Claude Platform AWS: Cara Atur Akses Multi-Environment

Apa itu Claude Platform on AWS dan Kenapa Butuh Akses Multi-Environment?

Claude Platform on AWS (CPonAWS) itu cara resmi buat akses model Claude dari Anthropic langsung lewat infrastruktur AWS. Jadi nggak perlu subscription terpisah ke Anthropic — semuanya dikelola lewat akun AWS dan kebayar lewat billing AWS yang udah ada.

Masalahnya, satu perusahaan biasanya punya lebih dari satu kebutuhan akses: ada workload produksi yang jalan di server AWS, ada developer yang nyobain lokal lewat laptop, dan ada juga layanan yang jalan di luar AWS — misalnya pipeline CI/CD di GitHub Actions atau workload di Google Cloud. Masing-masing butuh cara login yang beda, tapi idealnya tetap pakai satu subscription yang sama, cuma workspace-nya dipisah biar produksi dan development nggak kecampur.

Arsitektur 3 Akun: Payer, AI Services, dan Workload Account

AWS nyaranin pola "dedicated AI Services account" — subscription CPonAWS, workspace, API key, sampai role lintas akun semuanya dipusatkan di satu akun khusus yang mereka sebut akun AI Services. Akun lain, misalnya akun workload "Prod", nggak megang subscription langsung — mereka cuma assume role ke akun AI Services buat manggil Claude.

Hasilnya ada tiga lapis akun: akun payer buat billing dan governance, akun AI Services yang nyimpen subscription dan workspace, dan satu atau lebih akun workload yang konsumsi inference lewat role lintas akun.

Dari struktur itu, AWS bikin tiga jalur akses yang beda tujuan: workload AWS pakai cross-account SigV4 (nggak nyimpen API key sama sekali), developer laptop pakai API key yang dikunci ke workspace development, dan layanan eksternal pakai OIDC federation plus token jangka pendek.

Biar lebih jelas, ini perbandingan singkatnya:

Part 1: Bikin Workspace Produksi dan Development

Langkah pertama ya subscribe akun AI Services ke CPonAWS, baru bikin dua workspace: satu namanya "production", satu "development". Tiap workspace punya ARN sendiri yang nanti dipakai buat ngatur policy IAM.

Satu hal yang perlu dicatat: workspace dibuat di region AWS tertentu, dan panggilan API-nya harus ke endpoint region yang sama. Tapi region workspace itu cuma nentuin endpoint API — bukan di mana inference-nya jalan. Lokasi inference diatur lewat setting keamanan workspace di Claude Console, pilihannya "US" atau "Global routing".

Part 2: Cross-Account SigV4 buat Workload di AWS

Buat workload yang jalan di AWS sendiri — misalnya pod di Amazon EKS — caranya pakai cross-account SigV4. Intinya, role di akun workload assume role ke role khusus di akun AI Services, dan role itu cuma dikasih akses ke workspace production.

Enaknya cara ini: nggak ada API key yang disimpan, nggak ada secret yang harus dirotasi manual. Role di akun AI Services dibikin dengan trust policy yang cuma percaya ke role tertentu dari akun workload, lalu dikasih permission policy yang nge-scope aksi CreateInference persis ke ARN workspace production. Jadi role itu nggak bisa nyentuh workspace development sama sekali, meskipun lagi assume role dari akun yang sama.

Part 3: API Key buat Developer Laptop (dan Kenapa Wajib Dikunci)

Buat developer yang mau nyobain lokal tanpa setup role lintas akun yang ribet, AWS ngasih opsi API key biasa. Generate-nya lewat halaman API Keys di Claude Console, pilih masa berlaku, terus key-nya bisa langsung dipakai lewat Anthropic SDK standar dari laptop.

Nah ini bagian pentingnya: secara default, key yang baru dibuat itu nempel ke IAM user yang punya policy AnthropicLimitedAccess — policy ini ngasih akses ke SEMUA workspace, termasuk production. Jadi kalau nggak diubah, key developer bisa aja ngutik-ngutik workspace production tanpa sengaja.

Key yang udah di-scope ini sifatnya self-authenticating — bisa dipanggil dari akun AWS mana pun, bahkan dari luar AWS sama sekali. Jadi simpan di secret manager tim, misalnya AWS Secrets Manager, biar developer tinggal ambil dari sana pas butuh.

