Implante um gateway LLM para sua organização

​

Pré-requisitos

• Um gateway implantado em sua infraestrutura, servindo HTTPS no endereço exato que você distribuirá aos desenvolvedores, não em um endereço que redireciona para ele, e configurado para rotear nomes de modelos Claude para seu provedor
• Uma credencial de provedor para o gateway encaminhar com:
  • Para a API Anthropic: uma chave de API do Claude Console
  • Para um provedor de nuvem: credenciais de nuvem com acesso ao modelo. Consulte os pré-requisitos na página Amazon Bedrock, Google Cloud’s Agent Platform ou Microsoft Foundry
• Uma maneira de entregar arquivos de configurações para máquinas de desenvolvedores, como MDM ou gerenciamento de configuração
  • Se você ainda não tiver uma, como as configurações chegam aos dispositivos compara as opções

​

Requisitos do gateway

• Aceitar um formato de API suportado: um dos formatos na tabela de formatos de API. As etapas de implantação abaixo assumem a API de Mensagens Anthropic em POST /v1/messages, que a maioria dos gateways serve
• Transmitir respostas: passar eventos enviados pelo servidor conforme chegam, incluindo pings de keep-alive, em vez de armazenar em buffer a resposta inteira; streaming cobre o que o buffering ou pings removidos quebram
• Rotear nomes de modelos Claude: mapear cada nome que os desenvolvedores usam para um modelo upstream. Claude Code envia um nome de modelo como claude-sonnet-4-6 em cada solicitação; na maioria dos produtos de gateway o mapeamento é uma lista de modelos ou tabela de roteamento na própria configuração do gateway
• Encaminhar cabeçalhos e corpo sem alterações: passar anthropic-beta, anthropic-version e o corpo da solicitação em ambas as direções; a tabela de passagem de recursos mapeia cada um para o recurso que quebra sem ele
• Retornar erros upstream não modificados: a recuperação automática do Claude Code corresponde à redação do erro, portanto envolver erros no próprio envelope do gateway quebra isso, a menos que a mensagem do envelope carregue um dos tokens capability_rejected: que um gateway de aplicativos Claude substitui pela redação de erro dos provedores de nuvem
• Isentar o caminho da inspeção WAF do corpo da solicitação: os prompts do Claude Code carregam código-fonte e tags de estilo XML que correspondem às regras do corpo de cross-site-scripting; um WAF na frente do gateway retorna 403 em sessões reais enquanto solicitações de teste curtas passam

​

Etapas de implantação

1. Confirme se o gateway roteia seus modelos
2. Emita uma credencial para cada desenvolvedor
3. Teste Claude Code contra o gateway
4. Distribua a URL base e as credenciais
5. Verifique a partir de uma máquina de desenvolvedor

​

Confirme se o gateway roteia seus modelos

• <gateway-key> é qualquer credencial que permite chamar o gateway agora: uma chave administrativa, uma chave de teste ou sua própria chave de desenvolvedor se você já tiver emitido uma. Nem todo produto de gateway possui uma credencial de administrador separada; se o seu não tiver, emita uma chave de desenvolvedor para você mesmo em Emita credenciais de desenvolvedor primeiro
• model é um nome de modelo Claude que seu gateway está configurado para rotear. O exemplo usa claude-sonnet-4-6; substitua por um nome que você configurou

curl -X POST "https://llm-gateway.example.com/v1/messages" \
  -H "Authorization: Bearer <gateway-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{"model": "claude-sonnet-4-6", "max_tokens": 1, "messages": [{"role": "user", "content": "."}]}'

Invoke-RestMethod -Method Post -Uri "https://llm-gateway.example.com/v1/messages" `
  -Headers @{ "Authorization" = "Bearer <gateway-key>"; "anthropic-version" = "2023-06-01" } `
  -ContentType "application/json" `
  -Body '{"model": "claude-sonnet-4-6", "max_tokens": 1, "messages": [{"role": "user", "content": "."}]}'

​

Emita credenciais de desenvolvedor

curl -X POST "https://llm-gateway.example.com/v1/messages" \
  -H "Authorization: Bearer <developer-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{"model": "claude-sonnet-4-6", "max_tokens": 1, "messages": [{"role": "user", "content": "."}]}'

Invoke-RestMethod -Method Post -Uri "https://llm-gateway.example.com/v1/messages" `
  -Headers @{ "Authorization" = "Bearer <developer-key>"; "anthropic-version" = "2023-06-01" } `
  -ContentType "application/json" `
  -Body '{"model": "claude-sonnet-4-6", "max_tokens": 1, "messages": [{"role": "user", "content": "."}]}'

​

Teste Claude Code contra o gateway

export ANTHROPIC_BASE_URL=https://llm-gateway.example.com
export ANTHROPIC_AUTH_TOKEN="<developer-key>"

$env:ANTHROPIC_BASE_URL = "https://llm-gateway.example.com"
$env:ANTHROPIC_AUTH_TOKEN = "<developer-key>"

claude -p "Reply with one word: connected"

