`/v1/agents/{id}/archive`	`ArchiveAgent`	Data
`GET`	`/v1/agents/{id}/versions`	`GetAgent`	Data
`POST`	`/v1/sessions`	`CreateSession`	Data
`GET`	`/v1/sessions`	`ListSessions`	Data
`GET`	`/v1/sessions/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/archive`	`ArchiveSession`	Data
`DELETE`	`/v1/sessions/{id}`	`DeleteSession`	Data
`GET`	`/v1/sessions/{id}/events`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/events`	`UpdateSession`	Data
`GET`	`/v1/sessions/{id}/events/stream`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources`	`GetSession`	Data
`GET`	`/v1/sessions/{id}/resources/{id}`	`GetSession`	Data
`POST`	`/v1/sessions/{id}/resources`	`UpdateSession`	Data
`POST`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`DELETE`	`/v1/sessions/{id}/resources/{id}`	`UpdateSession`	Data
`POST`	`/v1/environments`	`CreateEnvironment`	Data
`GET`	`/v1/environments`	`ListEnvironments`	Data
`GET`	`/v1/environments/{id}`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}`	`UpdateEnvironment`	Data
`POST`	`/v1/environments/{id}/archive`	`ArchiveEnvironment`	Data
`DELETE`	`/v1/environments/{id}`	`DeleteEnvironment`	Data
`GET`	`/v1/environments/{id}/work`	`GetEnvironment`	Data
`GET`	`/v1/environments/{id}/work/poll`	`ProcessEnvironmentWork`	Data
`GET`	`/v1/environments/{id}/work/{work_id}`	`GetEnvironment`	Data
`GET`	`/v1/environments/{id}/work/stats`	`GetEnvironment`	Data
`POST`	`/v1/environments/{id}/work/{work_id}`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/ack`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/heartbeat`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/environments/{id}/work/{work_id}/stop`	`ProcessEnvironmentWork`	Data
`POST`	`/v1/vaults`	`CreateVault`	Management
`GET`	`/v1/vaults`	`ListVaults`	Management
`GET`	`/v1/vaults/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/archive`	`ArchiveVault`	Management
`DELETE`	`/v1/vaults/{id}`	`DeleteVault`	Management
`GET`	`/v1/vaults/{id}/credentials`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials`	`UpdateVault`	Management
`GET`	`/v1/vaults/{id}/credentials/{id}`	`GetVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/vaults/{id}/credentials/{id}/archive`	`UpdateVault`	Management
`DELETE`	`/v1/vaults/{id}/credentials/{id}`	`UpdateVault`	Management
`POST`	`/v1/memory_stores`	`CreateMemoryStore`	Data
`GET`	`/v1/memory_stores`	`ListMemoryStores`	Data
`GET`	`/v1/memory_stores/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}`	`UpdateMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/archive`	`ArchiveMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}`	`DeleteMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memories/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`DELETE`	`/v1/memory_stores/{id}/memories/{id}`	`UpdateMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions`	`GetMemoryStore`	Data
`GET`	`/v1/memory_stores/{id}/memory_versions/{id}`	`GetMemoryStore`	Data
`POST`	`/v1/memory_stores/{id}/memory_versions/{id}/redact`	`UpdateMemoryStore`	Data
`GET`	`/v1/webhooks`	`ListWebhooks`	Management
`GET`	`/v1/webhooks/{id}`	`GetWebhook`	Management
`POST`	`/v1/webhooks`	`CreateWebhook`	Management
`POST`	`/v1/webhooks/{id}`	`UpdateWebhook`	Management
`DELETE`	`/v1/webhooks/{id}`	`DeleteWebhook`	Management
`POST`	`/v1/webhooks/{id}/regenerate_signing_secret`	`RotateWebhookSecret`	Management

不在此表格中的路由在 Claude Platform on AWS 上不可用。閘道預設會拒絕任何未列於此處的路由。

受管政策

AWS 為 Claude Platform on AWS 提供五個受管政策。所有受管政策皆套用於 Resource: "*"。

政策	授予
`AnthropicFullAccess`	`aws-external-anthropic:*`
`AnthropicReadOnlyAccess`	`Get`、`List`、`CallWithBearerToken`
`AnthropicInferenceAccess`	`Get`、`List`、`CreateInference`、`CreateBatchInference`、`CancelBatchInference`、`DeleteBatchInference`、`CountTokens`、`CallWithBearerToken`
`AnthropicLimitedAccess`	所有 `AnthropicInferenceAccess` 動作，加上所有 Claude Managed Agents 動作（agents、sessions、environments、vaults、memory stores、webhooks 以及自行託管 environment 工作）
`AnthropicSelfHostedEnvironmentAccess`	`GetEnvironment`、`ProcessEnvironmentWork`、`GetSession`、`UpdateSession`、`GetSkill`、`CallWithBearerToken`

AnthropicInferenceAccess 是足以執行推論的最窄受管政策。它涵蓋同步與批次推論，並透過 Get* 與 List* 萬用字元授予對命名空間中每個 API 資源的讀取權限，包括 Claude Managed Agents（CMA）資源（agents、sessions、environments、vaults、memory stores 與 webhooks）。這包括透過 GetFile 下載檔案內容（請參閱檔案說明）、透過 GetSkill 下載 skill 內容（請參閱 Skills 說明），以及透過 GetMemoryStore 讀取記憶內容。Vault 憑證密鑰與 webhook 簽署密鑰不會外洩：這些欄位為唯寫，且 GetVault 或 GetWebhook 永遠不會回傳它們（請參閱使用 vaults 進行驗證）。AnthropicInferenceAccess 不授予檔案建立或刪除、skill 管理、使用者設定檔管理、workspace 變動、加密金鑰管理，或任何 Claude Managed Agents 寫入動作（建立、更新、封存、刪除、處理或輪替）。若要排除 CMA 讀取，請以僅列舉您所需特定非 CMA 動作的自訂政策取代 AnthropicInferenceAccess。

