Claude 앱 게이트웨이 구성

upstreams:
  - provider: anthropic
    auth:
      api_key: ${ANTHROPIC_API_KEY}
    # 또는 OAuth 베어러(예: Workload-Identity-Federation 교환 토큰):
    #   oauth_token: ${file:/var/run/secrets/anthropic-oauth-token}
    # base_url: https://api.anthropic.com   # 기본값; 전달 프록시에 대해 재정의

upstreams:
  - provider: anthropic
    auth:
      federation_rule_id: ${ANTHROPIC_FEDERATION_RULE_ID}
      organization_id: ${ANTHROPIC_ORGANIZATION_ID}
      identity_token_file: /var/run/secrets/anthropic/id-token
      # workspace_id: wrkspc_...       # 규칙이 >1 워크스페이스를 다루는 경우 필수
      # service_account_id: svac_...   # 선택적 예상 대상 확인

upstreams:
  - provider: bedrock
    region: us-east-1
    auth: {}                           # 선호: AWS 기본 자격증명 체인
    # 또는 명시적 자격증명:
    # auth:
    #   aws_access_key_id: ${AWS_AKID}
    #   aws_secret_access_key: ${AWS_SK}
    #   aws_session_token: ${AWS_ST}
    # 또는 Bedrock API 베어러 토큰:
    # auth:
    #   aws_bearer_token: ${AWS_BEARER_TOKEN}
    # FIPS 또는 VPC 엔드포인트 배포를 위해 bedrock-runtime 엔드포인트를 재정의합니다:
    # base_url: https://bedrock-runtime-fips.us-east-1.amazonaws.com

upstreams:
  - provider: anthropicAws
    region: us-east-1
    workspace_id: wrkspc_...
    auth:
      api_key: ${ANTHROPIC_AWS_API_KEY}   # x-api-key로 전송됨
    # 또는 AWS 기본 자격증명 체인을 통한 SigV4:
    # auth: {}
    # 또는 명시적 SigV4 자격증명:
    # auth:
    #   aws_access_key_id: ${AWS_ACCESS_KEY_ID}
    #   aws_secret_access_key: ${AWS_SECRET_ACCESS_KEY}
    # 파생된 엔드포인트를 재정의합니다:
    # base_url: https://aws-external-anthropic.us-east-1.api.aws

upstreams:
  - provider: vertex
    region: us-east5
    project_id: example-prod
    auth: {}                           # 선호: Application Default Credentials
    # 또는 서비스 계정 키 파일:
    # auth: { service_account_json: /secrets/sa.json }
    # Private Service Connect를 위해 aiplatform 엔드포인트를 재정의합니다:
    # base_url: https://us-east5-aiplatform.p.googleapis.com

upstreams:
  - provider: foundry
    resource: example-foundry              # https://example-foundry.services.ai.azure.com
    auth: { use_azure_ad: true }        # 선호: DefaultAzureCredential / Managed Identity
    # 또는 API 키:
    # auth:
    #   api_key: ${FOUNDRY_API_KEY}

upstreams:
  # 기본: 홈 지역의 프로비저닝된 처리량.
  - name: bedrock-pt
    provider: bedrock
    region: us-east-1
    auth: {}
  # 오버플로우: 온디맨드 교차 지역.
  - name: bedrock-od
    provider: bedrock
    region: us-west-2
    auth: {}
  # 다른 계정: 가정된 역할 자격증명을 통한 별도의 Bedrock 할당.
  - name: bedrock-acct2
    provider: bedrock
    region: us-east-1
    auth:
      aws_access_key_id: ${ACCT2_AKID}
      aws_secret_access_key: ${ACCT2_SK}
  # 최후의 수단: 직접 Anthropic API.
  - name: anthropic-fallback
    provider: anthropic
    auth:
      api_key: ${ANTHROPIC_API_KEY}

