Claude Code no Amazon Bedrock e AWS: Requisitos de Infraestrutura, Setup e Deploy

O Claude Code é o assistente de codificação com IA da Anthropic que vive no seu terminal, IDE ou navegador. Ele lê seu código-fonte, executa comandos, escreve e edita arquivos, e lida com tarefas complexas de engenharia — desde depuração até implementação de funcionalidades e refatoração — tudo guiado por instruções em linguagem natural.

Para organizações que operam na AWS, o Claude Code pode ser conectado diretamente ao Amazon Bedrock, o Claude Desktop pode usar o modo Cowork on third-party (3P) com Bedrock para as abas Cowork e Code, e modelos auto-hospedados ainda podem ser expostos dentro da sua própria VPC quando esse controle extra é necessário. Este guia percorre os caminhos de ponta a ponta: pré-requisitos, configuração, IAM, fixação de versões de modelos, rede, rollout enterprise e melhores práticas operacionais.

Requisitos de Infraestrutura em Resumo

Equipes que planejam implantar o Claude Code na AWS normalmente precisam colocar quatro frentes em ordem antes do rollout: acesso aos modelos, permissões IAM, caminho de rede e controles operacionais.

• Acesso aos modelos: habilite modelos Anthropic no Amazon Bedrock ou exponha um endpoint auto-hospedado compatível com Anthropic dentro da sua VPC.
• Identidade e permissões: configure IAM para invocação do Bedrock, acesso a perfis de inferência, subscrição no Marketplace e renovação de credenciais para times que usam SSO.
• Caminho de rede: defina região, confirme TLS e roteamento, e use PrivateLink, conectividade VPC ou sub-redes privadas quando o seu modelo de deploy exigir.
• Controles de deployment: fixe versões de modelos, defina logging e telemetria, e adicione Bedrock Guardrails ou controles equivalentes antes do rollout amplo.

Se algum desses pré-requisitos faltar, o deployment trava rapidamente: autenticação quebra, chamadas de modelo falham ou os times passam a depender de workarounds manuais. As seções abaixo detalham cada requisito.

Matriz de Decisão Rápida

Bedrock vs. Claude Team/Enterprise: Controle Nativo AWS ou Experiência SaaS

A escolha se resume a controle nativo AWS versus experiência de aplicativo Claude pronta para uso. A documentação oficial da Anthropic posiciona o Claude Team/Enterprise como a melhor experiência para a maioria das organizações, enquanto o Bedrock é o melhor encaixe para deployments nativos AWS.

Claude no Amazon Bedrock

O Bedrock é a escolha certa para organizações com deployments nativos AWS que desejam:

• Faturamento e governança AWS. O consumo do Bedrock é baseado em uso e aparece na sua fatura padrão da AWS. A AWS também oferece capacidade reservada, inferência em lote e outros modelos de preço além do sob demanda. O gasto com Bedrock pode descontar de um compromisso existente do AWS Enterprise Discount Program (EDP); confirme a elegibilidade com sua equipe de conta AWS, pois os termos variam.
• Controles de segurança ancorados na AWS. As requisições são governadas pelo AWS IAM, processadas dentro da região selecionada, criptografadas em repouso e em trânsito, e não compartilhadas com provedores de modelos. Conectividade opcional via PrivateLink e VPC fornecem isolamento adicional em nível de rede.
• Serviços de desenvolvimento de aplicações AWS. Além da invocação de modelos, o Bedrock oferece avaliação, fine-tuning, RAG (bases de conhecimento), agentes, guardrails e fluxos de trabalho colaborativos pelo SageMaker Unified Studio.

