Claude Code met Amazon Bedrock: Setup, IAM en Kostenbeheersing

Waarom Claude Code uitvoeren op Amazon Bedrock

Voor de meeste individuele ontwikkelaars is het verwijzen van Claude Code naar de API van Anthropic of een abonnement de eenvoudigste weg. Ondernemingen op AWS kiezen vaak voor Bedrock om redenen die niets te maken hebben met het model en alles met waar het draait:

• Dataresidentie en contracten. Inferentie vindt plaats in uw AWS-account, in een door u gekozen regio, onder de overeenkomst en gegevensverwerkingsvoorwaarden die u al heeft met AWS.
• Gecentraliseerde facturering. De uitgaven voor Claude Code komen op dezelfde AWS-factuur te staan als de rest van uw platform, in plaats van op een afzonderlijke rekening van Anthropic.
• Bestaande guardrails. Uw VPC, logging en IAM-model omvatten Bedrock al, waardoor de agent de beveiligingen overneemt die u al heeft gebouwd. Zie voor de afwegingen van het platform zelf onze eerlijke review van Amazon Bedrock.

De keerzijde is dat de verantwoording per ontwikkelaar die Anthropic in zijn eigen abonnementen inbouwt, stopt bij de AWS-grens. Alles hieronder gaat over het behouden van de platformvoordelen zonder die zichtbaarheid te verliezen.

Claude Code instellen voor Bedrock

Claude Code communiceert met Bedrock via de standaard AWS credential chain — er is geen afzonderlijke API-sleutel om te distribueren. U wisselt van backend met omgevingsvariabelen en laat de AWS SDK credentials op de normale manier afhandelen (een SSO-profiel, een instance role of een gefedereerde sessie):

Omdat authenticatie gewoon AWS-credentials betreft, volgt de toegang uw identity provider en sessies met een korte levensduur in plaats van een langdurige token in een configuratiebestand — wat al een aanzienlijke beveiligingswinst is ten opzichte van een gedeelde API-sleutel. Als u variabelen liever niet handmatig instelt, bevat de CLI ook een interactieve wizard: voer claude uit, kies de optie third-party-platform en vervolgens Amazon Bedrock, of voer /setup-bedrock uit vanuit een bestaande sessie. De wizard detecteert uw AWS-profiel, vraagt om een regio, controleert welke Claude-modellen uw account daadwerkelijk kan aanroepen en schrijft het resultaat in uw instellingenbestand — handig voor een laptop, terwijl de expliciete variabelen hierboven beter zijn voor CI en geautomatiseerde uitrol naar grote fleets.

Een paar variabelen omvatten de gehele configuratie. Dit zijn de variabelen die de moeite waard zijn om te kennen voor een uitrol:

Eén bepaald gedrag verrast teams vaak: als u geen primair model vastzet, verwijst de opus-alias naar de huidige standaard Opus-tier — waardoor u stilzwijgend het Opus-tarief gefactureerd krijgt voor alledaagse programmering die Sonnet zou afhandelen tegen ongeveer een vijfde van de outputkosten. Zet ANTHROPIC_MODEL vast op een Sonnet-ID en bewaar Opus voor het werk dat het echt nodig heeft. Zie voor de vergelijking tussen de tiers de Opus, Sonnet en Haiku routing guide.

Het IAM-model: least privilege voor een agent

Claude Code op Bedrock heeft erg weinig nodig — de mogelijkheid om specifieke modellen aan te roepen, meer niet. Beperk het beleid tot de exacte model- en inference-profile-ARN's die uw team mag gebruiken, in de regio's waar u actief bent, en houd streaming- en niet-streaming-aanroepen bij elkaar.

De onderstaande tabel toont het minimale wat een agent moet bezitten, en de machtigingen die nooit mogen worden verleend.

De ARN-lijst is een modelbeleid: beperk deze tot Sonnet en Haiku, en een ontwikkelaar kan niet stilzwijgend de hele dag Opus uitvoeren. Dat is kostenbeheersing afgedwongen in IAM in plaats van gevraagd via een wiki. Twee praktische opmerkingen: huidige Claude-tiers worden aangeroepen via cross-region inference profiles, dus uw resourcelijst heeft meestal de inference-profile-ARN's nodig naast de kale foundation-model-ARN's. Daarnaast vereist de eerste aanroep in een account mogelijk een eenmalig Bedrock Marketplace-abonnement — beperk een dergelijke machtiging met een voorwaarde, zodat deze alleen via Bedrock kan worden aangeroepen. Een schoon patroon is een toegewezen AWS-account voor Claude Code, wat zowel de kostenregel als de toegangsgrens eenvoudig maakt om over na te denken.

