Шлюз Claude apps для Amazon Bedrock, Claude Platform на AWS, Google Cloud и Microsoft Foundry

• Почему Claude apps gateway, что он добавляет по сравнению с самостоятельным запуском и когда что-то другое подходит лучше
• Быстрый старт с предварительными требованиями, который переводит шлюз от нуля к вошедшему разработчику
• Подключение разработчиков, включая установку URL шлюза через управляемые параметры
• Доступность и ограничения, охватывающие какие функции Claude Code работают через шлюз и что поддерживает сервер

Почему Claude apps gateway

• Учётные данные: ключ API вышестоящего уровня или учётные данные облака существуют только в вашей инфраструктуре. Разработчики аутентифицируются с помощью корпоративного SSO и получают краткосрочные токены-носители, поэтому отключение происходит в вашем IdP. Отключите пользователя, и его доступ к шлюзу истекает в течение времени жизни сеанса, по умолчанию один час.
• Контроль доступа: ваши группы IdP сопоставляются со списками разрешённых моделей, политиками управляемых настроек и вышестоящими сервисами. Шлюз обеспечивает доступ к модели на стороне сервера, отклоняя запросы для неразрешённых моделей, и выбирает политику управляемых настроек каждой группы, которую CLI применяет на уровне управляемых настроек. Разные команды получают разные модели, инструменты и разрешения, и разработчик не может переопределить то, что его политика блокирует.
• Доставка параметров: шлюз доставляет управляемые параметры подписанным клиентам сам, занимая место параметров, управляемых сервером из консоли администратора claude.ai.
• Телеметрия: каждое настроенное назначение получает метрики OpenTelemetry Protocol (OTLP) с подсчётом токенов, моделью, идентификацией пользователя и задержкой по умолчанию, с журналами и трассировками как дополнительные параметры для каждого назначения.
• Маршрутизация вышестоящего уровня: клиенты говорят API Anthropic Messages с шлюзом, и шлюз переводит для каждого вышестоящего уровня, будь то Amazon Bedrock, Claude Platform on AWS, Agent Platform Google Cloud, Microsoft Foundry или API Anthropic, с отказоустойчивостью между ними. Вы можете менять регионы, поставщиков или порядок отказоустойчивости без того, чтобы разработчики замечали или переконфигурировали.

Другие реализации шлюза

Быстрый старт

Предварительные требования

Шаги

listen:
  host: 0.0.0.0
  port: 8080
  # Required unless host is a loopback address. Used for the IdP
  # redirect_uri and the discovery document.
  public_url: https://claude-gateway.internal.example.com

oidc:
  issuer: https://login.example.com        # must serve /.well-known/openid-configuration
  client_id: 0oa1example2
  client_secret: ${OIDC_CLIENT_SECRET}
  allowed_email_domains: [example.com]        # reject id_tokens outside your org
  userinfo_fallback: true                  # for IdPs whose id_token omits email/groups; harmless otherwise

session:
  jwt_secret: ${GATEWAY_JWT_SECRET}        # openssl rand -base64 32
  ttl_hours: 1                             # also bounds revocation latency on IdP deprovision

store:
  postgres_url: ${GATEWAY_POSTGRES_URL}    # add ?sslmode=require for managed Postgres

upstreams:
  - provider: bedrock
    region: us-east-1
    auth: {} # empty: AWS default credential chain
# (IRSA, EC2/ECS task role, env vars, ~/.aws)

# Models are translated per upstream automatically. The built-in catalog
# maps claude-opus-4-8 to us.anthropic.claude-opus-4-8 and so on for every
# Bedrock-supported Claude model. Set false and add a `models:` list to
# expose only specific models.
auto_include_builtin_models: true

services:
  gateway:
    image: registry.example.com/claude-gateway:2.1.198
    ports: ["8080:8080"]
    volumes: ["./gateway.yaml:/etc/claude/gateway.yaml:ro"]
    environment:
      OIDC_CLIENT_SECRET: ${OIDC_CLIENT_SECRET}
      GATEWAY_JWT_SECRET: ${GATEWAY_JWT_SECRET}
      GATEWAY_POSTGRES_URL: postgres://gw:pw@postgres/gateway
      # AWS credentials: in production, omit these and use an instance
      # role. For local Compose testing, pass through your own:
      AWS_ACCESS_KEY_ID: ${AWS_ACCESS_KEY_ID}
      AWS_SECRET_ACCESS_KEY: ${AWS_SECRET_ACCESS_KEY}
      AWS_SESSION_TOKEN: ${AWS_SESSION_TOKEN}
    depends_on:
      postgres:
        condition: service_healthy
  postgres:
    image: postgres:16-alpine
    environment: { POSTGRES_USER: gw, POSTGRES_PASSWORD: pw, POSTGRES_DB: gateway }
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U gw"]
      interval: 5s
    volumes: ["pgdata:/var/lib/postgresql/data"]
volumes: { pgdata: }

