Claude apps gateway untuk Amazon Bedrock, Google Cloud, dan Microsoft Foundry

• Mengapa Claude apps gateway, apa yang ditambahkannya dibandingkan menjalankan milik Anda sendiri, dan kapan sesuatu yang lain lebih cocok
• Quickstart dengan prasyarat yang membawa gateway dari nol ke pengembang yang masuk
• Menghubungkan pengembang, termasuk menetapkan URL gateway melalui pengaturan terkelola
• Ketersediaan dan keterbatasan mencakup fitur Claude Code mana yang bekerja melalui gateway dan apa yang didukung server

​

Mengapa Claude apps gateway

• Kredensial: kunci API upstream atau kredensial cloud hanya ada di infrastruktur Anda. Pengembang melakukan autentikasi dengan SSO perusahaan dan menerima token bearer berumur pendek, jadi offboarding terjadi di IdP Anda. Hapus penyediaan pengguna dan akses gateway mereka kedaluwarsa dalam masa pakai sesi, satu jam secara default.
• Kontrol akses: grup IdP Anda memetakan ke daftar izin model dan kebijakan pengaturan terkelola. Gateway memberlakukan akses model di sisi server, menolak permintaan untuk model yang tidak diberikan, dan memilih kebijakan pengaturan terkelola setiap grup, yang diterapkan CLI di tingkat pengaturan terkelola. Tim yang berbeda mendapatkan model, alat, dan izin yang berbeda, dan pengembang tidak dapat mengganti apa yang dikunci kebijakan mereka.
• Pengiriman pengaturan: gateway mengirimkan pengaturan terkelola ke klien yang masuk sendiri, menggantikan pengaturan yang dikelola server dari konsol admin claude.ai.
• Telemetri: setiap tujuan yang dikonfigurasi, seperti Datadog, Splunk, atau ClickHouse, menerima metrik OpenTelemetry Protocol (OTLP) dengan hitungan token, model, identitas pengguna, dan latensi secara default, dengan log dan jejak sebagai opt-in per-tujuan.
• Perutean upstream: klien berbicara API Pesan Anthropic ke gateway, dan gateway menerjemahkan untuk setiap upstream, baik Bedrock, Agent Platform Google Cloud, Foundry, atau API Anthropic, dengan failover di antara mereka. Anda dapat mengubah wilayah, penyedia, atau urutan failover tanpa pengembang menyadari atau mengonfigurasi ulang.

​

Implementasi gateway lainnya

​

Quickstart

​

Prasyarat

​

Langkah-langkah

listen:
  host: 0.0.0.0
  port: 8080
  # Diperlukan di balik proxy apa pun yang menghentikan TLS. Digunakan untuk IdP
  # redirect_uri dan dokumen penemuan.
  public_url: https://claude-gateway.internal.example.com

oidc:
  issuer: https://login.example.com        # harus melayani /.well-known/openid-configuration
  client_id: 0oa1example2
  client_secret: ${OIDC_CLIENT_SECRET}
  allowed_email_domains: [example.com]        # tolak id_tokens di luar organisasi Anda
  userinfo_fallback: true                  # untuk IdP yang id_token-nya menghilangkan email/groups; tidak berbahaya sebaliknya

session:
  jwt_secret: ${GATEWAY_JWT_SECRET}        # openssl rand -base64 32
  ttl_hours: 1                             # juga membatasi latensi revokasi pada deprovisi IdP

store:
  postgres_url: ${GATEWAY_POSTGRES_URL}    # tambahkan ?sslmode=require untuk Postgres terkelola

upstreams:
  - provider: bedrock
    region: us-east-1
    auth: {} # kosong: rantai kredensial default AWS
# (IRSA, peran tugas EC2/ECS, variabel env, ~/.aws)

# Model diterjemahkan per upstream secara otomatis. Katalog bawaan
# memetakan claude-opus-4-8 ke us.anthropic.claude-opus-4-8 dan seterusnya untuk setiap
# model Claude yang didukung Bedrock. Atur false dan tambahkan daftar `models:` untuk
# mengekspos hanya model tertentu.
auto_include_builtin_models: true

services:
  gateway:
    image: <your-registry>/claude-gateway:<version>
    ports: ["8080:8080"]
    volumes: ["./gateway.yaml:/etc/claude/gateway.yaml:ro"]
    environment:
      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET}
      GATEWAY_JWT_SECRET: ${GATEWAY_JWT_SECRET}
      GATEWAY_POSTGRES_URL: postgres://gw:pw@postgres/gateway
      # Kredensial AWS: dalam produksi, hilangkan ini dan gunakan peran instans
      # Untuk pengujian Compose lokal, teruskan milik Anda sendiri:
      AWS_ACCESS_KEY_ID: ${AWS_ACCESS_KEY_ID}
      AWS_SECRET_ACCESS_KEY: ${AWS_SECRET_ACCESS_KEY}
      AWS_SESSION_TOKEN: ${AWS_SESSION_TOKEN}
    depends_on:
      postgres:
        condition: service_healthy
  postgres:
    image: postgres:16-alpine
    environment: { POSTGRES_USER: gw, POSTGRES_PASSWORD: pw, POSTGRES_DB: gateway }
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U gw"]
      interval: 5s
    volumes: ["pgdata:/var/lib/postgresql/data"]
volumes: { pgdata: }

