Реализация доступа из нескольких сред для платформы Claude на AWS

По сообщению AWS Machine Learning, для работы с платформой Claude на AWS (CPonAWS) требуется доступ из трех различных сред: производственные нагрузки на AWS, локальные разработки на ноутбуках разработчиков и внешние сервисы на других облачных провайдерах или в локальных CI/CD пайплайнах. Каждая среда имеет свои требования к аутентификации, но все они должны использовать одну подписку с изоляцией на уровне рабочего пространства между производственным и разработческим трафиком. Организациям с дополнительными средами рекомендуется создать рабочее пространство для каждой команды или нагрузки и повторить паттерн ролей между аккаунтами для каждой из них. Данная статья подробно описывает процесс настройки. Вам потребуется развернуть отдельный аккаунт AI Services в вашей организации и настроить кросс-аккаунтный SigV4 для AWS нагрузок. Также вам нужно будет сгенерировать API-ключи, ограниченные рабочими пространствами, для разработчиков и настроить федерацию OIDC для внешних сред. Каждый шаг включает команду CLI, инструкции консоли или фрагмент кода. Архитектура включает в себя структуру из трех аккаунтов: аккаунт плательщика для управления и выставления счетов, аккаунт AI Services, который содержит подписку CPonAWS и рабочие пространства, и один или несколько аккаунтов нагрузки, которые используют кросс-аккаунтные роли для выполнения вызовов. В статье описаны три паттерна доступа: через кросс-аккаунтный SigV4 для AWS нагрузок, через API-ключи, ограниченные рабочими пространствами, для разработчиков и через федерацию OIDC для внешних нагрузок. Перед началом убедитесь, что у вас есть организация в AWS Organizations с плательщиком (управляющим) аккаунтом, аккаунтом AI Services для подписки CPonAWS и аккаунтом нагрузки для хостинга. Также необходимо установить и настроить AWS Command Line Interface (AWS CLI) v2 с именованными профилями для обоих аккаунтов и Python 3.12+ с необходимыми пакетами. Статья делится на четыре части, каждая из которых настраивает один уровень архитектуры: подписку CPonAWS и структуру рабочих пространств, кросс-аккаунтный SigV4 доступ для AWS нагрузок, API-ключи, ограниченные рабочими пространствами, для разработчиков и федерацию OIDC для внешних сред. Завершайте их в указанном порядке, так как каждая часть строится на ресурсах, созданных в предыдущей. В первой части вы настроите аккаунт AI Services, подписавшись на CPonAWS и создав два рабочих пространства для изоляции производственного и разработческого трафика. Во второй части будет описан процесс настройки кросс-аккаунтной роли, которая позволит нагрузкам в Workload аккаунте выполнять вызовы к платформе. Третья часть будет посвящена генерации API-ключа для разработчиков, а четвертая — федерации OIDC для внешних нагрузок. После завершения всех шагов вы сможете протестировать доступ к платформе и убедиться в изоляции рабочих пространств. В заключение статьи будут приведены рекомендации по очистке и удалению созданных ресурсов. Материал подготовлен нейросетью на основе оригинальной публикации. ИИ может ошибаться в деталях (цифры, имена, даты, цитаты) — для важной информации сверяйтесь с первоисточником.