A ressalva importante agora é mais específica: o acesso direto ao Bedrock é um caminho de modelo/API, não uma assinatura do aplicativo Claude Team ou Enterprise. O Bedrock isolado não inclui os apps Claude padrão para web, iOS ou Android, a administração SaaS do plano Claude, histórico hospedado pela Anthropic, Projects, Artifacts ou conectores gerenciados pela Anthropic. O Claude Desktop agora pode rodar em modo Cowork on 3P com inferência pelo Bedrock, mas esse é um deployment Desktop configurado separadamente, com armazenamento local, políticas via MDM/sistema operacional e paridade de recursos/administração diferente da experiência SaaS padrão. Se você precisa do rollout gerenciado mais simples do aplicativo Claude, com colaboração e conectores de workspace prontos, compare Bedrock e Desktop 3P com Claude Team ou Enterprise.

Claude Team e Enterprise (SaaS por Assento)

Os planos Claude Team e Enterprise operam fora do ecossistema AWS com um modelo de assinatura por assento (níveis padrão e premium, com uso extra opcional e controles de gasto). O que entregam é a adoção mais rápida:

• Acesso nativo via web, iOS, Android e desktop ao Claude
• Projects, Artifacts e fluxos de trabalho colaborativos
• Conectores de workspace (Google Workspace disponível amplamente; conectores personalizados e de workspace também disponíveis além do Team)
• Claude Code e Claude Cowork inclusos
• Administração organizacional, faturamento centralizado e controles de segurança
• Enterprise adiciona SSO/SCIM, retenção expandida e controles de administração avançados

Qual Caminho é o Certo?

Muitos de nossos clientes adotam ambos: Bedrock para equipes de engenharia e aplicações personalizadas, mais um plano Claude Team ou Enterprise para usuários de negócios. A Elevata pode ajudá-lo a projetar essa abordagem híbrida.

Cenário 1: Claude Code com Amazon Bedrock

O AWS Bedrock oferece acesso totalmente gerenciado aos modelos Claude da Anthropic sem hospedar ou escalar infraestrutura. Para equipes que já operam na AWS, este é o caminho mais direto para habilitar o Claude Code.

Pré-requisitos

• Uma conta AWS com acesso ao Bedrock habilitado
• Permissões AWS Marketplace necessárias (detalhadas abaixo)
• AWS CLI instalado e configurado (opcional)

Passo 1: Habilitar Acesso aos Modelos

Para usar o Claude pelo Amazon Bedrock, certifique-se de que sua conta tem as permissões AWS Marketplace necessárias e então complete o formulário de Primeiro Uso da Anthropic. Depois do formulário, o acesso é concedido imediatamente, embora a assinatura e configuração iniciais possam levar alguns minutos antes que as chamadas funcionem consistentemente.

1. Navegue até o Amazon Bedrock no Console AWS.
2. Acesse Model access e selecione os modelos Claude desejados.
3. Complete o formulário de caso de uso da Anthropic (uma única vez por conta). O acesso é concedido imediatamente após o envio.
4. Aguarde alguns minutos para que a assinatura inicial seja processada antes de fazer sua primeira chamada de API.

Passo 2: Solicitar Aumento de Cotas

As cotas padrão podem ser insuficientes para uso em equipe. Solicite aumentos proativamente:

Passo 3: Configurar Permissões IAM

Crie uma política IAM com as permissões mínimas para o Claude Code:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowModelAndInferenceProfileAccess",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream",
        "bedrock:ListInferenceProfiles"
      ],
      "Resource": [
        "arn:aws:bedrock:*:*:inference-profile/*",
        "arn:aws:bedrock:*:*:application-inference-profile/*",
        "arn:aws:bedrock:*:*:foundation-model/*"
      ]
    },
    {
      "Sid": "AllowMarketplaceSubscription",
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:ViewSubscriptions",
        "aws-marketplace:Subscribe"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:CalledViaLast": "bedrock.amazonaws.com"
        }
      }
    }
  ]
}

Restrinja as permissões a ARNs de modelos específicos para acesso mais restritivo. Crie uma conta AWS dedicada para o Claude Code para simplificar rastreamento de custos e controle de acesso.