{"ts":"2026-06-10T17:03:21.114Z","evt":"config.load","path":"/etc/claude/gateway.yaml","sha256":"…"}
[gateway] 2026-06-10T17:03:21.395Z info waiting for migration lock (another replica may be migrating; check pg_locks for key 6775156 if this persists)
[gateway] 2026-06-10T17:03:21.408Z info migration 1 applied
…
[gateway] 2026-06-10T17:03:21.431Z info migration 6 applied
[gateway] 2026-06-10T17:03:21.512Z info claude gateway listening on http://0.0.0.0:8080

curl -s https://claude-gateway.internal.example.com/.well-known/oauth-authorization-server | jq

{
  "issuer": "https://claude-gateway.internal.example.com",
  "device_authorization_endpoint": "…/oauth/device_authorization",
  "token_endpoint": "…/oauth/token",
  "grant_types_supported": ["urn:ietf:params:oauth:grant-type:device_code", "refresh_token"]
}

curl -s -X POST https://claude-gateway.internal.example.com/oauth/device_authorization | jq

{
  "device_code": "…",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://claude-gateway.internal.example.com/device",
  "verification_uri_complete": "https://claude-gateway.internal.example.com/device?user_code=WDJB-MJHT",
  "expires_in": 600,
  "interval": 5
}

Подключение разработчиков

openssl x509 -noout -fingerprint -sha256 -in cert.pem | cut -d= -f2 | tr -d : | tr 'A-F' 'a-f'

Задание URL шлюза

{
  "forceLoginMethod": "gateway",
  "forceLoginGatewayUrl": "https://claude-gateway.internal.example.com",
  "parentSettingsBehavior": "merge"
}

Задание URL шлюза в пользовательских настройках

{
  "forceLoginMethod": "gateway",
  "forceLoginGatewayUrl": "https://claude-gateway.internal.example.com"
}

• Только пользовательские настройки: Claude Code читает эти два ключа из ~/.claude/settings.json, а не из .claude/settings.json или .claude/settings.local.json проекта.
• Управляемые настройки их отключают: как только настройки администратора попадают на машину через файл управляемых настроек, plist в macOS или политику HKLM в Windows либо через вспомогательную программу политики, Claude Code игнорирует шлюз, указанный в пользовательских настройках.

Разрешение шлюза в принадлежащем вам публичном адресном пространстве

{
  "gatewayInternalNetworks": ["203.0.113.0/24"]
}

• Каждая запись — это блок IPv4, записанный как его первый адрес и префикс от /8 до /32.
• Список содержит не более четырёх блоков, и никакие два из них не перекрываются.
• Ни один блок не перекрывает приватное адресное пространство: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 127.0.0.0/8, 169.254.0.0/16 и 100.64.0.0/10. /login и без этого ключа принимает шлюз в этих диапазонах.
• Ни один блок не перекрывает пространство, которое никогда не бывает сетью организации: 198.18.0.0/15 и 192.0.0.0/24, которые клиенты VPN и NAT64 используют как локальные адреса; диапазоны для документации 192.0.2.0/24, 198.51.100.0/24 и 203.0.113.0/24; и зарезервированные диапазоны 0.0.0.0/8, 192.88.99.0/24 и многоадресный 224.0.0.0/4. Вы можете объявлять блоки внутри 240.0.0.0/4, который некоторые крупные сети используют как внутреннее одноадресное пространство.

• Каждый адрес, в который разрешается имя хоста шлюза, находится внутри этого одного блока. Claude Code отклоняет имя, у которого есть записи и вне блока, включая приватные адреса и адреса IPv6.
• Машина разработчика подключается изнутри того же блока. Claude Code отклоняет машину за NAT, внутри контейнера или WSL2, либо в VPN, пул адресов которой находится вне блока, и называет адрес, с которого подключилась машина.
• Подключение прямое. Если HTTPS_PROXY применяется к хосту шлюза, /login отклоняет вход и называет запись NO_PROXY, которую нужно добавить.

