O Amazon Bedrock oferece GPT-6 Astra, além de GPT-5.6 Sol, Terra e Luna. Disponibilidade na AWS e suporte no cliente Codex precisam ser verificados separadamente. Este guia configura Sol pelo provedor integrado amazon-bedrock e compara IDs, roteamento regional e custos do Astra antes de uma implantação em equipe.
Status por capacidade
| Capacidade | Disponibilidade | Como validar | Cuidado de produção |
|---|---|---|---|
| GPT-6 Astra | Disponível no Bedrock desde 8 de setembro de 2026. | Mantle: openai.gpt-6-astra. Runtime: us.openai.gpt-6-astra ou global.openai.gpt-6-astra. | A lista de suporte Codex Bedrock ainda não inclui Astra. Valide a compatibilidade do cliente antes de substituir a configuração Sol abaixo. |
| GPT-5.6 Sol, Terra, Luna; GPT-5.5 e GPT-5.4 | Explicitamente compatíveis no guia local Codex Bedrock. | Use o ID exato com prefixo openai. e uma Região AWS comercial compatível. | Disponibilidade, limites de contexto e preços dependem do modelo e endpoint. |
| Codex no Amazon Bedrock | Disponibilidade geral. Funciona pelo Codex App, Codex CLI e integrações de IDE com VS Code, JetBrains e Xcode, com inferência roteada pelo Bedrock. | Valide versão do Codex, model_provider = "amazon-bedrock", modelo, região, credenciais AWS, repositórios permitidos e fluxo de aprovação. | Não libere em monorepos sensíveis antes de definir permissões, orçamento, revisão humana, logs e política de dados. |
| Amazon Bedrock Managed Agents powered by OpenAI | A página atual de interesse AWS ainda informa “coming soon”. | Confirme acesso e termos com a AWS. | A disponibilidade local do Codex não estabelece disponibilidade do Managed Agents. |
| Daybreak Red e Daybreak Blue | A AWS lista ambos como ativos desde 12 de agosto de 2026 para clientes elegíveis. | Exigem inscrição no OpenAI Trusted Access for Cyber e aprovação de acesso AWS. | Modelos restritos de cibersegurança, análises locais Codex Security e Codex Security cloud têm limites de acesso separados. |
| ChatGPT, API direta da OpenAI e recursos hospedados da OpenAI | Continuam sendo caminhos separados do Bedrock. | Revise procurement, autenticação, dados, retenção, logs, regiões e recursos nativos necessários. | Não confunda ChatGPT sign-in ou OPENAI_API_KEY com o provider Bedrock do Codex. |
Superfícies e limites de recurso
Codex no Bedrock é um caminho forte para workflows locais de engenharia. Ele não transforma todos os recursos hospedados da OpenAI em recursos Bedrock.
| Recurso | Estado no provider Bedrock |
|---|---|
| Codex CLI local | Suportado |
| Aplicativo desktop local | Compatível com fluxos locais de ChatGPT Work e Codex; reinicie o aplicativo após alterar a configuração |
| Extensões de IDE | Suportadas, incluindo VS Code, JetBrains e Xcode conforme anúncio da AWS |
| Servidores MCP configurados localmente | Compatíveis |
| Conectores | Indisponíveis por este provedor |
| Fast Mode | Não disponível no Bedrock no momento documentado pelo Codex |
Revisão local com /review, Codex Security CLI e análises locais de segurança | Compatíveis |
| Codex cloud, revisões automáticas de PRs no GitHub e Codex Security cloud | Indisponíveis por este provedor |
| Pacotes locais de plugins e plugins elegíveis selecionados pela OpenAI | Disponíveis; plugins que exigem autenticação ChatGPT ou conectores estão indisponíveis |
| Geração de imagem, ditado por voz e busca web integrada | Indisponíveis pelo provedor Codex Bedrock |
Codex SDK, codex exec, skills, subagentes e tarefas locais agendadas | Compatíveis |
Estratégia de contas AWS para pilotos
Comece com uma conta isolada ou uma OU de sandbox. A fronteira da conta AWS continua sendo uma forma simples de controlar billing, permissões, CloudTrail, Service Control Policies, budgets e blast radius.
| Modelo | Quando usar | Controles mínimos |
|---|---|---|
| Conta AWS nova | Laboratório técnico, startup ou validação sem landing zone existente. | MFA no root, contatos alternativos, IAM Identity Center, orçamento mensal e alertas antes do primeiro uso. |
| Conta-membro em AWS Organizations | Empresa com Organizations, Control Tower ou landing zone. | OU de sandbox ou IA, CloudTrail centralizado, SCPs por região/modelo, budgets e permission sets separados. |
| Conta de plataforma de IA | Bedrock será usado por múltiplos times e aplicações. | Projects por aplicação, tags de custo, owner claro, revisão de IAM e processo de promoção para produção. |
| Conta de produção existente | Somente depois de validar o caminho e os controles. | Change management, endpoint policies, CloudTrail, rollback, orçamento de serviço e revisão de compliance. |
Inferência Mantle exige bedrock-mantle:CreateInference. Runtime usa bedrock:InvokeModel e permissões de streaming, com acesso Responses também abrangendo o projeto padrão.
