AWS-Details zur Claude Code-Bereitstellung auf Amazon Bedrock in GovCloud (US)

Amazon Web Services veröffentlichte Leitfaden in seinem Machine Learning Blog am 5. Oktober 2026 und erläuterte, wie Organisationen mit regulatorischen oder Compliance‑Anforderungen, einschließlich der International Traffic in Arms Regulations (ITAR), Anthropic’s Claude Code mit Claude Opus 5.5 und Claude Sonnet 5.5 auf Amazon Bedrock in den AWS GovCloud (US)-Regionen ausführen können.

Laut dem Beitrag besitzen Claude Opus 5.5 und Claude Sonnet 5.5 die FedRAMP Class D (früher High) Zertifizierung auf Amazon Bedrock, während Claude Sonnet 5 die FedRAMP Class D Zertifizierung sowie die DoD Impact Level 4 und 5 (IL4/IL5) Autorisierung besitzt. Bedrock in GovCloud (US) bietet FedRAMP Class D und DoD Cloud Service Provider SRG IL4/IL5 Autorisierungspfade, und sein integrierter Datenschutz bedeutet, dass Kundeninhalte nicht gespeichert, protokolliert, zum Trainieren von AWS‑Modellen verwendet oder an Dritte weitergegeben werden.

Claude Opus 5.5 wurde am 22. September 2026 in AWS GovCloud (US) verfügbar, laut einer AWS-Ankündigung, und Claude Sonnet 5.5 folgte am 28. September 2026. In der Opus‑Ankündigung erklärte AWS, dass das Modell standardmäßig auf Amazon Bedrock mit keiner Datenaufbewahrung und regionaler Datenresidenz angeboten wird.

Zwei Bedrock-Endpunkt-Oberflächen

Amazon Bedrock in AWS GovCloud (US) unterstützt zwei Endpunkt-Oberflächen, bedrock-runtime und bedrock-mantle, die beide von derselben Mantle-Inferenz-Engine mit einer Zero Operator Access‑Architektur betrieben werden. Der bedrock-runtime‑Endpunkt nutzt das AWS SDK über die InvokeModel‑ und Converse‑APIs und unterstützt Amazon Bedrock Guardrails, Wissensbasen, Agents und Aufrufprotokollierung; AWS empfiehlt ihn für die meisten neuen Anwendungen, insbesondere solche, die Prüfpfade benötigen.

Der bedrock-mantle‑Endpunkt unterstützt die Anthropic Messages API nativ und bietet Funktionen, die ausschließlich dieser Oberfläche vorbehalten sind, wie serverseitige Werkzeuge, Hintergrundinferenz und Projekte. Der bedrock-runtime‑Endpunkt ist in beiden GovCloud‑Regionen (US‑West und US‑East) verfügbar, während bedrock-mantle nur in AWS GovCloud (US‑West) angeboten wird. Guardrails und Aufrufprotokollierung sind ausschließlich für bedrock-runtime verfügbar, sodass der Beitrag Deployments, die umfassende Prüfpfade und Inhaltsfilterung benötigen, zu diesem Endpunkt leitet.

Was Claude Code kann

Claude Code ist Anthropics agentenbasiertes Codierungswerkzeug, das einen Codebestand liest, Dateien bearbeitet, Befehle ausführt und sich in Entwicklungstools integriert. Es arbeitet im Terminal, in integrierten Entwicklungsumgebungen wie VS Code und JetBrains sowie im Hintergrund über das Claude Agent SDK.

AWS führt Funktionen auf, zu denen das Schreiben von Code und das Beheben von Fehlern in mehreren Dateien, das Ausführen und Korrigieren von Tests und Linting, das Durchsuchen der Git‑Historie, das Auflösen von Merge‑Konflikten sowie das Erstellen von Commits und Pull Requests gehören. Das Werkzeug verbindet sich über das Model Context Protocol mit externen Tools und Datenquellen, darunter die AWS Command Line Interface, Terraform und Kubernetes, und kann Unter‑Agents erzeugen, die gleichzeitig an verschiedenen Teilen einer Aufgabe arbeiten. Das Verhalten lässt sich mit CLAUDE.md‑Speicherdateien, Skills und Hooks anpassen, und wiederkehrende Aufgaben können durch CI/CD‑Integration mit GitHub Actions oder GitLab CI/CD automatisiert werden.

