在 AWS 上为 Claude 平台实现多环境访问：跨账户 SigV4、工作区 API 密钥与 OIDC 联邦
多环境访问 Claude 平台的统一方案
企业通常需要在多种环境中调用 Claude Platform on AWS (CPonAWS) 的推理能力：生产环境中的 AWS 工作负载、开发者的本地笔记本，以及运行在其他云或本地 CI/CD 管道中的外部服务。这些环境的认证需求各不相同，但理想情况下应共享同一个订阅，并在生产与开发流量之间实现工作区级别的隔离。
AWS 近期发布的技术指南详细介绍了如何通过一个专用 AI Services 账户 实现上述目标。该方案的核心是三层账户结构：
- 付款（管理）账户：负责账单与治理。
- AI Services 账户：托管 CPonAWS 订阅、工作区、API 密钥和跨账户角色。
- 工作负载账户：不直接接触订阅，而是通过承担角色（assume role）进入 AI Services 账户来发起推理调用。
这一设计将订阅所有权与消费方解耦，同时利用工作区实现生产与开发流量的逻辑隔离。
三种访问模式的配置要点
针对不同环境，指南给出了三种认证路径：
AWS 工作负载账户：跨账户 SigV4
例如运行在 Amazon EKS 上的 Pod，通过承担 AI Services 账户中的 IAM 角色，使用 SigV4 签名发起请求。这种方式无需长期凭证，适合 AWS 原生工作负载。开发者：工作区范围的 API 密钥
为开发者生成限定于特定工作区的 API 密钥，用于本地迭代。密钥的作用域隔离可防止开发流量误入生产工作区。外部环境：OIDC 联邦
对于其他云或本地 CI/CD 管道，通过 OIDC 联邦将外部身份提供商与 AWS IAM 角色关联，实现无密钥的临时凭证访问。
实施步骤与扩展建议
指南提供了完整的 CLI 命令、控制台操作和代码片段。部署时，首先在组织内创建专用 AI Services 账户，然后配置跨账户角色、生成工作区 API 密钥并设置 OIDC 信任关系。
对于拥有更多环境的组织，建议为每个团队或工作负载创建独立的工作区，并重复跨账户角色模式。这种模式不仅适用于 Claude 平台，也可为其他 AI 服务的多环境访问提供参考。
通过这套方案，企业可以在保持订阅统一的前提下，满足不同环境的认证需求，同时实现流量的精细隔离与治理。
