为您的组织推出 LLM 网关

​

前置条件

• 在您的基础设施上部署的网关，在您将分发给开发者的确切地址上提供 HTTPS，而不是重定向到它的地址，并配置为将 Claude 模型名称路由到您的提供商
• 网关转发的提供商凭证：
  • 对于 Anthropic API：来自 Claude 控制台的 API 密钥
  • 对于云提供商：具有模型访问权限的云凭证。请参阅 Amazon Bedrock、Google Vertex AI 或 Microsoft Foundry 页面上的前置条件
• 一种向开发者机器交付设置文件的方式，例如 MDM 或配置管理
  • 如果您还没有，设置如何到达设备比较了各种选项

​

网关要求

• 接受支持的 API 格式：API 格式表中的格式之一。下面的推出步骤假设 Anthropic Messages API 位于 POST /v1/messages，大多数网关都提供此格式
• 流式传输响应：按到达时传递服务器发送的事件，而不是缓冲整个响应
• 路由 Claude 模型名称：将开发者使用的每个名称映射到上游模型。Claude Code 在每个请求中发送模型名称，例如 claude-sonnet-4-6；在大多数网关产品中，映射是网关自己配置中的模型列表或路由表
• 转发标头和正文不变：在两个方向上传递 anthropic-beta、anthropic-version 和请求正文；功能传递表将每个映射到没有它就会中断的功能
• 返回未修改的上游错误：Claude Code 的自动恢复与错误措辞匹配，因此在网关自己的信封中包装错误会破坏它
• 豁免路径免受请求正文 WAF 检查：Claude Code 提示包含源代码和 XML 样式标签，与跨站脚本正文规则匹配；网关前面的 WAF 在真实会话中返回 403，而短测试请求通过

​

推出步骤

1. 确认网关路由您的模型
2. 为每个开发者颁发凭证
3. 针对网关测试 Claude Code
4. 分发基础 URL 和凭证
5. 从开发者机器验证

​

确认网关路由您的模型

• <gateway-key> 是任何让您现在调用网关的凭证：管理密钥、测试密钥或您自己的开发者密钥（如果您已经颁发了一个）。并非每个网关产品都有单独的管理凭证；如果您的没有，请先在颁发开发者凭证中为自己颁发开发者密钥
• model 是您的网关配置为路由的 Claude 模型名称。示例使用 claude-sonnet-4-6；替换为您配置的名称

curl -X POST "https://llm-gateway.example.com/v1/messages" \
  -H "Authorization: Bearer <gateway-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{"model": "claude-sonnet-4-6", "max_tokens": 1, "messages": [{"role": "user", "content": "."}]}'

Invoke-RestMethod -Method Post -Uri "https://llm-gateway.example.com/v1/messages" `
  -Headers @{ "Authorization" = "Bearer <gateway-key>"; "anthropic-version" = "2023-06-01" } `
  -ContentType "application/json" `
  -Body '{"model": "claude-sonnet-4-6", "max_tokens": 1, "messages": [{"role": "user", "content": "."}]}'

​

颁发开发者凭证

curl -X POST "https://llm-gateway.example.com/v1/messages" \
  -H "Authorization: Bearer <developer-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{"model": "claude-sonnet-4-6", "max_tokens": 1, "messages": [{"role": "user", "content": "."}]}'

Invoke-RestMethod -Method Post -Uri "https://llm-gateway.example.com/v1/messages" `
  -Headers @{ "Authorization" = "Bearer <developer-key>"; "anthropic-version" = "2023-06-01" } `
  -ContentType "application/json" `
  -Body '{"model": "claude-sonnet-4-6", "max_tokens": 1, "messages": [{"role": "user", "content": "."}]}'

​

针对网关测试 Claude Code

export ANTHROPIC_BASE_URL=https://llm-gateway.example.com
export ANTHROPIC_AUTH_TOKEN="<developer-key>"