Доставка политики в сессии Claude Desktop

Каким машинам нужно явное включение

Явное включение

Ограничение родительских настроек

• Записи deny: пересылаются только со своими path или name и режимом.
• Файловые записи с mode: mask: пересылаются только как заглушки — как маска всего файла с пустым списком injectHosts, поэтому прокси ни на одной платформе не подставляет реальное значение для записи, переданной родителем. Все поля структурированного маскирования также отбрасываются, поэтому переданный родителем шаблон извлечения не может вытеснить более строгую маску, которую другой источник задаёт для того же пути.
• Записи envVars с mode: mask: не пересылаются. deny — единственное ограничение, которое родительский канал может выразить через записи envVars.
• awsPairs и sigv4: пересылаются только как ограничения. Из sigv4 сохраняются только значения deny, а родитель, который вообще определяет блок sigv4, фиксирует все три формы запросов — streaming, presigned и sigv4a — в значении deny. Пара awsPairs никогда не пересылается в форме, позволяющей переподписывать запросы; пара, называющая одну из стандартных переменных AWS, заменяется неактивной записью, которая сохраняет подавленным автоматическое сопоставление AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY и AWS_SESSION_TOKEN.

Развёртывание блокировок

{
  "forceLoginMethod": "gateway",
  "forceLoginGatewayUrl": "https://claude-gateway.internal.example.com",
  "parentSettingsBehavior": "merge",
  "allowManagedPermissionRulesOnly": true,
  "allowManagedMcpServersOnly": true,
  "allowManagedHooksOnly": true,
  "allowedMcpServers": [{ "serverUrl": "https://mcp.internal.example.com/*" }],
  "sandbox": {
    "network": {
      "allowManagedDomainsOnly": true,
      "allowedDomains": ["github.com", "*.npmjs.org"]
    },
    "filesystem": {
      "allowManagedReadPathsOnly": true,
      "denyRead": ["~/"],
      "allowRead": ["~/projects"]
    }
  }
}

Поведение блокировок в разных источниках

• Сетевые домены: блокировка с пустым управляемым списком доменов блокирует весь исходящий трафик из песочницы.
• MCP-серверы: блокировка без allowedMcpServers ни в одном административном источнике и ни в переданных родителем настройках загружает каждый сервер, который не заблокирован deniedMcpServers.
• Пути чтения: записи allowRead лишь повторно разрешают пути внутри областей denyRead, поэтому используйте их вместе с управляемым denyRead.

Настройки, на которые блокировки не распространяются

• forceLoginOrgUUID: Claude Code учитывает значение от родителя, если применяемые им управляемые настройки не задают UUID организации. Вход в шлюз этот ключ не проверяет. UUID организации в управляемых настройках, которые применяет Claude Code, блокирует значение родителя, и именно его применяет Claude Code. Если ваш парк машин закрепляет организацию Anthropic, см. раздел Какой управляемый источник предоставляет ключи входа, чтобы узнать, где задавать forceLoginOrgUUID.
• allowedMcpServers: Claude Code учитывает список разрешённых от родителя, если не действует ни один административный список. allowManagedMcpServersOnly его не блокирует, потому что блокировка применяет в качестве управляемого значения тот список, который выигрывает, включая список от родителя, если ни один административный источник не предоставляет список. Список в административном источнике с наивысшим приоритетом блокирует список родителя, и именно его применяет Claude Code, поэтому задайте allowedMcpServers там, рядом с блокировкой. До v2.1.223 значение любого из этих ключей в любом административном источнике блокировало значение родителя.
• availableModels: Claude Code учитывает список моделей от родителя, если выигравший управляемый источник его не задаёт. Если ваш парк машин ограничивает модели, задайте availableModels в выигравшем источнике.
• allowedProviders: Claude Code учитывает список разрешённых API-провайдеров от родителя, если выигравший управляемый источник его не задаёт. Если ваш парк машин ограничивает, какими API-провайдерами могут пользоваться разработчики, задайте allowedProviders в выигравшем источнике. Требуется Claude Code v2.1.285 или новее.
• strictKnownMarketplaces: Claude Code учитывает список разрешённых маркетплейсов плагинов от родителя, если выигравший управляемый источник его не задаёт. Claude Desktop 2.16120.0 или новее отправляет такой список, когда его управляемая конфигурация отключает добавляемые пользователями маркетплейсы плагинов. Если ваш парк машин ограничивает маркетплейсы, задайте strictKnownMarketplaces в выигравшем источнике. Требуется Claude Code v2.1.282 или новее.
• blockedMarketplaces: список запрещённых маркетплейсов от родителя проходит фильтр и добавляется к любому списку запрещённых, заданному управляемым источником, поскольку список запрещённых может только усиливать ограничения. Требуется Claude Code v2.1.282 или новее.
• strictPluginOnlyCustomization: этот ключ проходит фильтр независимо от блокировок и заставляет Claude Code игнорировать собственные настройки разработчика, включая защитные хуки. Ни одна блокировка его не блокирует.