Een regio en model-ID kiezen

Voordat dit allemaal werkt, moet iemand de Claude-modellen inschakelen in de account. In de Amazon Bedrock-console opent u de modelcatalogus, selecteert u de gewenste Anthropic-modellen en dient u het korte use-case-formulier eenmalig per account in; toegang wordt onmiddellijk verleend. Met AWS Organizations kunt u het eenmalig indienen vanuit de management-account en de goedkeuring laten doorstromen naar subaccounts, zodat een platformteam modellen in een enkele stap fleet-breed kan inschakelen.

Regio- en modelbeschikbaarheid zijn aan elkaar gekoppeld, en dit is waar een uitrol het vaakst vastloopt. Een model-ID die geldig is in de ene regio bestaat mogelijk niet in een andere, en de meeste huidige Claude-tiers worden geleverd via cross-region inference profiles in plaats van als gewone on-demand foundation models. Die profile-ID's bevatten een regioprefix, en Claude Code kiest de prefix op basis van de regio waar u naar verwijst:

Claude Code bepaalt de regio in een vaste volgorde — eerst AWS_REGION, daarna AWS_DEFAULT_REGION, vervolgens de regio op je actieve AWS-profiel en tenslotte een ingebouwde fallback — dus stel AWS_REGION expliciet in bij een uitrol over je hele vloot, in plaats van te vertrouwen op wat het profiel van elke laptop toevallig bevat. Een veelvoorkomende fout, "on-demand throughput isn't supported", betekent bijna altijd dat je een kaal foundation-model-ID hebt vastgepind dat de regio alleen via een profiel ondersteunt: pin in plaats daarvan het inference-profile-ID (de vorm met voorvoegsel). Controleer de beschikbaarheid in de exacte regio die je wilt vastpinnen vóór een vlootbrede uitrol — het inschakelen van een model in één regio schakelt het niet overal in.

De kloof in kosteninzicht

Dit is het gedeelte dat teams ontdekken na de uitrol. Op Bedrock wordt Claude Code per token gefactureerd aan je AWS-account, en Anthropic ziet dat verkeer niet — dus de analysedashboards en de Claude Code Analytics API die werken op abonnementen en Console-plannen dekken het Bedrock-gebruik totaal niet. Cost Explorer toont je een Bedrock-regelitem, maar niet welke ontwikkelaar, welke repository of welk model het heeft veroorzaakt.

Dus op Bedrock heb je precies twee manieren om uitgaven per ontwikkelaar toe te wijzen: exporteer OpenTelemetry-metrieken vanaf elke machine naar je eigen observability-stack, of leid het verkeer via een AI gateway die elke aanvraag per sleutel meet. De eerste instrumenteert eindpunten; de tweede geeft je ook een controlepunt. Het verschil is belangrijk: toewijzing zonder controlepunt vertelt je wie te veel heeft uitgegeven, maar kan het niet stoppen, terwijl een gateway elke aanvraag herleidt tot een persoon en de aanvraag kan weigeren die een budget zou overschrijden. Voor een diepgaandere behandeling van de boekhouding zelf, zie Claude observability and token accounting.

Wil je Claude Code-uitgaven per ontwikkelaar bovenop Bedrock — in plaats van één ondoorzichtige Cost Explorer-regel?

TrueFoundry AI Gateway

Kostenbeheersing bij de gateway, bovenop Bedrock

Het routeren van op Bedrock gebaseerde Claude Code via de TrueFoundry AI Gateway houdt de inference in je AWS-account, terwijl de laag wordt toegevoegd die Bedrock niet biedt:

• Toewijzing per ontwikkelaar — elke aanvraag wordt herleid tot een persoon, zodat uitgavenrapporten en snelheidslimieten betekenis hebben, zoals in cost tracking for Claude Code.
• Modelbeleid — beperk welke Bedrock-modellen een ontwikkelaar kan bereiken, waardoor de IAM ARN-lijst vanaf de applicatiezijde wordt versterkt, zodat de twee lagen elkaar ondersteunen.
• Uitgavenlimieten die gelden per ontwikkelaar of team en standhouden zonder hun medewerking — een harde stop, geen waarschuwing op een dashboard.
• Één kostenoverzicht over Bedrock, andere providers en andere coderingstools heen — één dashboard in plaats van vier.

De gateway bevindt zich in het aanvraagpad, dus overhead is een terechte vraag: in de praktijk voegt het een latentie van enkele milliseconden per aanroep toe en spreekt het OpenTelemetry, waarmee de traces worden gevoed die je platformteam al in de gaten houdt. Omdat Claude Code het bereikt via een endpoint override, is het richten van een vloot op de gateway een configuratiewijziging, geen herschrijving. Voor de governancezijde — gebruiksbeleid, goedkeuringen en audit — zie Claude Code governance with an AI gateway.