$env:ANTHROPIC_BASE_URL = "https://llm-gateway.example.com"
$env:ANTHROPIC_AUTH_TOKEN = "<developer-key>"

claude -p "Reply with one word: connected"

• Not logged in：检查网关日志以区分两个原因。如果它是空的，没有凭证到达会话，没有请求离开机器；在您测试的 shell 中重新运行导出。如果它显示在 401 正文中带有 x-api-key 的被拒绝请求，网关期望密钥在该标头中；切换到 ANTHROPIC_API_KEY
• Failed to authenticate. API Error: 401 意味着凭证被发送并被拒绝，网关日志说明了在哪里：命名 api.anthropic.com 或您的提供商端点的 401 意味着网关到达了上游但其提供商凭证被拒绝，因此开发者密钥有效，网关持有的提供商凭证错误或是占位符

​

分发配置

​

要分发的内容

​

通过托管设置分发

{
  "env": {
    "ANTHROPIC_BASE_URL": "https://llm-gateway.example.com"
  },
  "apiKeyHelper": "/usr/local/bin/get-gateway-key"
}

• 桌面应用仅从其 MDM 交付的第三方推理配置读取网关路由；部署该文件以及托管设置，以便桌面会话也通过网关路由。请参阅桌面第三方配置文档和桌面网关文档
• CI 运行器需要在运行器的环境中设置 ANTHROPIC_BASE_URL 和凭证
• 托管 Windows 机器上的 WSL 仅在 wslInheritsWindowsSettings 为 true 时读取 Windows 托管设置

​

手动向开发者提供值以自己设置

• 网关 URL
• 他们的个人凭证
• 将凭证放在哪个变量中：对于 bearer-token 网关为 ANTHROPIC_AUTH_TOKEN，或对于 x-api-key 网关为 ANTHROPIC_API_KEY。告诉开发者哪一个可以节省他们在连接页面上描述的试错
• 要分发的内容表中的任何条件变量，以及它们的值

​

验证推出

curl -N -X POST "https://llm-gateway.example.com/v1/messages" \
  -H "Authorization: Bearer <developer-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{"model": "claude-sonnet-4-6", "max_tokens": 16, "stream": true, "messages": [{"role": "user", "content": "count to 3"}]}'

$body = '{"model": "claude-sonnet-4-6", "max_tokens": 16, "stream": true, "messages": [{"role": "user", "content": "count to 3"}]}'
$body | curl.exe -N -X POST "https://llm-gateway.example.com/v1/messages" `
  -H "Authorization: Bearer <developer-key>" `
  -H "anthropic-version: 2023-06-01" `
  -H "content-type: application/json" `
  --data-binary '@-'

• 登录提示意味着凭证缺口。运行 /status 并打开状态选项卡：当 Setting sources 行不包括托管设置时，分发没有到达机器；当它包括时，开发者凭证没有被交付，因此设置 ANTHROPIC_AUTH_TOKEN 或 apiKeyHelper
• Failed to authenticate 错误意味着网关拒绝请求；其日志说明了哪个凭证失败。网关自己记录的拒绝命名开发者密钥，而来自 api.anthropic.com 或您的提供商端点的 401 意味着网关持有的提供商凭证被拒绝
• 当网关期望密钥在 x-api-key 标头中时，在首次使用时出现一次性批准提示是预期的，设置为 ANTHROPIC_API_KEY。使用 ANTHROPIC_AUTH_TOKEN，不会出现提示，变量会无声地接管；以前保存的 claude.ai 登录对该会话无效

​

维护网关

​

相关资源

• 将 Claude Code 连接到 LLM 网关：面向开发者的设置步骤，具有每个表面的配置和您可以交给开发者的故障排除表
• 网关协议参考：网关运营商的有线合同，涵盖端点、要转发的标头以及功能传递表
• 设置文件和优先级：托管、项目和用户设置如何组合，以及托管文件在每个平台上的位置
• 为您的组织设置 Claude Code：这个网关是其中一部分的更广泛推出，包括策略强制执行、使用可见性和数据处理