Как действуют ключи хуков и скиллов в родительских настройках

• Останавливаются: пользовательские, проектные и локальные хуки, а также хуки, объявленные во frontmatter агента или в параметре settings SDK.
• Продолжают выполняться: функции обратного вызова хуков SDK вашего приложения и хуки администратора из управляемых настроек. Ваше приложение не может отключить хуки администратора.

Подключение Claude Desktop

Конвейеры CI и удалённые машины

Что применяется к разработчикам

• Доступ к моделям: запросы к моделям, которые политика не предоставляет, возвращают 400, а средство выбора /model фильтруется по списку разрешённых моделей availableModels политики. Это относится и к модели, с которой сессия запускается до того, как разработчик выберет модель; см. Запуск сессий на модели, разрешённой политикой.
• Назначение телеметрии: в сессиях, в которые выполнен вход через /login, CLI отправляет свои экспорты OTLP/HTTP в шлюз, а не в локально заданный OTEL_EXPORTER_OTLP_ENDPOINT, если только политика не указывает ваш сборщик в качестве эндпоинта. Шлюз пересылает полученные экспорты в назначения из telemetry.forward_to.
  • Во встроенных сессиях, которые запускает Claude Desktop, CLI отправляет свои экспорты в настроенный OTEL_EXPORTER_OTLP_ENDPOINT. CLI прикрепляет к этим экспортам токен сессии шлюза, только когда этот эндпоинт указывает на сам шлюз.
  • Если для сигнала не настроено назначение, шлюз принимает и отбрасывает его.
  • Если вы уже собираете телеметрию Claude Code напрямую, добавьте свой сборщик как назначение forward_to или укажите его в политике, чтобы обойтись без пересылки.
• Учётные данные: токен шлюза — единственные учётные данные сессии. Профили Anthropic и любой ранее выполненный вход в claude.ai игнорируются, пока выполнен вход в шлюз, поэтому разработчикам не нужно предварительно выходить из claude.ai. О настроенных учётных данных ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN или apiKeyHelper, а также об API-ключе, сохранённом при более раннем входе в Claude Console, см. Administrator policy requires a Cloud gateway sign-in.
• Управляемые настройки: заблокированные ключи нельзя переопределить локально. CLI применяет политику при запуске и применяет изменения при каждом ежечасном опросе, за исключением изменений, которые вступают в силу только при следующем запуске.
• Запуск при недоступном шлюзе: сессии с выполненным входом завершаются при запуске с ошибкой примерно через 10 секунд, а не запускаются без своих настроек.
• Запуск после того, как шлюз завершил сессию: см. Принудительный запуск с отказом в закрытом режиме, где описаны запуски, которые открываются без входа в шлюз, и те, которые завершаются, когда шлюз отвечает 401.
• Отзыв доступа: сессия пользователя, отключённого в IdP, истекает в пределах ttl_hours, когда следующее обновление не удаётся.
• Выход: /logout удаляет учётные данные шлюза с машины разработчика.
  • Если документ обнаружения шлюза объявляет revocation_endpoint с той же схемой, хостом и портом, что и URL шлюза, /logout также отправляет сохранённые токены на этот эндпоинт, чтобы шлюз мог завершить сессию на своей стороне. Запрос выполняется по принципу best effort, поэтому выход на машине разработчика завершается независимо от того, ответит ли эндпоинт. Для отзыва требуется Claude Code v2.1.275 или новее на машине разработчика.
  • Сервер шлюза в бинарном файле claude такой эндпоинт не объявляет, поэтому выход из него завершает сессию только на машине разработчика. Чтобы принудительно завершить сессии на стороне сервера, см. Ротация секрета JWT.

Что может видеть организация

Доступность и ограничения

Следующие шаги

• Расширьте gateway.yaml за пределы минимальной конфигурации, например, чтобы добавить RBAC для каждой группы, многоуровневую отказоустойчивость или назначения телеметрии. Справочник конфигурации охватывает каждый параметр.
• Перейдите от Compose к развёртыванию в производстве на Kubernetes или Cloud Run, правильно настройте ваш IdP и проверьте модель безопасности. Руководство по развёртыванию и операциям охватывает настройку для каждого IdP, требования к образу контейнера, зонды здоровья и устранение неполадок.
• Установите ограничения расходов для отдельных разработчиков или групп, чтобы неконтролируемая рабочая нагрузка не могла потребить всё ваше обязательство. Ограничения расходов охватывает API администратора и как работает применение.
• Для полного отработанного примера на AWS с ECS Fargate или EKS, Amazon RDS и Secrets Manager см. Развёртывание на AWS.
• Для полного отработанного примера на Google Cloud с Cloud Run, Cloud SQL и Secret Manager см. Развёртывание на Google Cloud.