Claude Platform on AWS

プラットフォームは Anthropic が運用し、AWS が認証層 (SigV4 または API キー)、IAM によるアクセス制御、AWS Marketplace を通じた課金連携を担います。AWS の課金と IAM の枠組みの中で Claude API を使いたい場面に関わる機能です。

Claude Platform on AWS は、AWS 経由でアクセスする Anthropic 管理のインフラ上で Claude API を提供します。first-party の Claude API と同じ API エンドポイントを使い、違いはベース URL、認証方式、anthropic-workspace-id ヘッダーの 3 点です。このヘッダーは Messages API、Models API、Files API、Claude Managed Agents のエンドポイントなど、推論やリソースへのリクエストで必須です。Admin API へのリクエストには不要です。

• モデル ID は first-party の Claude API と同じで、Bedrock 形式の ARN や anthropic. の接頭辞はありません。
• ベータ機能は、Claude API と同じく標準の anthropic-beta ヘッダーを渡して使います。
• Agent Skills は既製・独自のどちらも、Claude API と同じ container.skills パラメーターで使えます。既製の Skills (PowerPoint、Excel、Word、PDF) はすべてそのまま動作します。
• プロンプトキャッシュは、5 分の TTL、1 時間の TTL、自動キャッシュのすべてが使えます。
• Fast mode と OpenAI 互換の API エンドポイントは、Claude Platform on AWS では使えません。

Claude Managed Agents のセッションは、ユーザーイベントなしで最長 6 時間自律的に動作します。6 時間を過ぎると、続行の前に再認証が必要で、ユーザーロールのイベントを送ると再認証になります。セルフホスト環境で動くセッションにはメモリストアを付けられません。

認証は SigV4 署名による AWS IAM と API キー認証の 2 通りで、どちらも同じベース URL とリクエスト形式を使います。OAuth 認証には対応していません。

API を呼び出す準備として、AWS アカウントごとに 1 度、送信側の Web ID フェデレーションを有効にし、続けてアカウントの issuer URL を確認・取得します。その後、SDK が自動で読み込む環境変数 ANTHROPIC_AWS_WORKSPACE_ID と AWS_REGION を設定し、SDK をインストールします (以下は Python の例です)。

aws iam enable-outbound-web-identity-federation
aws iam get-outbound-web-identity-federation-info
pip install -U "anthropic[aws]"

SDK にはプラットフォーム専用のクライアント (Python では AnthropicAWS) があり、SigV4 署名、リージョンに基づくベース URL の組み立て、anthropic-workspace-id ヘッダーの付与を処理します。

API を呼び出すすべてのプリンシパルには、SigV4・API キーのどちらの場合も、sts:GetWebIdentityToken と sts:TagGetWebIdentityToken の権限が必要です。権限が無いと、リクエストは 403 の permission_error で失敗します。

API キーは Claude Console ではなく AWS Console で管理します。Claude Platform on AWS → API keys (API キー) で Generate a key (キーを生成) をクリックし、キーの値をコピーします。使うときは環境変数 ANTHROPIC_AWS_API_KEY を設定するか、クライアント作成時に api_key を渡します。標準の Claude Console で作成したキーは、Claude Platform on AWS のエンドポイントでは使えません。

JavaScript、Python、Java 向けの AWS のトークン生成ライブラリを使うと、AWS の認証情報から短期の API キーを生成でき、Authorization: Bearer <token> として送ります。SDK は短期キーを自動で更新しないため、トークンが期限切れになったら新しいトークンを生成し、クライアントを作り直します。

• 推論の地域として US と Global に対応しています。
• リクエストごとに inference_geo パラメーターを設定すると、推論を特定の地域に固定できます。省略した場合は、ワークスペースに default_inference_geo が設定されていればその値、無ければ global が使われます。
• ワークスペースは 1 つの AWS リージョンに結び付き、そのリージョンのエンドポイントからだけアクセスできます (例: us-west-2 で作成したワークスペースには us-west-2 のエンドポイントからアクセスします)。ただし、このリージョンはモデルの推論を実行する場所を固定しません。
• 顧客管理の暗号鍵 (CMEK) は AWS KMS の鍵だけに対応し、Google Cloud KMS や Azure Key Vault の鍵は登録できません。
• VPC から Claude Platform on AWS のエンドポイントへの接続に AWS PrivateLink を使えます。その場合は、ワークスペースの AWS リージョンにインターフェイス VPC エンドポイントを作成します。