Passo 4: Configurar Variáveis de Ambiente

# Habilitar integração com Bedrock
export CLAUDE_CODE_USE_BEDROCK=1
export AWS_REGION=us-east-1  # ou sua região preferida

# Opcional: Região para o modelo pequeno/rápido (Haiku)
export ANTHROPIC_SMALL_FAST_MODEL_AWS_REGION=us-west-2

Importante: AWS_REGION deve ser definido explicitamente. O Claude Code não lê do arquivo .aws/config. Ao usar o Bedrock, os comandos /login e /logout são desabilitados.

Passo 5: Configurar Autenticação AWS

Nota sobre Chaves de API Bedrock: O uso de chaves de API é governado pela permissão bedrock:CallWithBearerToken. A AWS recomenda chaves de API Bedrock de longo prazo principalmente para exploração; para produção, prefira credenciais temporárias (SSO, roles de instância) para segurança mais forte.

Para SSO com renovação de credenciais, adicione awsAuthRefresh na configuração do Claude Code:

{
  "awsAuthRefresh": "aws sso login --profile myprofile",
  "env": {
    "AWS_PROFILE": "myprofile"
  }
}

Passo 6: Fixar Versões de Modelos

Crítico para estabilidade em produção. Sem fixação, o Claude Code pode tentar usar uma versão mais nova indisponível na sua conta Bedrock.

export ANTHROPIC_DEFAULT_OPUS_MODEL='us.anthropic.claude-opus-4-6-v1'
export ANTHROPIC_DEFAULT_SONNET_MODEL='us.anthropic.claude-sonnet-4-6'
export ANTHROPIC_DEFAULT_HAIKU_MODEL='us.anthropic.claude-haiku-4-5-20251001-v1:0'

Para múltiplas versões de modelo, use modelOverrides:

{
  "modelOverrides": {
    "claude-opus-4-6": "arn:aws:bedrock:us-east-2:123456789012:application-inference-profile/opus-46-prod",
    "claude-opus-4-5-20251101": "arn:aws:bedrock:us-east-2:123456789012:application-inference-profile/opus-45-prod"
  }
}

Passo 7: Habilitar AWS Guardrails (Opcional)

Crie um Guardrail no console Bedrock, publique uma versão e adicione os headers:

{
  "env": {
    "ANTHROPIC_CUSTOM_HEADERS": "X-Amzn-Bedrock-GuardrailIdentifier: your-guardrail-id\nX-Amzn-Bedrock-GuardrailVersion: 1"
  }
}

Inferência Cross-Region

Perfis de inferência cross-region (IDs prefixados com us. ou eu.) permitem que o Bedrock roteie requisições entre regiões configuradas para melhorar throughput e performance. Habilite inferência cross-region nos seus Guardrails se estiver usando esses perfis.

Cenário 2: Claude Desktop Cowork on 3P com Bedrock

A Anthropic agora documenta o Cowork on third-party (3P) como um modo de deployment do Claude Desktop que roteia a inferência das abas Cowork e Code por um provedor configurado, incluindo Amazon Bedrock. O app roda como aplicação local empacotada, o histórico fica no dispositivo do usuário, e, quando o provider é Bedrock, a Anthropic documenta que prompts, respostas, arquivos e saídas de ferramentas vão para o endpoint de inferência configurado e não para a infraestrutura first-party da Anthropic.

Esse caminho é diferente do CLAUDE_CODE_USE_BEDROCK=1 do terminal. Use o Claude Code direto no Bedrock quando o público principal são engenheiros trabalhando no CLI. Use o Claude Desktop 3P quando a organização quer a experiência Cowork, plugins, workspace, MDM, controles de egress, telemetria e a aba Code dentro do app Desktop, mas precisa que a inferência rode via Bedrock por requisitos de segurança, residência ou contrato.

Como habilitar o setup UI

Para avaliação em uma máquina, a documentação oficial indica abrir o Claude Desktop, ir em Help -> Troubleshooting -> Enable Developer mode e depois Developer -> Configure third-party inference. Essa tela valida os campos do provider e exporta um arquivo .mobileconfig no macOS ou .reg no Windows para distribuição por MDM. Para rollout, prefira MDM em vez de configuração manual por usuário.

