OWN NEWS GATHER
← 戻る
AWS ML Blog

AWS、企業向け「Claude apps gateway」の本番環境向けリファレンス構成を公開　認証やコストの一元管理を実現

要点

  • AWSは2026年8月11日、企業向けに「Claude apps gateway」をデプロイするための本番リファレンスアーキテクチャを公式ブログで公開した。

  • 本ゲートウェイは、「Claude Code」や「Claude Desktop」と「Amazon Bedrock」等の間に配置され、認証やモデルアクセス、コスト管理を一元化する。

  • ゲートウェイは既存のClaude Code CLIバイナリに含まれており、AWS FargateやEKS、EC2上でセルフホスト可能なステートレスコンテナとして動作する。

  • 認証状態や利用上限カウンターをAmazon RDS for PostgreSQLで管理することで、ロードバランサーのスティッキーセッションを不要にしている。

  • アップストリームの認証情報を開発者の端末に配布せず、IAMロールやAWS Secrets Managerで一括管理するセキュリティ構成を採用している。

  • 米Amazon Web Services（AWS）は2026年8月11日、公式ブログ「AWS ML Blog」において、企業環境で「Claude apps gateway」を運用するための本番向けリファレンスデプロイ構成を公開した。組織全体でAIツールを展開する管理者に向け、認証制御や支出管理をセルフホスト型レイヤーで集中管理する具体的なアーキテクチャが示されている。

企業におけるClaude導入のガバナンス課題とゲートウェイの役割

組織内の従業員に向けて「Claude Code」や「Claude Desktop」といったツールを展開する際、AIシステムの管理者には認証、モデルへのアクセス制御、部門やユーザーごとのコスト帰属、さらには利用支出の上限適用などを一元的に管理することが求められる。こうした集中制御の仕組みを用意することで、運用上の負担を軽減しながら、大規模な利用環境でも一貫したガバナンスを適用できるようになるという。

これに対し「Claude apps gateway」は、ユーザーが利用する各クライアントアプリケーションと、基盤となる「Amazon Bedrock」または「Claude Platform on AWS」との間に配置される、セルフホスト型のガバナンスレイヤーとして機能する。今回の発表は先日の提供開始を受けたもので、エンドツーエンドの構成、エンタープライズ向けのデプロイパターン、コスト、実装リソースを網羅した実践的な構成例として提示された。

CLIと共通バイナリで動作するコンピュート構成

Claude apps gatewayの大きな特徴の一つは、開発者がすでに利用している「Claude Code CLI」と同じバイナリに含まれている点である。起動時に claude gateway --config gateway.yaml を実行することでサーバーモードとして動作し、起動時に指定されたYAML設定ファイルを読み込む仕組みとなっている。

今回示されたリファレンス構成では、仮想プライベートネットワークであるVPC（Virtual Private Cloud）内の「AWS Fargate」上でコンテナを稼働させる形態が基本とされている。ただし、既存のシステム構成や運用方針に合わせて「Amazon Elastic Kubernetes Service（EKS）」や「Amazon Elastic Compute Cloud（EC2）」上で同一のコンテナイメージを実行することも可能であると説明されている。

データベースを活用したステートレス設計と負荷分散

システムの計算リソースおよび状態管理において、AWS Fargateの各タスクは1つのステートレスなゲートウェイコンテナを実行する。短期間のサインイン状態（デバイスコードやセッション情報など）は、マネージドリレーショナルデータベースである「Amazon RDS for PostgreSQL」に保存される設計だ。

支出上限（spend limits）を有効化した場合、ユーザーごとの支出カウンターや監査記録も同じくデータベースに保持される。認証情報や利用状態をタスク内部ではなくデータベース側に集約することで、ロードバランサー側で特定サーバーに通信を固定するスティッキーセッションが不要となり、どのタスクでも任意のリクエストを均等に処理できるようになっている。

プライベート接続と安全な認証情報管理

ネットワークインフラの面では、内部向けの「Application Load Balancer（ALB）」が配置され、「AWS Certificate Manager」から発行された証明書を用いて暗号化通信（TLS）を終端する。社内からの通信経路については、「Amazon Route 53」のプライベートホストゾーンを利用してゲートウェイのドメイン名をプライベートIPアドレスに解決し、VPNや「AWS Direct Connect」などを通じたセキュアな閉域網経由でアクセスさせる構成となっている。

また、サポートされているAWSサービス宛てのトラフィックはVPCエンドポイントを経由してプライベートに維持され、その他の外部通信にはNATゲートウェイが用いられる。

セキュリティ面では、Amazon Bedrockへの認証にゲートウェイタスクへ割り当てられたIAMロールが使用される。さらに、Claude Platform on AWSのAPIキーをはじめとする静的な認証情報は「AWS Secrets Manager」に保管され、開発者のローカル端末には上位サービスの認証情報が一切配布されない仕組みとなっている。

運用時のロードバランサー設定における注意点

運用上の注意点として、ロードバランサーのアイドルタイムアウト値（デフォルトは60秒）の適切な調整が挙げられている。データが流れない時間が設定されたタイムアウト値を超えるとロードバランサーによって接続が切断されるため、応答までに時間がかかる非ストリーミングのレスポンスや、ストリーミング出力のチャンク間で生じる休止時間の双方を考慮し、想定される最長の間隔を上回る長さに設定する必要があると注意を促している。

元URL