組織とワークスペース

• サインアップすると、AWS アカウントに結び付いた新しい Anthropic 組織が常に作成されます。既存の組織をそのまま切り替える方法はありません。
• 個々のワークスペースへのユーザーの追加・削除はできません。アクセスは、ワークスペース ARN を対象にした AWS IAM ポリシーで制御します。
• ワークスペースの作成・名前の変更・アーカイブは、AWS Console の Workspaces (ワークスペース) ページか、Admin API のワークスペース用エンドポイントで行えます。
• AWS には、よくあるアクセスの形に合わせた 5 つのマネージドポリシー (AnthropicFullAccess、AnthropicReadOnlyAccess、AnthropicInferenceAccess、AnthropicLimitedAccess、AnthropicSelfHostedEnvironmentAccess) があります。

Claude Console

• サインインは、aws-external-anthropic:AssumeConsole 権限を持つ IAM ロールを引き受け、AWS Console の Claude Platform on AWS のページで Open Claude Console (Claude Console を開く) をクリックします。AWS Console が JWT を発行し、platform.claude.com に移動します。初回は業務用のメールアドレスを入力します。
• Claude Console では、利用状況の分析、コストの内訳、レート制限の確認、ワークスペース管理と、ファイル、Agent Skills、バッチジョブ、Claude Managed Agents のリソースを管理するページが使えます。
• ロールは Admin と Developer の 2 つです。Admin は Claude Platform on AWS で使える Claude Console のすべてのページと設定にアクセスでき、Developer は利用状況・コスト・レート制限・ワークスペースの情報を閲覧できます。
• 組織の切り替えには対応していません。別の組織を使うときは、サインアウトし、その組織の AWS アカウントの IAM ロールで AWS Console から認証し直します。

支出上限と監視

• 独自の月間支出上限は、Billing (請求) ページの Email recipients (メール受信者) に 1 人以上を追加した後に設定できます。組織の上限は Claude Console の Settings > Billing (設定 > 請求) で、ワークスペースの上限は Workspaces (ワークスペース) ページでワークスペースを選び、開いたパネルの Spend limits (支出上限) で設定します。
• AWS CloudTrail で、Claude Platform on AWS へのすべてのリクエストを記録できます。
• 各レスポンスのヘッダーには、AWS のリクエスト ID (x-amzn-requestid) と Anthropic のリクエスト ID (request-id) の 2 つが含まれます。

AWS Console からアカウントを設定する流れです。

1. AWS Console を開き、Claude Platform on AWS のサービスページに移動します。
2. Sign up (サインアップ) をクリックします。
3. Sign-up ページで規約 (Anthropic の End User License Agreement、AWS Privacy Notice、AWS Customer Agreement) を確認し、同意のチェックボックスを選択します。Continue (続行) をクリックし、Sign-up in progress (サインアップ処理中) のバナーが表示されている間はそのページに留まります。
4. platform.claude.com/partner-signup に移動したら、組織のオーナーのメールアドレスを入力して Get started (開始) をクリックします。そのメールの受信箱に届くセットアップ用のリンクを開き、Signed in as a different account (別のアカウントでサインイン中) のページが出た場合は Log out and continue (ログアウトして続行) をクリックします。
5. 組織の詳細フォーム (組織名、組織の種別、国、利用目的) を入力し、Complete setup (セットアップを完了) をクリックします。
6. AWS Console の案内に従ってワークスペースを作成します。ワークスペース ID は、Claude Platform on AWS のサービスページの Workspaces (ワークスペース) か、Claude Console で確認できます。