AnthropicReadOnlyAccess、AnthropicInferenceAccess 與 AnthropicLimitedAccess 皆帶有 Get* 與 List* 萬用字元，這些萬用字元授予對 workspace 中所有內容的讀取權限：檔案位元組、skill 內容、批次結果、session 對話歷史以及記憶內容。這些萬用字元也授予 GetKey 與 ListKeys，可讀取組織已註冊的加密金鑰設定（金鑰 ARN 與中繼資料，絕不包含金鑰內容）。List* 萬用字元也授予 ListComplianceActivities，一旦 Compliance API 為組織啟用後，即可讀取組織的合規活動摘要（請參閱合規）。Vault 憑證密鑰與 webhook 簽署密鑰不會外洩；這些欄位為唯寫，且 GetVault 或 GetWebhook 永遠不會回傳它們。若您的主體不應讀取既有內容，請使用僅列舉您所需動作的自訂政策。

AnthropicLimitedAccess 除了推論動作之外，還包含所有 Claude Managed Agents 動作。

AnthropicSelfHostedEnvironmentAccess 是足以執行自行託管沙箱工作程式的最窄受管政策。請將其附加到您的 environment 工作程式用以驗證的主體。

AssumeConsole 不包含在 AnthropicReadOnlyAccess、AnthropicInferenceAccess、AnthropicLimitedAccess 或 AnthropicSelfHostedEnvironmentAccess 中。需要 Claude Console 存取權的主體需要 AnthropicFullAccess，或授予 aws-external-anthropic:AssumeConsole 的自訂政策。請參閱 Console 存取。

範例政策

單一 workspace 上的同步推論

為針對單一正式環境 workspace 執行推論的 IAM 主體授予最小權限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateInference",
        "aws-external-anthropic:CountTokens",
        "aws-external-anthropic:GetModel",
        "aws-external-anthropic:ListModels",
        "aws-external-anthropic:GetWorkspace"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

每位客戶的 workspace 隔離

將角色限制於單一 workspace：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "aws-external-anthropic:*",
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    },
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CallWithBearerToken",
        "aws-external-anthropic:AssumeConsole"
      ],
      "Resource": "*"
    }
  ]
}

第一個陳述式中的 aws-external-anthropic:* 萬用字元包含帳戶範圍的動作（CreateWorkspace、ListWorkspaces、ListComplianceActivities 以及外部金鑰動作），這些動作會被 workspace ARN 限制條件靜默過濾掉。這與「隔離」的意圖一致（該角色無法建立 workspaces、列舉 workspaces、管理加密金鑰註冊或讀取合規活動摘要；但仍可透過 UpdateWorkspace 將已註冊的金鑰附加到自己的 workspace），但此政策包含了不會產生任何效果的權限。如需帳戶範圍的模式，請參閱佈建自動化。

CallWithBearerToken 與 AssumeConsole 是無路由的動作，不會綁定到 workspace ARN。第二個陳述式在 Resource: "*" 上授予它們，使該角色能以 API 金鑰進行驗證並開啟 Claude Console。若該角色僅使用 SigV4 且不需要 Claude Console 存取權，請省略此陳述式。

針對 ZDR 敏感 workspace 的功能鎖定

在特定 workspace 上封鎖批次處理與檔案上傳，同時保留同步推論可用。當 workspace 處理不得在伺服器端保存的零資料保留（Zero Data Retention，ZDR）資料時非常有用。請將此政策與 Allow 政策（例如 AnthropicInferenceAccess 或單一 workspace 範例）一併附加；僅含 Deny 的政策本身不會授予任何權限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "aws-external-anthropic:CreateBatchInference",
        "aws-external-anthropic:CreateFile"
      ],
      "Resource": "arn:aws:aws-external-anthropic:us-west-2:123456789012:workspace/wrkspc_01AbCdEf23GhIj"
    }
  ]
}

佈建自動化

授予 CI/CD 角色建立與管理工作區所需的動作，而不包含任何推論權限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "aws-external-anthropic:CreateWorkspace",
        "aws-external-anthropic:GetWorkspace",
        "aws-external-anthropic:ListWorkspaces",
        "aws-external-anthropic:UpdateWorkspace",
        "aws-external-anthropic:ArchiveWorkspace"
      ],
      "Resource": "*"
    }
  ]
}

CreateWorkspace 與 ListWorkspaces 是帳戶範圍的操作。在這些動作上指定工作區 ARN 不會產生任何效果；請使用 Resource: "*"。

另請參閱

Claude Platform on AWS：了解設定、驗證與平台概覽
AWS IAM 使用者指南：了解 IAM 政策語法與評估邏輯
AWS CloudTrail 使用者指南：了解稽核日誌設定

服務詳細資訊

動作

推論

批次處理

模型

檔案

Skills

Agents

Sessions

Environments

Vaults

Memory stores

Webhooks

使用者設定檔

Workspaces

加密金鑰

合規

驗證

Console 存取

路由對動作對應

受管政策

範例政策

單一 workspace 上的同步推論

每位客戶的 workspace 隔離

針對 ZDR 敏感 workspace 的功能鎖定

佈建自動化

另請參閱