{"ts":"2026-06-10T17:03:21.114Z","evt":"config.load","path":"/etc/claude/gateway.yaml","sha256":"…"}
[gateway] 2026-06-10T17:03:21.408Z info migration 1 applied
[gateway] 2026-06-10T17:03:21.512Z info claude gateway listening on http://0.0.0.0:8080

curl -s https://claude-gateway.internal.example.com/.well-known/oauth-authorization-server | jq

{
  "issuer": "https://claude-gateway.internal.example.com",
  "device_authorization_endpoint": "…/oauth/device_authorization",
  "token_endpoint": "…/oauth/token",
  "grant_types_supported": ["urn:ietf:params:oauth:grant-type:device_code", "refresh_token"]
}

curl -s -X POST https://claude-gateway.internal.example.com/oauth/device_authorization | jq

{
  "device_code": "…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://claude-gateway.internal.example.com/device",
  "verification_uri_complete": "https://claude-gateway.internal.example.com/device?user_code=WDJB-MJHT",
  "expires_in": 600,
  "interval": 5
}

​

Hubungkan pengembang

​

Atur URL gateway

{
  "forceLoginMethod": "gateway",
  "forceLoginGatewayUrl": "https://claude-gateway.internal.example.com"
}

​

Pipeline CI dan mesin jarak jauh

​

Apa yang diberlakukan pada pengembang

• Akses model: permintaan untuk model yang tidak diberikan kebijakan mengembalikan 400, dan pemilih /model disaring ke daftar izin availableModels kebijakan. Atur enforceAvailableModels: true dalam kebijakan sehingga opsi Default diselesaikan ke model di dalam availableModels alih-alih ke default bawaan Claude Code; tanpanya, Default tetap dapat dipilih dan ditolak saat permintaan jika model itu tidak diberikan.
• Tujuan telemetri: ketika penerusan telemetri dikonfigurasi, endpoint ekspor OTLP disematkan ke gateway, dan konfigurasi yang didorong gateway mengganti variabel OTEL_* yang ditetapkan secara lokal.
• Kredensial: token gateway adalah satu-satunya kredensial sesi. ANTHROPIC_AUTH_TOKEN, ANTHROPIC_API_KEY, apiKeyHelper, dan login claude.ai sebelumnya diabaikan saat masuk, jadi pengembang tidak perlu keluar dari claude.ai terlebih dahulu.
• Pengaturan terkelola: kunci terkunci tidak dapat ditimpa secara lokal. CLI menerapkan kebijakan saat startup dan pada setiap polling setiap jam.
• Startup: sesi yang masuk keluar saat startup dengan kesalahan setelah sekitar 10 detik ketika gateway tidak dapat dijangkau, daripada memulai tanpa pengaturan mereka.
• Deprovisi: sesi yang penggunanya dinonaktifkan di IdP kedaluwarsa dalam ttl_hours ketika refresh berikutnya gagal.

​

Apa yang dapat dilihat organisasi

​

Ketersediaan dan keterbatasan

​

Langkah berikutnya

• Perluas gateway.yaml di luar konfigurasi minimal, misalnya untuk menambahkan RBAC per-grup, failover multi-upstream, atau tujuan telemetri. Referensi konfigurasi mencakup setiap opsi.
• Pindah dari Compose ke penyebaran produksi di Kubernetes atau Cloud Run, siapkan IdP Anda dengan benar, dan tinjau model keamanan. Panduan penyebaran dan operasi mencakup penyiapan per-IdP, persyaratan gambar kontainer, probe kesehatan, dan pemecahan masalah.
• Letakkan batas pengeluaran pada pengembang atau grup individual sehingga beban kerja yang liar tidak dapat mengonsumsi seluruh komitmen Anda. Spend limits mencakup API admin dan cara penegakan bekerja.
• Untuk contoh lengkap yang dikerjakan di Google Cloud, dengan Cloud Run, Cloud SQL, dan Secret Manager, lihat Deploy on Google Cloud.