在亚马逊云科技 Bedrock 上通过单区域 Claude Code 强制数据驻留

一家总部位于美国的全球组织要求 AWS 让他们的工程师使用 Claude Code，同时确保所有 Amazon Bedrock 模型推理（提示、完成、中间处理）都保持在单个 AWS 区域内，特别是伦敦（eu-west-2）。AWS 首先尝试了 Amazon Bedrock 上的 Anthropic Mantle 端点，但遇到了限制，因此他们回退到了经典的 Amazon Bedrock Invoke API，并使用应用程序推理配置文件，外加 IAM 区域条件。这篇文章描述了两条路径：路径 1 使用带有 Mantle 的 Claude Code（设置 CLAUDE_CODE_USE_MANTLE=1），在七个区域（爱尔兰、斯德哥尔摩、东京、墨尔本、美国东部弗吉尼亚北部、美国东部俄亥俄、美国西部俄勒冈）中通过 AWS_REGION 实现原生单区域路由，但在伦敦不起作用。路径 2 使用经典的 Amazon Bedrock（设置 CLAUDE_CODE_USE_BEDROCK=1）和应用程序推理配置文件；这是伦敦的唯一选择，因为 Mantle 在那里不提供区域内路由。在伦敦，经典 Bedrock 的区域内支持仅限于 Claude Opus 4.6 和 Sonnet 4.6。IAM 策略包含一个 aws:RequestedRegion 条件，以将对目标区域的调用进行限制。验证涉及检查 CloudTrail 事件：路径 2 在 bedrock.amazonaws.com 下记录 InvokeModel，路径 1 在 bedrock-mantle.amazonaws.com 下记录 CreateInference；每个事件的 awsRegion 必须与目标区域匹配，并且对其他区域的查询必须返回零。帖子指出，对于大多数工作负载，跨区域推理是默认的，但单区域是针对特定合规要求的。清理涉及通过 AWS CLI 删除应用程序推理配置文件。