Een uitgewerkt voorbeeld

Vijftig engineers, Claude Code op Bedrock in eu-west-1, data moet binnen de regio blijven. Het platformteam levert een IAM-beleid dat InvokeModel alleen toestaat op Sonnet 5.5- en Haiku 5.5-ARN's, dus Opus is simpelweg onbereikbaar. Ze richten Claude Code op de gateway, die doorstuur naar Bedrock onder hetzelfde account, en stellen een maandelijks uitgavenlimiet per ontwikkelaar in. Twee weken later toont Cost Explorer één Bedrock-getal — maar het gateway-dashboard toont dat getal opgesplitst per ontwikkelaar en model, en markeert de drie engineers die de helft van de uitgaven veroorzaken. Zelfde inference, hetzelfde account; het verschil is toewijzing.

De eerlijke grens: de gateway beheert de modelkeuze, toewijzing en uitgaven. Het verandert de tarieven per token van Bedrock niet — zie AWS Bedrock pricing explained — het zorgt er alleen voor dat je kunt zien en sturen waar die tarieven worden betaald. Als het getal zelf de verrassing is, is de knop om aan te draaien het routeren van goedkopere klassen en meer caching, niet de gateway.

Aandachtspunten om te weten

• De analyses van Anthropic dekken Bedrock niet. Als een leidinggevende vraagt om Claude Code-uitgaven per ontwikkelaar en je gebruikt Bedrock, dan bevatten de native dashboards deze niet — plan vanaf dag één voor OpenTelemetry of een gateway.
• De levensduur van de cache is korter zonder abonnement. De TTL van de prompt-cache is ongeveer vijf minuten op Bedrock en de API, vergeleken met één uur bij een abonnement, dus het opnieuw lezen van een koude cache kost vaker geld — houd sessies gefocust. Bedrock kan om een TTL van één uur worden gevraagd, maar factureert tegen een hoger tarief, dus beschouw het als een bewuste keuze, niet als een standaard.
• Wildcard IAM doet het doelietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietietiet op teniet. bedrock:* of een open ARN-lijst maakt van je modelbeleid een suggestie. Pin de ARN's.
• Regio- en modelbeschikbaarheid variëren. Een model-ID dat geldig is in de ene regio bestaat mogelijk niet in een andere; controleer de beschikbaarheid in de regio die je vastpind vóór een vlootbrede uitrol en verwacht inference-profile-ID's te gebruiken in plaats van kale model-ID's voor huidige klassen.
• Een paar functies verschillen op Bedrock. De ingebouwde webzoek-tool is niet beschikbaar via Bedrock, en /logout is verdwenen omdat de authenticatie wordt afgehandeld door AWS-credentials — klein, maar goed om te weten voordat iemand het als een bug meldt.
• Credentials vereisen nog steeds hygiëne. KORTE SSO-sessies zijn het doel; langdurige toegangssleutels in een shell-profiel herintroduceren precies het probleem dat het IAM-model van Bedrock vermijdt.

Problemen met Claude Code op Bedrock oplossen

De meeste mislukte Bedrock-uitrollen vallen in een handvol categorieën, en bijna allemaal zijn ze het gevolg van een verkeerde combinatie van regio, model-ID of IAM, eerder dan van iets in Claude Code zelf.

Het patroon in de tabel: pin expliciete model- en regiowaarden, beperk IAM tot precies die ARN's, en zorg ervoor dat alles tussen Claude Code en Bedrock de respons ongewijzigd doorgooit. Krijg die drie goed en de meeste "het verbindt niet"-tickets worden nooit ingediend.

Gerelateerde artikelen

• Cost Tracking Claude Code with the TrueFoundry AI Gateway — toewijzing per ontwikkelaar in de praktijk
• Centralising Cost Control for AI Coding IDEs — één kostenoverzicht voor verschillende tools en providers
• Claude Code Pricing Explained — plannen, tokenkosten en hoe je uitgaven kunt verlagen
• AWS Bedrock Pricing Explained — wat Bedrock-inference werkelijk kost
• Our Honest Review of Amazon Bedrock — de sterke punten en ruwe randjes van het platform

Conclusie

Het uitvoeren van Claude Code met Amazon Bedrock is het eenvoudige gedeelte: drie omgevingsvariabelen en je bestaande AWS-credentials. De helft die bepaalt of het daadwerkelijk wordt beheerd, zit eronder — een IAM-beleid dat is afgestemd op goedgekeurde model-ARN's, de juiste regio en inference-profile-ID's vastgepind, en een plan voor de zichtbaarheid per ontwikkelaar die Bedrock, door zijn ontwerp, niet biedt. Dat zijn configuratiekeuzes, elk met een commando dat je kunt uitvoeren om ze te controleren.

Houd inference in uw eigen account met Bedrock; voeg attributie, modelbeleid en uitgavenlimieten toe met een gateway erbovenop. Dat is het verschil tussen een Bedrock-post die u niet kunt verklaren en een Claude Code-vloot die u daadwerkelijk kunt verantwoorden.

Plaats door Bedrock ondersteunde Claude Code achter één control plane.

Boek een demo