Claude 平台上的操作、资源和条件密钥 AWS

Claude Platform on AWS （服务前缀:aws-external-anthropic）提供以下特定于服务的资源、操作和条件上下文密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

克劳德平台在上定义的操作 AWS
由 Claude 平台在上定义的资源类型 AWS
开启 Claude 平台的条件密钥 AWS

克劳德平台在上定义的操作 AWS

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的访问级别列描述如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

操作表的依赖操作列显示成功调用操作可能需要的其他权限。除了操作本身的权限以外，可能还需要这些权限。若某个操作指定依赖操作，则这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表中列出的第一个资源。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键
ArchiveAgent	授予存档托管代理的权限	写入	workspace*	aws:ResourceTag/${TagKey}
ArchiveEnvironment	授予存档托管代理环境的权限	写入	workspace*	aws:ResourceTag/${TagKey}
ArchiveMemoryStore	授予存档内存存储的权限	写入	workspace*	aws:ResourceTag/${TagKey}
ArchiveSession	授予存档托管代理会话的权限	写入	workspace*	aws:ResourceTag/${TagKey}
ArchiveVault	授予存档凭证库的权限	写入	workspace*	aws:ResourceTag/${TagKey}
ArchiveWorkspace	授予存档工作空间的权限	写入	workspace*	aws:ResourceTag/${TagKey}
AssumeConsole	授予在 Claude 平台上进行控制台访问的权限	写入		aws-external-anthropic:Capability
CallWithBearerToken [仅权限]	授予使用持有者令牌身份验证进行 API 调用的权限	列表		aws-external-anthropic:BearerTokenType
CancelBatchInference	授予取消正在进行的批量推理请求的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CountTokens	授予对消息请求的代币进行计数的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateAgent	授予在工作区中创建托管代理的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateBatchInference	授予创建批量推理请求的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateEnvironment	授予在工作区中创建托管代理环境的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateFile	授予将文件上传到工作空间的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateInference	授予创建聊天完成推理请求的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateMemoryStore	授予在工作区中创建托管代理内存存储的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateSession	授予在工作空间中创建托管代理会话的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateSkill	授予在工作空间中创建技能的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateUserProfile	授予在工作区中创建用户个人资料的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateUserProfileEnrollmentUrl	授予为用户个人资料创建注册 URL 的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateVault	授予在工作空间中创建托管代理凭据库的权限	写入	workspace*	aws:ResourceTag/${TagKey}
CreateWorkspace	授予在组织中创建工作空间的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
DeleteBatchInference	授予删除批量推理请求的权限	写入	workspace*	aws:ResourceTag/${TagKey}
DeleteEnvironment	授予删除托管代理环境的权限	写入	workspace*	aws:ResourceTag/${TagKey}
DeleteFile	授予从工作区删除文件的权限	写入	workspace*	aws:ResourceTag/${TagKey}
DeleteMemoryStore	授予删除内存存储的权限	写入	workspace*	aws:ResourceTag/${TagKey}
DeleteSession	授予删除托管代理会话的权限	写入	workspace*	aws:ResourceTag/${TagKey}
DeleteSkill	授予从工作区删除技能的权限	写入	workspace*	aws:ResourceTag/${TagKey}
DeleteVault	授予删除凭据库的权限	写入	workspace*	aws:ResourceTag/${TagKey}
GetAccountStatus	授予检索账户设置和 AWS Marketplace 注册状态的权限	读取
GetAgent	授予检索托管代理详细信息或版本的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetBatchInference	授予检索批量推理请求详细信息的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetEnvironment	授予检索托管代理环境详细信息的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetFile	授予从工作区检索文件或其内容的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetMemoryStore	授予检索内存存储、内存或内存版本详细信息的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetModel	授予检索有关特定模型信息的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetSession	授予检索托管代理会话的详细信息、事件或资源的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetSkill	授予检索技能或其版本详细信息的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetUserProfile	授予检索用户个人资料详细信息的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetVault	授予检索凭证库或其证书详细信息的权限	读取	workspace*	aws:ResourceTag/${TagKey}
GetWorkspace	授予检索工作空间详细信息的权限	读取	workspace*	aws:ResourceTag/${TagKey}
ListAgents	授予在工作区中列出托管代理的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListBatchInferences	授予在工作空间中列出批量推理请求的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListEnvironments	授予列出工作空间中托管代理环境的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListFiles	授予列出工作区中文件的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListMemoryStores	授予列出工作区中托管代理内存存储的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListModels	授予列出工作区中可用模型的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListSessions	授予在工作区中列出托管代理会话的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListSkills	授予在工作空间中列出技能的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListTagsForResource	授予权限以列出资源的标签	读取	workspace	aws:ResourceTag/${TagKey}
ListUserProfiles	授予在工作区中列出用户个人资料的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListVaults	授予在工作空间中列出托管代理凭据存储库的权限	列表	workspace*	aws:ResourceTag/${TagKey}
ListWorkspaces	授予列出组织中工作空间的权限	列表
TagResource	授予权限以标记资源	Tagging	workspace	aws:ResourceTag/${TagKey}
TagResource	授予权限以标记资源	Tagging		aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	授予权限以取消标记资源	标签	workspace	aws:ResourceTag/${TagKey}
UntagResource	授予权限以取消标记资源	标签		aws:TagKeys
UpdateAgent	授予更新托管代理的权限	写入	workspace*	aws:ResourceTag/${TagKey}
UpdateEnvironment	授予更新托管代理环境的权限	写入	workspace*	aws:ResourceTag/${TagKey}
UpdateMemoryStore	授予更新内存存储、改变其内存或编辑内存版本的权限	写入	workspace*	aws:ResourceTag/${TagKey}
UpdateSession	授予更新托管代理会话、追加会话事件或管理其资源的权限	写入	workspace*	aws:ResourceTag/${TagKey}
UpdateSkill	授予创建或删除技能版本的权限	写入	workspace*	aws:ResourceTag/${TagKey}
UpdateUserProfile	授予在工作区中更新用户个人资料的权限	写入	workspace*	aws:ResourceTag/${TagKey}
UpdateVault	授予更新凭据库或管理其存储的凭证的权限	写入	workspace*	aws:ResourceTag/${TagKey}
UpdateWorkspace	授予权限以更新工作区	写入	workspace*	aws:ResourceTag/${TagKey}

由 Claude 平台在上定义的资源类型 AWS

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
workspace	`arn:${Partition}:aws-external-anthropic:${Region}:${Account}:workspace/${ResourceId}`	aws:ResourceTag/${TagKey}

开启 Claude 平台的条件密钥 AWS

Claude Platform on AWS 定义了以下可用于 IAM 策略Condition元素的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅 AWS 全局条件上下文键。

条件键	描述	Type
aws-external-anthropic:BearerTokenType	按 Short-term 或 Long-term 持有者令牌筛选访问权限	字符串
aws-external-anthropic:CalledViaConsole	使用 Claude 平台控制台筛选访问权限	布尔型
aws-external-anthropic:Capability	按用于控制台会话的 Claude 平台角色筛选访问权限	字符串
aws:RequestTag/${TagKey}	按请求中传递的标签筛选访问权限	字符串
aws:ResourceTag/${TagKey}	按与资源关联的标签筛选访问权限	字符串
aws:TagKeys	按请求中传递的标签键筛选访问权限	ArrayOfString

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

Amazon Chime

AWS 干净的房间