# 업스트림별 모델 ID는 업스트림의 `name:`으로 키가 지정됩니다. `name:`이 없는 업스트림은
# 기본값으로 공급자 문자열(예: `bedrock`)을 사용합니다. 모델에 대해 나열되지 않은 모든
# 업스트림은 건너뜁니다. 이것이 모델을 프로비저닝된 처리량으로 라우팅하는 방법입니다.
# 다른 모든 것은 온디맨드로 유지됩니다.
models:
  - id: claude-opus-4-8
    label: Claude Opus 4.8
    upstream_model:
      bedrock-pt: arn:aws:bedrock:us-east-1:111111111111:provisioned-model/abcdef
      bedrock-od: us.anthropic.claude-opus-4-8
      bedrock-acct2: us.anthropic.claude-opus-4-8
      anthropic-fallback: claude-opus-4-8

admin:
  # 관리자 엔드포인트에 대한 명명된 정적 API 키, x-api-key로 전송됨.
  # id는 감사 로그에 admin-key:<id>로 나타나므로 각 키는
  # 귀속 가능합니다. 회전용 배열: 새 키를 추가하고 클라이언트를 롤링하고
  # 이전 키를 제거합니다.
  write_keys:
    - { id: terraform, key: "${GATEWAY_ADMIN_WRITE_KEY_TF}" }
    - { id: ci,        key: "${GATEWAY_ADMIN_WRITE_KEY_CI}" }
  read_keys:
    - { id: reporting, key: "${GATEWAY_ADMIN_READ_KEY}" }
  # 일반 게이트웨이 JWT를 통해 전체 관리자 권한이 부여된 IdP 그룹(API 키 없음).
  admin_groups: [platform-finops]
  blocked_message: request an increase at https://go.example.com/claude-limits

auto_include_builtin_models: true   # false: 아래 목록만 노출
models:
  - id: claude-opus-4-8
    label: Claude Opus 4.8
    # description: 선택적 텍스트가 표시되는 클라이언트에 표시됨
    upstream_model:
      anthropic: claude-opus-4-8
      bedrock: us.anthropic.claude-opus-4-8   # 또는 추론 프로필 ARN
      foundry: your-opus-deployment-name

managed:
  policies:
    # 특정 그룹을 먼저.
    - match: { groups: [eng-contractors] }
      cli:
        availableModels: [claude-sonnet-4-6]
        permissions: { deny: ["WebFetch", "WebSearch"] }
    # 기본 캐치올 마지막: 인증된 모든 사용자와 일치.
    - match: {}
      cli:
        availableModels: [claude-opus-4-8, claude-sonnet-4-6, claude-haiku-4-5]

managed:
  policies:
    - match: {}
      cli:
        # 모델 액세스(/v1/messages에서도 서버 측으로 적용됨)
        availableModels: [claude-opus-4-8, claude-sonnet-4-6, claude-haiku-4-5]

        # 권한 정책
        permissions:
          deny:
            - "WebFetch"
            - "Read(./.env)"
            - "Read(./secrets/**)"
          disableBypassPermissionsMode: disable   # --dangerously-skip-permissions 차단
        allowManagedPermissionRulesOnly: true     # 사용자/프로젝트 권한 규칙 무시

        # CLI 프로세스에 푸시된 환경. DISABLE_UPDATES는 배경 및 수동 업데이트를 차단합니다.
        # DISABLE_AUTOUPDATER는 배경 업데이트만 중지합니다.
        env:
          DISABLE_UPDATES: "1"                    # 자신의 배포를 통해 버전 고정

        # 조직 전체 후크. 후크 명령은 게이트웨이가 아닌 개발자 머신에서 실행되므로
        # 경로는 정책의 모든 클라이언트 OS에 존재해야 합니다.
        hooks:
          PostToolUse:
            - matcher: "Edit|Write"
              hooks:
                - { type: command, command: /usr/local/bin/audit-edit.sh }

telemetry:
  forward_to:
    - url: https://otel-collector.internal.example.com
      headers:
        Authorization: ${OTLP_TOKEN}
      # 신호별 옵트인. 기본값: 메트릭만.
      metrics: true
      logs: false
      traces: false
    - url: https://api.datadoghq.com/api/v2/otlp
      headers:
        DD-API-KEY: ${DD_API_KEY}

{
  "forceLoginMethod": "gateway",
  "forceLoginGatewayUrl": "https://claude-gateway.internal.example.com"
}