Configuração Bedrock mínima

As chaves relevantes para Bedrock são inferenceProvider=bedrock, inferenceBedrockRegion, um método de credencial e inferenceModels. A Anthropic documenta dois métodos de autenticação: inferenceBedrockBearerToken, que exige bedrock:CallWithBearerToken no principal subjacente, ou inferenceBedrockProfile, que usa um perfil AWS do ~/.aws/config e exige bedrock:InvokeModel e bedrock:InvokeModelWithResponseStream para os perfis de inferência e modelos usados. Se a organização usa AWS SSO, o perfil AWS é o caminho mais natural para piloto; para produção, valide renovação de credenciais e distribuição via MDM.

{
  "enterpriseConfig": {
    "inferenceProvider": "bedrock",
    "inferenceBedrockRegion": "us-east-1",
    "inferenceBedrockProfile": "claude-bedrock",
    "inferenceModels": "[\"us.anthropic.claude-sonnet-4-5-20250929-v1:0\"]",
    "deploymentOrganizationUuid": "REPLACE_WITH_REAL_UUID"
  }
}

Importante: chaves do tipo array, como inferenceModels, precisam ser gravadas como JSON string. Em .mobileconfig, isso significa um único valor string contendo [...], não um array nativo do plist. Configure um UUID real para deploymentOrganizationUuid antes do rollout; se você deixar um placeholder compartilhado, a telemetria fica marcada com um valor genérico que a Anthropic não consegue diferenciar de outros deployments sem configuração. Para Bedrock, use IDs de modelo ou perfis de inferência disponíveis na região escolhida e valide com aws bedrock list-inference-profiles antes do rollout.

Base URL, PrivateLink e gateway Bedrock

Se você deixar inferenceBedrockBaseUrl vazio, o Desktop usa o endpoint regional público do Bedrock. Para ambientes que precisam de caminho privado, a chave pode apontar para um endpoint Bedrock via PrivateLink ou para um LLM gateway que represente o Bedrock, sempre usando https://. Mesmo com gateway, mantenha o escopo como Bedrock: IAM, CloudTrail, região, modelo, cota e custo continuam sendo as decisões principais.

Code tab: ainda valide separadamente

A aba Code no Cowork on 3P usa o mesmo motor do Claude Code CLI, mas a própria Anthropic avisa que algumas chaves do Cowork on 3P ainda não propagam para sessões da aba Code do mesmo jeito que se aplicam à aba Cowork. Para deployment enterprise, trate a aba Code como validação separada e distribua também o managed-settings.json do Claude Code quando precisar fixar políticas, modelos ou sandboxing diretamente para sessões de código.

Checklist de validação do Desktop 3P + Bedrock

• Confirmar versão do Claude Desktop e que o setup UI de third-party inference aparece.
• Validar inferenceProvider=bedrock, região, perfil AWS ou bearer token e modelos expostos.
• Confirmar que o perfil AWS dentro do sandbox resolve credenciais e renova via SSO ou credential process.
• Testar Cowork e Code separadamente com um repositório pequeno antes de liberar monorepos.
• Configurar allowedWorkspaceFolders, coworkEgressAllowedHosts, ferramentas desabilitadas, OTel e limites de token quando aplicável.
• Confirmar CloudTrail, budgets, métricas de Bedrock e logs locais antes de rollout amplo.

Cenário 3: Modelos Auto-Hospedados na AWS

Organizações que precisam executar modelos open-source ou de terceiros podem hospedá-los na sua VPC e conectar o Claude Code a esses endpoints. Isso oferece controle total sobre seleção de modelos, residência de dados e custos, mas requer gerenciamento de infraestrutura e vem com limitações de compatibilidade.

Provisionar Computação GPU

Implantar Servidor de Inferência

Seu servidor deve implementar o formato da API de Mensagens da Anthropic (/v1/messages):

• vLLM (Recomendado): Suporte nativo ao formato Anthropic com inferência de alta vazão. O vLLM possui documentação específica para uso com Claude Code via sua API compatível com Anthropic.
• LiteLLM Proxy: Camada de tradução para modelos que suportam apenas endpoints OpenAI.