Região, residência e Brasil/LATAM
Nesta configuração integrada Codex Mantle, Sol está documentado em us-east-1 e us-east-2; Terra e Luna também oferecem suporte comercial em us-west-2. O guia Codex exclui endpoints Mantle GovCloud. Esses caminhos mantêm a inferência na Região. Runtime usa IDs diferentes para perfis entre Regiões: a Região de origem não garante onde a inferência ocorre. Confira a tabela de endpoints e Regiões do modelo antes de assumir compromissos de residência. Para Astra, a inferência Mantle ocorre apenas em us-west-2 (Oregon). Runtime exige um perfil entre Regiões dos EUA ou global; não oferece inferência Astra restrita à Região. Migrar deste exemplo Sol para Astra muda tanto o modelo quanto o planejamento do endpoint.
Para Brasil e LATAM, documente se o piloto pode usar uma região dos EUA com dados de baixo risco ou se precisa esperar uma região aprovada. Para LGPD, registre quais dados entram nos prompts, quem é controlador/operador, como logs são retidos, se há transferência internacional, quais usuários têm acesso e quem aprova dados pessoais ou sensíveis.
Como configurar Codex com Amazon Bedrock
O guia oficial do Codex no Bedrock descreve o provedor amazon-bedrock usando o Bedrock Mantle. O cliente local envia requisições à implementação da Responses API compatível com OpenAI no Bedrock; a Responses API hospedada pela OpenAI não fica no caminho. A autenticação usa uma chave de API Bedrock ou a cadeia de credenciais do AWS SDK.
A AWS recomenda Runtime para a maioria das novas aplicações de API; essa recomendação não altera esta configuração integrada Codex.
A lista de suporte Codex Bedrock contém openai.gpt-5.6-sol, openai.gpt-5.6-terra, openai.gpt-5.6-luna, openai.gpt-5.5 e openai.gpt-5.4. Use Sol para programação e raciocínio exigentes, Terra para trabalho diário equilibrado e Luna para tarefas de alto volume com menor custo. Os cards AWS de Sol, Terra e Luna listam entrada de texto/imagem, saída de texto e contexto de 1 milhão; o guia da API OpenAI especifica 1.050.000 tokens. Confirme o limite implantado e considere a tarifa maior acima de 272 mil tokens de entrada.
Defina o provedor e o modelo em ~/.codex/config.toml:
model = "openai.gpt-5.6-sol"
model_provider = "amazon-bedrock"Autenticação: API key Bedrock ou AWS SDK
Codex verifica primeiro uma Bedrock API key e depois a cadeia de credenciais do AWS SDK. Para API key, defina a região explicitamente:
export AWS_BEARER_TOKEN_BEDROCK="SUBSTITUA_PELA_SUA_CHAVE_API_BEDROCK"
export AWS_REGION=us-east-2Para organizações que usam SSO, prefira credenciais temporárias por perfil AWS:
aws configure sso --profile codex-bedrock
aws sso login --profile codex-bedrock
export AWS_PROFILE=codex-bedrock
export AWS_REGION=us-east-2Apps desktop e extensões de IDE podem não herdar variáveis do shell. Para esses casos, coloque valores necessários em ~/.codex/.env e reinicie o app ou a extensão.
Resolva problemas de autenticação e verifique o provedor
O Codex verifica AWS_BEARER_TOKEN_BEDROCK antes da cadeia de credenciais do AWS SDK. Ao testar SSO, remova qualquer chave Bedrock não intencional do ambiente lido pelo cliente, inclusive de ~/.codex/.env. Reinicie as sessões desktop ou de IDE e use /status na CLI para confirmar o provedor amazon-bedrock.
Se a autenticação falhar, confira o ID exato do modelo, a Região AWS, as permissões de acesso e a validade das credenciais. Para SSO, renove o perfil escolhido com aws sso login --profile codex-bedrock. Um login SSO bem-sucedido não substitui uma chave de API que continua no ambiente do cliente.
Custos, auditoria e rede privada
Preços e orçamentos
Segundo o anúncio da AWS de 1º de junho de 2026, GPT-5.5 e GPT-5.4 foram lançados com acesso pela Responses API no Bedrock, com preço por token igual ao uso direto pela OpenAI e sem taxas adicionais. Codex no Bedrock também usa cobrança por token, sem licenças por assento ou compromissos por desenvolvedor, e o uso conta para compromissos AWS existentes.
