AWS détaille le déploiement de Claude Code sur Amazon Bedrock dans GovCloud (US)

Amazon Web Services a publié les directives sur son blog d’apprentissage automatique le 5 octobre 2026, détaillant comment les organisations soumises à des exigences réglementaires ou de conformité, y compris le International Traffic in Arms Regulations (ITAR), peuvent exécuter Claude Code d’Anthropic avec Claude Opus 5.5 et Claude Sonnet 5.5 sur Amazon Bedrock dans les régions AWS GovCloud (US).

Selon l’article, Claude Opus 5.5 et Claude Sonnet 5.5 sont certifiés FedRAMP Class D (anciennement High) sur Amazon Bedrock, tandis que Claude Sonnet 5 possède la certification FedRAMP Class D ainsi que l’autorisation DoD Impact Level 4 et 5 (IL4/IL5). Bedrock dans GovCloud (US) propose des voies d’autorisation FedRAMP Class D et DoD Cloud Service Provider SRG IL4/IL5, et sa protection des données intégrée signifie que le contenu du client n’est ni stocké, ni journalisé, ni utilisé pour entraîner les modèles AWS, ni partagé avec des tiers.

Claude Opus 5.5 est devenu disponible sur AWS GovCloud (US) le 22 septembre 2026, selon une annonce AWS, et Claude Sonnet 5.5 a suivi le 28 septembre 2026. Dans l’annonce Opus, AWS a indiqué que le modèle est proposé sur Amazon Bedrock avec un support de rétention de données nulle par défaut et une résidence des données régionale.

Deux surfaces d’endpoint Bedrock

Amazon Bedrock dans AWS GovCloud (US) prend en charge deux surfaces d’endpoint, bedrock-runtime et bedrock-mantle, toutes deux alimentées par le même moteur d’inférence Mantle avec une architecture Zero Operator Access. L’endpoint bedrock-runtime utilise le SDK AWS via les API InvokeModel et Converse et prend en charge Amazon Bedrock Guardrails, les bases de connaissances, les agents et la journalisation des invocations ; AWS le recommande pour la plupart des nouvelles applications, en particulier celles nécessitant des pistes d’audit.

L’endpoint bedrock-mantle prend en charge nativement l’Anthropic Messages API, avec des capacités exclusives à cette surface, telles que les outils côté serveur, l’inférence en arrière-plan et les projets. L’endpoint bedrock-runtime est disponible dans les deux régions GovCloud (US-West et US-East), tandis que bedrock-mantle n’est disponible que dans AWS GovCloud (US-West). Les garde-fous et la journalisation des invocations sont exclusifs à bedrock-runtime, de sorte que l’article oriente les déploiements nécessitant des pistes d’audit complètes et un filtrage de contenu vers cet endpoint.

Ce que fait Claude Code

Claude Code est l’outil de codage agentique d’Anthropic qui lit une base de code, modifie des fichiers, exécute des commandes et s’intègre aux outils de développement. Il fonctionne dans le terminal, dans les environnements de développement intégrés tels que VS Code et JetBrains, ainsi qu’en arrière-plan via le Claude Agent SDK.

AWS répertorie des capacités qui incluent l’écriture de code et la correction de bugs sur plusieurs fichiers, l’exécution et la correction de tests et de linting, la recherche dans l’historique Git, la résolution de conflits de fusion, ainsi que la création de commits et de pull requests. L’outil se connecte à des outils externes et à des sources de données via le Model Context Protocol, incluant l’AWS Command Line Interface, Terraform et Kubernetes, et peut générer des sous‑agents qui travaillent simultanément sur différentes parties d’une tâche. Le comportement peut être personnalisé avec des fichiers mémoire CLAUDE.md, des compétences et des hooks, et les tâches récurrentes peuvent être automatisées via une intégration CI/CD avec GitHub Actions ou GitLab CI/CD.