Notas de Compatibilidade

• Funcionalidades limitadas: Quando ANTHROPIC_BASE_URL aponta para um host não oficial, a busca de ferramentas MCP é desabilitada por padrão, a menos que o proxy encaminhe os blocos necessários.
• Segurança do LiteLLM: Esteja ciente de que as versões 1.82.7 e 1.82.8 do LiteLLM foram sinalizadas com um aviso de segurança na documentação de gateway da Anthropic. Verifique se está usando uma versão corrigida.
• Paridade de recursos: A paridade depende do servidor/proxy e das capacidades do modelo. Por exemplo, a busca de ferramentas MCP é desabilitada por padrão em hosts não oficiais, a menos que o proxy encaminhe blocos tool_reference.

Rede e Segurança

• Servidor de inferência em sub-rede privada via VPN ou AWS Client VPN
• ALB interno com terminação TLS
• Security groups restritivos + CloudWatch para monitoramento
• AWS PrivateLink para padrões zero-trust

Configurar Claude Code

export ANTHROPIC_BASE_URL=https://your-vllm-endpoint.internal
export ANTHROPIC_AUTH_TOKEN=your-auth-token

Comparação de Cenários

Rollout Enterprise

Para deployments em escala, a Anthropic documenta recursos de gerenciamento enterprise que vão além da configuração básica:

Configurações gerenciadas

Distribua configurações do Claude Code centralmente usando server-managed settings quando a organização usa Claude Team ou Enterprise. Para deployments com Bedrock, Vertex ou Foundry, use configurações gerenciadas por arquivo, plist ou registry, conforme o sistema operacional e o MDM. Esses caminhos permitem que equipes de plataforma definam versões de modelos, políticas de autenticação e configurações de segurança que os usuários não podem substituir localmente.

Permissões Gerenciadas

Configure permissões gerenciadas para controlar quais ferramentas e ações o Claude Code pode executar. Isso dá às equipes de segurança controle granular sobre o que o Claude Code pode fazer no ambiente de cada desenvolvedor.

Analytics e Monitoramento

Implante dashboards de analytics para rastrear adoção, uso e ROI. O Claude Code suporta telemetria baseada em OpenTelemetry (OTel) para enviar métricas detalhadas de uso para sua stack de observabilidade.

Melhores Práticas para Produção

Perfis de Inferência de Aplicação

Use application inference profiles do Bedrock para rastreamento de custos com tags e métricas CloudWatch por equipe, projeto ou ambiente. Isso fornece visibilidade granular que tags simples do Cost Explorer não conseguem.

Cache de Prompt

O Claude Code é um caso de uso forte para prompt caching do Bedrock, que pode reduzir significativamente latência e custos para contextos de sistema repetitivos e conteúdo de codebase. Verifique a disponibilidade regional, pois o cache de prompt pode não estar disponível em todas as regiões.

Gateway LLM Enterprise

Para gerenciamento centralizado de autenticação, rate limiting e controles de custos, implante um LLM Gateway na frente do Bedrock via ANTHROPIC_BEDROCK_BASE_URL.

Telemetria OTel

Use a telemetria OpenTelemetry do Claude Code para enviar métricas de uso, latência e adoção para sua stack de observabilidade existente. Combine com perfis de inferência de aplicação para uma visão completa de custos e performance.

Segurança e Compliance

Habilite AWS CloudTrail para todas as chamadas Bedrock. Use Guardrails para filtragem de conteúdo. Para auto-hospedados, implemente logging de acesso no servidor de inferência.