Einrichtung und Konfiguration

Voraussetzungen sind ein AWS GovCloud (US)-Konto mit Amazon Bedrock‑Zugriff; IAM‑Berechtigungen, die mindestens bedrock:InvokeModel, bedrock:InvokeModelWithResponseStream, bedrock:ListInferenceProfiles und bedrock:GetInferenceProfile für bedrock-runtime umfassen, sowie bedrock-mantle‑Aktionen oder die verwaltete Richtlinie AmazonBedrockMantleInferenceAccess für den Mantle‑Endpunkt; Modellzugriff auf Claude Opus 5.5, Claude Sonnet 5.5 und Claude Sonnet 5, die im Konto aktiviert sein müssen; und die AWS‑CLI, die mit Kurzzeit‑Anmeldeinformationen oder AWS SSO konfiguriert ist.

Der Beitrag dokumentiert drei Konfigurationspfade, bezeichnet mit A bis C. Option A verwendet den interaktiven Anmeldeassistenten von Claude Code: Wählen Sie eine Drittanbieterplattform, dann Amazon Bedrock, wählen Sie die Region us-gov-west-1 und pinnen Sie Modelle; zuvor konfigurierte Installationen können den Assistenten mit /setup-bedrock erneut öffnen. Option B setzt Umgebungsvariablen: CLAUDECODEUSEBEDROCK=1, AWSREGION auf us-gov-west-1 und ANTHROPICMODEL pointing to us-gov.-prefixed model IDs such as us-gov.anthropic.claude-sonnet-5-5 or us-gov.anthropic.claude-opus-5-5. Option C leitet Claude Code über Mantle mit CLAUDECODEUSEMANTLE=1, und die Bedrock‑ und Mantle‑Flags können in einer einzigen Sitzung kombiniert werden. Das Ausführen von /status überprüft die Einrichtung; die Anbieterzeile zeigt Amazon Bedrock oder Amazon Bedrock (Mantle) an.

Unternehmensbereitstellung und Kostenkontrollen

Da Claude Code nun allgemein verfügbar ist, empfiehlt AWS die Verwaltung von Identität und Zugriff über AWS IAM Identity Center mit temporären, rollenbasierten Anmeldeinformationen anstelle statischer Zugriffsschlüssel, die Automatisierung von Standard‑Umgebungsvariablen oder die zentrale Verwaltung von Einstellungsdateien sowie die Umsetzung seiner Leitlinien für Claude Code mit Amazon Bedrock für groß angelegte Unternehmensbereitstellungen. AWS rät zudem, die Bedrock‑Service‑Kontingente für Token pro Minute und Anfragen pro Minute in Bezug auf die Anzahl aktiver Entwickler zu überprüfen.

AWS empfiehlt, Modellversionen zu pinnen, weil nicht gepinnte Aliase wie sonnet und opus auf die eingebauten Standardwerte von Claude Code auflösen, die zwischen Releases ändern können. Claude Code verwendet standardmäßig Claude Opus 5.5 als primäres Modell, sodass ein nicht gepinntes Deployment zum Opus‑Preis pro Token abgerechnet wird, was laut Beitrag höher ist als bei Claude Sonnet 5.5. Für Kosten‑Governance verweist AWS auf tokenbasierte Guardrails pro Nutzer, die tägliche Limits mit Warnungen bei 80 % und 100 % Schwellenwerten durchsetzen, basierend auf CloudWatch‑Invocation‑Logging, Lambda und DynamoDB, sowie auf Prompt‑Caching mit TTL‑Optionen von 5 Minuten und 1 Stunde für unterstützte Modelle.

AWS schlägt vor, Teams standardmäßig auf Claude Sonnet 5.5 zu setzen und Claude Opus 5.5 für Aufgaben zu reservieren, die tieferes Schließen oder längere autonome Durchläufe erfordern, während Workloads, die eine IL4/IL5‑Autorisierung benötigen, standardmäßig Claude Sonnet 5 verwenden sollten, das laut Beitrag die umfassendste Compliance‑Abdeckung für sensible Umgebungen bietet. Es charakterisiert Claude Sonnet 5.5 als eine Verbesserung gegenüber Claude Sonnet 5 bei Programmierung und Wissensarbeit zu geringeren Kosten pro Aufgabe. Laut Anthropic, wie in den AWS‑Aufzeichnungen zitiert, erledigt Claude Opus 5.5 Aufgaben mit weniger Tokens als Claude Opus 5 zu einem niedrigeren Token‑Preis.

Im Hinblick auf Sicherheit empfiehlt AWS, vor der Bereitstellung eine gründliche Bewertung durchzuführen: Amazon Bedrock sichert die Inferenzschicht, aber Claude Code läuft auf lokalen Entwicklermaschinen und erfordert eine separate Bewertung und Risikomanagement. Der Beitrag rät, Kontrollen wie verwaltete Berechtigungen, Invocation‑Logging und tokenbasierte Limits pro Nutzer anzuwenden, wie man es für andere Drittanbieter‑Software in seiner Umgebung tun würde.