• Not logged in: verifique o log do gateway para distinguir as duas causas. Se estiver vazio, nenhuma credencial alcançou a sessão e nenhuma solicitação saiu da máquina; execute novamente as exportações no shell que você está testando. Se mostrar uma solicitação rejeitada com x-api-key no corpo 401, o gateway espera chaves nesse cabeçalho em vez disso; mude para ANTHROPIC_API_KEY
• Failed to authenticate. API Error: 401 significa que uma credencial foi enviada e rejeitada, e o log do gateway diz onde: um 401 nomeando api.anthropic.com ou o endpoint do seu provedor significa que o gateway alcançou o upstream mas sua credencial de provedor foi rejeitada, então a chave do desenvolvedor funcionou e a credencial do provedor que o gateway possui está incorreta ou é um placeholder

​

Distribua a configuração

​

O que distribuir

​

Distribua através de configurações gerenciadas

{
  "env": {
    "ANTHROPIC_BASE_URL": "https://llm-gateway.example.com"
  },
  "apiKeyHelper": "/usr/local/bin/get-gateway-key"
}

• O aplicativo de desktop lê o roteamento de gateway de sua configuração de inferência de terceiros, não de configurações gerenciadas; implante esse arquivo através de MDM junto com configurações gerenciadas para que sessões de desktop também roteiem através do gateway. Veja a documentação de configuração de terceiros do desktop e a documentação de gateway do desktop
• Executores de CI precisam de ANTHROPIC_BASE_URL e a credencial definida no ambiente do executor
• WSL em máquinas Windows gerenciadas lê as configurações gerenciadas do Windows apenas quando wslInheritsWindowsSettings é true

​

A configuração HIPAA atrás de um gateway

• Sessões na nuvem: nenhuma chave gerenciada as desativa. Veja Controles do Admin console
• Credenciais Anthropic em processos filhos: a configuração as remove dos processos que Claude Code inicia, e nenhuma chave de configuração faz apenas isso

​

Forneça aos desenvolvedores os valores para definir eles mesmos

• A URL do gateway
• Sua credencial pessoal
• Qual variável colocar a credencial em: ANTHROPIC_AUTH_TOKEN para um gateway de token portador, ou ANTHROPIC_API_KEY para um gateway x-api-key. Informar aos desenvolvedores qual delas os poupa do trial-and-error descrito na página de conexão
• Qualquer variável condicional da tabela O que distribuir, com seus valores

​

Verifique a implantação

curl -N -X POST "https://llm-gateway.example.com/v1/messages" \
  -H "Authorization: Bearer <developer-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{"model": "claude-sonnet-4-6", "max_tokens": 16, "stream": true, "messages": [{"role": "user", "content": "count to 3"}]}'

$body = '{"model": "claude-sonnet-4-6", "max_tokens": 16, "stream": true, "messages": [{"role": "user", "content": "count to 3"}]}'
$body | curl.exe -N -X POST "https://llm-gateway.example.com/v1/messages" `
  -H "Authorization: Bearer <developer-key>" `
  -H "anthropic-version: 2023-06-01" `
  -H "content-type: application/json" `
  --data-binary '@-'

• Um prompt de login significa uma lacuna de credencial. Execute /status e abra a aba Status: quando a linha Setting sources não inclui configurações gerenciadas, a distribuição não alcançou a máquina; quando inclui, a credencial do desenvolvedor não foi entregue, então defina ANTHROPIC_AUTH_TOKEN ou o apiKeyHelper
• Erros Failed to authenticate significam que o gateway está rejeitando solicitações; seu log diz qual credencial falhou. Uma rejeição que o gateway registra em si nomeia a chave do desenvolvedor, enquanto um 401 de api.anthropic.com ou do endpoint do seu provedor significa que a credencial do provedor que o gateway possui foi rejeitada
• Um prompt de aprovação única para a chave é esperado no primeiro uso quando o gateway espera chaves no cabeçalho x-api-key, definido como ANTHROPIC_API_KEY. Com ANTHROPIC_AUTH_TOKEN, nenhum prompt aparece e a variável assume silenciosamente; um login claude.ai previamente salvo está inativo para essa sessão

​

Mantenha o gateway

​

Planejar atualizações de versão do Claude Code

​

Recursos relacionados

• Conectar Claude Code a um gateway LLM: as etapas de configuração voltadas para o desenvolvedor, com configuração por superfície e uma tabela de solução de problemas que você pode entregar aos desenvolvedores
• Guia de compatibilidade do gateway: a referência para operadores de gateway, cobrindo endpoints, cabeçalhos para encaminhar e a tabela de passagem de recursos
• Qual valor Claude Code usa: como configurações gerenciadas, de projeto e de usuário se combinam
• Mecanismos de entrega: onde o arquivo gerenciado vai em cada plataforma
• Configure Claude Code para sua organização: a implantação mais ampla da qual este gateway é uma parte, incluindo imposição de política, visibilidade de uso e tratamento de dados