Solução de Problemas

• Problemas de região: aws bedrock list-inference-profiles --region your-region
• Erro "On-demand throughput isn't supported": Use ID de perfil de inferência em vez de ID de modelo base.
• Expiração de credenciais: Configure awsAuthRefresh para re-autenticação automática.
• Endpoint auto-hospedado: Deve implementar /v1/messages. Use LiteLLM Proxy (versão corrigida) para endpoints apenas OpenAI.
• Desktop 3P não inicia em modo Bedrock: confirme inferenceProvider=bedrock, credencial válida, inferenceBedrockRegion e inferenceModels como JSON string.
• Aba Cowork funciona, mas Code não segue a mesma política: valide a aba Code separadamente e distribua managed-settings.json do Claude Code quando precisar fixar políticas para sessões de código.

Nota: O Claude Code usa a API Invoke do Bedrock e não suporta a API Converse.

Perguntas Frequentes

Qual infraestrutura eu preciso para implantar o Claude Code na AWS?
No mínimo, você precisa de uma conta AWS com acesso ao Bedrock ou um endpoint privado compatível com Anthropic, permissões IAM para acesso a modelos e subscrição no Marketplace, configuração explícita de região e rede, além de controles operacionais como fixação de modelos, logging e guardrails.

O Bedrock inclui o Claude na web?
Não como experiência SaaS padrão. O Bedrock fornece a API de modelo e serviços de desenvolvimento AWS; os apps Claude web/iOS/Android, administração do plano, histórico hospedado, Projects, Artifacts e conectores gerenciados continuam sendo parte dos planos Claude Team e Enterprise. O que mudou é o Desktop: o Claude Desktop pode usar Bedrock no modo Cowork on 3P, com inferência no Bedrock, armazenamento local e configuração via MDM/sistema operacional.

O Claude Desktop agora pode usar Bedrock sem enviar conversas para a infraestrutura da Anthropic?
Sim, para o modo Cowork on 3P com inferenceProvider=bedrock, a Anthropic documenta que prompts, respostas, arquivos e saídas de ferramentas são enviados ao endpoint de inferência configurado e armazenados no dispositivo local, não na infraestrutura first-party da Anthropic. Ainda assim, crash reports, analytics, updates, OTel, egress e políticas locais precisam ser configurados conforme o perfil de segurança da organização.

Preciso de aprovação para acessar modelos?
Não é uma fila de aprovação manual. Com as permissões AWS Marketplace corretas, complete o formulário de Primeiro Uso da Anthropic e o acesso é concedido imediatamente. A configuração inicial pode levar alguns minutos.

Chaves de API Bedrock são seguras para produção?
A AWS recomenda chaves de API Bedrock de longo prazo para exploração. Para produção, use credenciais temporárias (SSO, roles de instância). O acesso por chave de API é governado pela permissão bedrock:CallWithBearerToken.

O que não funciona com modelos auto-hospedados?
A paridade depende do servidor/proxy e das capacidades do modelo. A ressalva mais bem documentada é a busca de ferramentas MCP: ela é desabilitada por padrão em hosts não oficiais, a menos que o proxy encaminhe blocos tool_reference. Versões específicas do LiteLLM (1.82.7–1.82.8) têm alertas de segurança conhecidos.

Como a Elevata Pode Ajudar

Configurar o Claude Code é apenas o começo. Como AWS Advanced Tier Services Partner com a Competência AWS de IA Generativa, a Elevata ajuda organizações a construir a plataforma completa de desenvolvimento com IA na AWS.

• Implantação do Claude Code e Claude Desktop 3P — setup completo para Bedrock, Cowork on 3P e auto-hospedados, incluindo IAM, MDM, configurações gerenciadas, perfis AWS, controles da aba Code e automação de onboarding.
• Infraestrutura de IA — dimensionamento de GPU, otimização de inferência, perfis de aplicação, cache de prompt e monitoramento OTel.
• Design de plano híbrido — decidir onde Bedrock e Claude Team/Enterprise se encaixam e construir as integrações.
• Elevata Orbit — engenheiros AWS sêniores sob demanda para setup, otimização e operações contínuas.

Entre em contato em elevata.io para discutir sua implantação do Claude Code, estratégia de IA ou necessidades de infraestrutura AWS.