A paridade atual vale para serviços equivalentes. O guia OpenAI sobre Bedrock equipara processamento regional Bedrock ao processamento regional OpenAI, com acréscimo de 10% sobre as tarifas globais da API. O card AWS do Sol lista, para contexto curto na Região, US$ 4,40 de entrada, US$ 5,50 de gravação em cache, US$ 0,44 de leitura e US$ 22 de saída por milhão de tokens. Os preços globais diretos OpenAI são US$ 4, US$ 5, US$ 0,40 e US$ 20, respectivamente. Compare a mesma faixa de contexto, roteamento e uso de cache. A OpenAI informa que a promoção do Sol vale pelo menos até 21 de novembro de 2026.
Para avaliar Astra, use as tarifas Standard da AWS para o roteamento e a faixa de contexto escolhidos. Os preços regionais abaixo são por milhão de tokens:
| Modelo e contexto de entrada | Entrada | Gravação em cache | Leitura em cache | Saída |
|---|---|---|---|---|
| Sol, até 272 mil | US$ 4,40 | US$ 5,50 | US$ 0,44 | US$ 22 |
| Astra, até 272 mil | US$ 11 | US$ 13,75 | US$ 1,10 | US$ 55 |
| Astra, acima de 272 mil | US$ 22 | US$ 27,50 | US$ 2,20 | US$ 82,50 |
A janela de contexto do Astra é de 1.050.000 tokens, com até 128.000 tokens de saída. Suas tarifas regionais de contexto curto são 2,5 vezes as do Sol para a mesma composição de tokens; isso compara preços, não mede custo por tarefa concluída. Avalie conclusão, novas tentativas e uso de tokens antes de escolhê-lo para um fluxo.
- Custos: Codex no Bedrock usa cobrança por token, sem licença por assento. Crie orçamento da conta, orçamento filtrado por Amazon Bedrock e alertas compartilhados antes da liberação.
- Atribuição: use contas separadas, tags, Projects e relatórios de custo para separar experimento, desenvolvimento e produção.
Auditoria e rede privada
O provedor integrado Codex usa Mantle. O registro de invocações Bedrock cobre Runtime, incluindo Responses e Chat Completions nesse endpoint, mas não Mantle. Mantenha registros no gateway para Mantle quando for necessário capturar requisições e respostas.
- Auditoria: ative CloudTrail centralizado e revise eventos de Bedrock desde o primeiro dia.
- Rede: avalie VPC endpoints e PrivateLink para
bedrock,bedrock-runtimeebedrock-mantlequando o tráfego precisar ficar privado. - Dados: comece com repositórios e tarefas de baixo risco antes de permitir dados pessoais, clientes ou produção.
Requisitos de retenção
Para GPT-5.6 Sol, a AWS pode reter tráfego sinalizado por classificadores por até 30 dias; clientes elegíveis podem solicitar ZDR completo à equipe de conta AWS. default e store=false na Responses não garantem ZDR. Confira os requisitos de retenção e as configurações disponíveis para o modelo antes da implantação. Logs de gateway e invocação gerenciados pelo cliente exigem controles próprios de retenção. Consulte a documentação de detecção de abuso da AWS.
Checklist de rollout
- ID exato de modelo compatível escolhido e disponibilidade regional validada; este guia usa
openai.gpt-5.6-solemus-east-2. - Codex atualizado e provider
amazon-bedrockconfirmado em/status. - Credenciais definidas: Bedrock API key ou AWS SSO/perfil AWS com credenciais temporárias.
- Conta AWS ou OU de sandbox criada com budgets, alertas e CloudTrail.
- Política de repositórios, dados sensíveis, aprovação humana e uso de ferramentas aprovada.
- PrivateLink, endpoint policies, SCPs e KMS avaliados conforme risco.
- Primeira tarefa rodada em repositório de baixo risco, com custo e logs revisados.
- Owner operacional, rollback e processo de suporte definidos antes de ampliar para mais desenvolvedores.
Perguntas frequentes
Codex no Bedrock usa login do ChatGPT?
Não. No provider amazon-bedrock, Codex usa autenticação AWS-native: Bedrock API key ou cadeia de credenciais do AWS SDK. Não use ChatGPT sign-in nem OPENAI_API_KEY para esse caminho.
gpt-oss é o mesmo que GPT-5.6?
Não. gpt-oss é uma família open-weight separada, com IDs, capacidades e preços diferentes.
Preciso de PrivateLink?
Nem todo piloto precisa, mas ambientes regulados devem avaliar PrivateLink e endpoint policies cedo, especialmente quando código, dados pessoais ou dados de cliente entram nos prompts.
Como a Elevata ajuda
Este trabalho exige mais que um config.toml. A Elevata ajuda times de plataforma, segurança e engenharia a validar OpenAI no Amazon Bedrock: desenho de contas e OUs, IAM/SCP, Codex rollout, Mantle vs Runtime, PrivateLink, CloudTrail, Budgets, Projects, observabilidade, LGPD e governança de desenvolvedores.
Se você quer liberar Codex, GPT-5.6 ou fluxos OpenAI na AWS sem perder controle de custo e segurança, valide a prontidão da AWS com a Elevata ou fale com um especialista pelo WhatsApp no rodapé do site.
