Gateway de aplicativos Claude para Amazon Bedrock, Google Cloud e Microsoft Foundry

• Por que Claude apps gateway, o que adiciona em relação a executar o seu próprio, e quando algo mais se encaixa melhor
• Um guia de início rápido com pré-requisitos que leva um gateway de zero a um desenvolvedor conectado
• Conectando desenvolvedores, incluindo definir a URL do gateway através de configurações gerenciadas
• Disponibilidade e limitações cobrindo quais recursos do Claude Code funcionam através do gateway e o que o servidor suporta

​

Por que Claude apps gateway

• Credenciais: a chave de API upstream ou credencial de nuvem vive apenas em sua infraestrutura. Os desenvolvedores se autenticam com SSO corporativo e recebem tokens de portador de curta duração, então o offboarding acontece em seu IdP. Desprovisione um usuário e seu acesso ao gateway expira dentro do tempo de vida da sessão, uma hora por padrão.
• Controle de acesso: seus grupos IdP mapeiam para listas de permissões de modelos e políticas de configurações gerenciadas. O gateway aplica acesso a modelos no lado do servidor, rejeitando solicitações para modelos não concedidos, e seleciona a política de configurações gerenciadas de cada grupo, que a CLI aplica no nível de configurações gerenciadas. Diferentes equipes obtêm diferentes modelos, ferramentas e permissões, e um desenvolvedor não pode substituir o que sua política bloqueia.
• Entrega de configurações: o gateway entrega configurações gerenciadas para clientes conectados, assumindo o lugar das configurações gerenciadas pelo servidor do console administrativo claude.ai.
• Telemetria: cada destino configurado, como Datadog, Splunk ou ClickHouse, recebe métricas do OpenTelemetry Protocol (OTLP) com contagens de tokens, modelo, identidade do usuário e latência por padrão, com logs e rastreamentos como opt-ins por destino.
• Roteamento upstream: os clientes falam a API de Mensagens Anthropic para o gateway, e o gateway traduz para cada upstream, seja Bedrock, Agent Platform do Google Cloud, Foundry ou a API Anthropic, com failover entre eles. Você pode alterar regiões, provedores ou ordem de failover sem que os desenvolvedores notem ou reconfiguram.

​

Outras implementações de gateway

​

Guia de início rápido

​

Pré-requisitos

​

Etapas

listen:
  host: 0.0.0.0
  port: 8080
  # Obrigatório atrás de qualquer proxy que termina TLS. Usado para o IdP
  # redirect_uri e o documento de descoberta.
  public_url: https://claude-gateway.internal.example.com

oidc:
  issuer: https://login.example.com        # deve servir /.well-known/openid-configuration
  client_id: 0oa1example2
  client_secret: ${OIDC_CLIENT_SECRET}
  allowed_email_domains: [example.com]        # rejeitar id_tokens fora de sua organização
  userinfo_fallback: true                  # para IdPs cujo id_token omite email/grupos; inofensivo caso contrário

session:
  jwt_secret: ${GATEWAY_JWT_SECRET}        # openssl rand -base64 32
  ttl_hours: 1                             # também limita a latência de revogação no desprovisionamento de IdP

store:
  postgres_url: ${GATEWAY_POSTGRES_URL}    # adicione ?sslmode=require para Postgres gerenciado

upstreams:
  - provider: bedrock
    region: us-east-1
    auth: {} # vazio: cadeia de credencial padrão da AWS
# (IRSA, função de tarefa EC2/ECS, variáveis de ambiente, ~/.aws)

# Os modelos são traduzidos por upstream automaticamente. O catálogo integrado
# mapeia claude-opus-4-8 para us.anthropic.claude-opus-4-8 e assim por diante para cada
# modelo Claude suportado pelo Bedrock. Defina como false e adicione uma lista `models:` para
# expor apenas modelos específicos.
auto_include_builtin_models: true