Configuration et mise en place

Les prérequis comprennent un compte AWS GovCloud (US) avec accès à Amazon Bedrock ; des permissions IAM incluant au minimum bedrock:InvokeModel, bedrock:InvokeModelWithResponseStream, bedrock:ListInferenceProfiles et bedrock:GetInferenceProfile pour bedrock-runtime, ainsi que les actions bedrock-mantle ou la politique gérée AmazonBedrockMantleInferenceAccess pour l’endpoint Mantle ; l’accès aux modèles Claude Opus 5.5, Claude Sonnet 5.5 et Claude Sonnet 5 activés dans le compte ; et le CLI AWS configuré avec des identifiants temporaires ou AWS SSO.

Le post décrit trois chemins de configuration, étiquetés A à C. Option A utilise l’assistant de connexion interactif de Claude Code : sélectionner une plateforme tierce, puis Amazon Bedrock, choisir la région us-gov-west-1 et épingler les modèles ; les installations préalablement configurées peuvent rouvrir l’assistant avec /setup-bedrock. Option B définit des variables d’environnement : CLAUDECODEUSEBEDROCK=1, AWSREGION définie sur us-gov-west-1, et ANTHROPICMODEL pointant vers des identifiants de modèle préfixés par us-gov., tels que us-gov.anthropic.claude-sonnet-5-5 ou us-gov.anthropic.claude-opus-5-5. Option C fait passer Claude Code par Mantle avec CLAUDECODEUSEMANTLE=1, et les indicateurs Bedrock et Mantle peuvent être combinés dans une même session. Exécuter /status vérifie la configuration ; la ligne du fournisseur indique Amazon Bedrock ou Amazon Bedrock (Mantle).

Déploiement d’entreprise et contrôles de coûts

Avec Claude Code désormais généralement disponible, AWS recommande de gérer l’identité et l’accès via AWS IAM Identity Center avec des identifiants temporaires basés sur des rôles plutôt que des clés d’accès statiques, d’automatiser les variables d’environnement par défaut ou de gérer les fichiers de paramètres de façon centralisée, et de mettre en œuvre ses directives pour Claude Code avec Amazon Bedrock pour les déploiements d’entreprise à grande échelle. AWS conseille également de revoir les quotas de service Bedrock concernant les jetons par minute et les requêtes par minute en fonction du nombre de développeurs actifs.

AWS recommande d’épingler les versions de modèle parce que les alias non épinglés tels que sonnet et opus renvoient aux valeurs par défaut intégrées de Claude Code, qui peuvent changer d’une version à l’autre. Claude Code utilise Claude Opus 5.5 comme modèle principal, de sorte qu’un déploiement non épinglé est facturé au tarif par jeton d’Opus, que l’article indique être supérieur à celui de Claude Sonnet 5.5. Pour la gouvernance des coûts, AWS indique des garde-fous de jetons par utilisateur imposant des limites quotidiennes avec des alertes à 80 % et 100 % des seuils, basés sur la journalisation des invocations CloudWatch, Lambda et DynamoDB, ainsi que la mise en cache des invites avec des options de TTL de 5 minutes et 1 heure pour les modèles pris en charge.

AWS suggère de définir par défaut les équipes sur Claude Sonnet 5.5 et de réserver Claude Opus 5.5 pour les tâches nécessitant un raisonnement plus approfondi ou des exécutions autonomes plus longues, tandis que les charges de travail nécessitant une autorisation IL4/IL5 devraient par défaut utiliser Claude Sonnet 5, que l’article décrit comme offrant la couverture de conformité la plus forte pour les environnements sensibles. Il caractérise Claude Sonnet 5.5 comme une amélioration par rapport à Claude Sonnet 5 en matière de codage et de travail de connaissance, à un coût par tâche inférieur. Selon Anthropic, comme indiqué dans les dossiers AWS, Claude Opus 5.5 accomplit les tâches en utilisant moins de jetons que Claude Opus 5 à un prix par jeton plus bas.

En matière de sécurité, AWS recommande de réaliser une évaluation approfondie avant le déploiement : Amazon Bedrock sécurise la couche d’inférence, mais Claude Code s’exécute sur les machines locales des développeurs et nécessite une évaluation et une gestion des risques distinctes. L’article conseille d’appliquer des contrôles tels que des autorisations gérées, la journalisation des invocations et des limites de jetons par utilisateur, comme on le ferait pour d’autres logiciels tiers dans son environnement.