AWS、推論ゲートウェイ Claude apps gateway を公開──企業向け Claude Code/Desktop ガバナンスを構築
Amazon Bedrock および Claude Platform 向けに認証・モデルアクセス制御・コスト配分を統合管理するリファレンス実装を公開した。
リリース: 2026-08-11 · 読了 3 分記事の要約
1. 核心（What）
- AWSはClaude CodeおよびClaude Desktop向けの中央集約型ガバナンスレイヤーである Claude apps gateway の本番運用向けリファレンス実装を公開した。
- 構成要素として、AWS Fargate等のコンテナ実行環境、Amazon RDSによるセッション管理、内部アプリケーションロードバランサー、および VPC エンドポイントを採用している。
- OAuth 2.0 デバイス認証グラントを用いた OIDC プロバイダによる 1 時間デフォルトの短縮トークン発行と、自動バックグラウンド更新をサポートする。
- OpenTelemetry Protocol (OTLP) を用いて、開発者ごとのトークン使用量やアクティブ時間を Datadog や CloudWatch 等のバックエンドへ送信する。
2. 影響（Why）
- 端末へのクレデンシャル配布を廃止: 開発者端末にAPIキーを保持させない設計により、認証情報の漏洩リスクを根本から断ち、離職時のオフボーディングをOIDC側の削除のみで完結させられる。
- 国内エンタープライズの導入を加速: 国内の厳格なコンプライアンスを重視する大手SIerや金融機関などの組織において、モデルアクセス権のサーバー側強制とコスト管理を同時に満たす標準構成として機能する。
3. 根拠・詳細（How）
- Fargate と RDS によるステートレス構成: 各 Fargate タスクはステートレスに稼働し、デバイスコードやセッション情報を Amazon RDS for PostgreSQL に集約することで、ロードバランサーのスティッキーセッションを不要化している。
- YAML によるポリシーとモデル権限の制御: 単一の YAML 設定ファイルで宣言的ポリシー評価を行い、IDPのグループ所属に基づくモデル（Claude 3.5 SonnetやHaiku等）の利用制限をサーバー側で厳格に強制する。
4. 展望・課題（Next）
- リポジトリでのスクリプト提供: デプロイ用スクリプトや構成テンプレートは公式の accompanying repository から取得可能であり、実環境への適用検証が進められる。