services:
  gateway:
    image: <seu-registro>/claude-gateway:<versão>
    ports: ["8080:8080"]
    volumes: ["./gateway.yaml:/etc/claude/gateway.yaml:ro"]
    environment:
      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET}
      GATEWAY_JWT_SECRET: ${GATEWAY_JWT_SECRET}
      GATEWAY_POSTGRES_URL: postgres://gw:pw@postgres/gateway
      # Credenciais AWS: em produção, omita estas e use uma função de instância.
      # Para teste local do Compose, passe as suas próprias:
      AWS_ACCESS_KEY_ID: ${AWS_ACCESS_KEY_ID}
      AWS_SECRET_ACCESS_KEY: ${AWS_SECRET_ACCESS_KEY}
      AWS_SESSION_TOKEN: ${AWS_SESSION_TOKEN}
    depends_on:
      postgres:
        condition: service_healthy
  postgres:
    image: postgres:16-alpine
    environment: { POSTGRES_USER: gw, POSTGRES_PASSWORD: pw, POSTGRES_DB: gateway }
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U gw"]
      interval: 5s
    volumes: ["pgdata:/var/lib/postgresql/data"]
volumes: { pgdata: }

{"ts":"2026-06-10T17:03:21.114Z","evt":"config.load","path":"/etc/claude/gateway.yaml","sha256":"…"}
[gateway] 2026-06-10T17:03:21.408Z info migration 1 applied
[gateway] 2026-06-10T17:03:21.512Z info claude gateway listening on http://0.0.0.0:8080

curl -s https://claude-gateway.internal.example.com/.well-known/oauth-authorization-server | jq

{
  "issuer": "https://claude-gateway.internal.example.com",
  "device_authorization_endpoint": "…/oauth/device_authorization",
  "token_endpoint": "…/oauth/token",
  "grant_types_supported": ["urn:ietf:params:oauth:grant-type:device_code", "refresh_token"]
}

curl -s -X POST https://claude-gateway.internal.example.com/oauth/device_authorization | jq

{
  "device_code": "…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://claude-gateway.internal.example.com/device",
  "verification_uri_complete": "https://claude-gateway.internal.example.com/device?user_code=WDJB-MJHT",
  "expires_in": 600,
  "interval": 5
}

​

Conectar desenvolvedores

​

Defina a URL do gateway

{
  "forceLoginMethod": "gateway",
  "forceLoginGatewayUrl": "https://claude-gateway.internal.example.com"
}

​

Pipelines de CI e máquinas remotas

​

O que é aplicado aos desenvolvedores

• Acesso a modelos: solicitações para modelos que a política não concede retornam 400, e o seletor /model é filtrado para a lista de permissões availableModels da política. Defina enforceAvailableModels: true na política para que a opção Padrão resolva para um modelo dentro de availableModels em vez de para o padrão integrado do Claude Code; sem isso, Padrão permanece selecionável e é rejeitado no tempo de solicitação se esse modelo não for concedido.
• Destino de telemetria: quando encaminhamento de telemetria é configurado, o endpoint de exportação OTLP é fixado ao gateway, e a configuração enviada pelo gateway substitui variáveis OTEL_* definidas localmente.
• Credenciais: o token do gateway é a única credencial da sessão. ANTHROPIC_AUTH_TOKEN, ANTHROPIC_API_KEY, apiKeyHelper e qualquer login anterior de claude.ai são ignorados enquanto conectado, então os desenvolvedores não precisam fazer logout de claude.ai primeiro.
• Configurações gerenciadas: chaves bloqueadas não podem ser substituídas localmente. A CLI aplica a política na inicialização e em cada sondagem horária.
• Inicialização: sessões conectadas saem na inicialização com um erro após cerca de 10 segundos quando o gateway é inacessível, em vez de iniciar sem suas configurações.
• Desprovisionamento: uma sessão cujo usuário é desabilitado no IdP expira dentro de ttl_hours quando a próxima atualização falha.

​

O que a organização pode ver

​

Disponibilidade e limitações

​

Próximas etapas

• Expanda gateway.yaml além da configuração mínima, por exemplo para adicionar RBAC por grupo, failover multi-upstream ou destinos de telemetria. A referência de configuração cobre todas as opções.
• Mude do Compose para uma implantação de produção em Kubernetes ou Cloud Run, configure seu IdP adequadamente e revise o modelo de segurança. O guia de implantação e operações cobre configuração por IdP, requisitos de imagem de contêiner, sondas de saúde e solução de problemas.
• Coloque limites de gastos em desenvolvedores individuais ou grupos para que uma carga de trabalho descontrolada não possa consumir todo o seu compromisso. Limites de gastos cobre a API de administração e como a aplicação funciona.
• Para um exemplo completo trabalhado no Google Cloud, com Cloud Run, Cloud SQL e Secret Manager, consulte Implante no Google Cloud.