Part 4: OIDC Federation buat Layanan di Luar AWS

Buat workload yang jalan di luar AWS — misalnya di Google Cloud Platform, cluster Kubernetes di luar AWS, atau pipeline CI/CD kayak GitHub Actions dan GitLab CI — caranya pakai OIDC federation. Identity provider eksternal ngasih token, lalu AWS STS nukar token itu jadi kredensial AWS sementara. Dari kredensial sementara itu, baru digenerate token bearer CPonAWS yang jangka pendek.

Token ini default berlaku 1 jam, bisa diatur sampai maksimal 12 jam. Begitu token-nya udah jadi, workload itu nggak butuh kredensial AWS lagi buat manggil Claude — tinggal pakai token sebagai bearer credential biasa. Buat layanan yang jalan terus-terusan, kayak container di Cloud Run, AWS nyaranin bikin mekanisme refresh token sebelum expired.

Satu detail teknis yang AWS tekankan: permission CallWithBearerToken itu harus dikasih di resource "*", nggak bisa di-scope ke workspace tertentu — kalau di-scope, semua proses generate token malah gagal total. Yang di-scope ke workspace itu justru CreateInference-nya, dan scope itu otomatis ikut kebawa ke token yang dihasilkan.

Langkah Ringkas: Cara Mulai Setup Multi-Environment Access

Kalau mau nyobain implementasi ini di organisasi kamu, urutannya kira-kira begini:

1. Siapin AWS Organizations dengan minimal tiga akun: payer, AI Services, dan workload.
2. Subscribe akun AI Services ke Claude Platform on AWS, lalu bikin workspace "production" dan "development".
3. Bikin role lintas akun di akun AI Services buat workload AWS, scope permission-nya ke workspace production aja.
4. Generate API key buat developer, lepas policy default-nya, lalu scope manual ke workspace development.
5. Setup IAM OIDC identity provider di akun AI Services buat workload eksternal kayak GCP atau CI/CD, bikin role khusus dengan trust policy OIDC.
6. Tes tiap jalur: pastikan role AWS cuma bisa akses production, API key developer cuma bisa akses development, dan token OIDC bisa dipakai tanpa nyimpen kredensial permanen.
7. Aktifin CloudTrail data events buat service aws-external-anthropic biar tiap panggilan tercatat dengan jelas siapa yang manggil.
8. Kasih tag di tiap workspace, misalnya team:payments atau environment:prod, lalu aktifin Cost Allocation Tags di Billing Console biar biaya Claude bisa ditarik per tim atau proyek.

Dampak buat Developer dan Bisnis di Indonesia

Buat tim engineering di Indonesia yang udah pakai AWS buat infrastruktur, pola ini lumayan relevan — apalagi kalau perusahaan kamu mulai punya lebih dari satu tim yang pakai Claude bareng-bareng. Isolasi workspace bikin tim finance nggak bisa tiba-tiba kena tagihan gara-gara workspace lain yang lagi testing di development.

Soal kepatuhan data, setting "Security" di workspace (US vs Global routing) ini juga penting diperhatiin kalau perusahaan kamu kena aturan UU PDP — soalnya itu yang nentuin ke mana data permintaan inference diproses, bukan cuma endpoint API-nya aja. Pastikan tim compliance kamu ngecek setting ini dulu sebelum workspace dipakai buat data sensitif pelanggan.

Dari sisi biaya, fitur cost allocation tags yang disebut AWS di bagian akhir panduan ini bisa bantu tim finance mecah biaya Claude per proyek atau per tim — jadi nggak cuma satu angka gede yang bikin bingung siapa yang pakai apa. Buat tim kecil yang belum butuh setup serumit ini, langkah pertamanya ya coba dulu Claude di skala kecil sambil belajar konsep API key dan autentikasi.

Kalau kamu lagi belajar soal cara kerja API AI secara umum sebelum masuk ke level enterprise kayak ini, baca juga Apa itu API AI? Panduan Lengkap untuk Pemula. Atau kalau mau liat gimana Claude udah terintegrasi sama layanan AWS lain, cek Claude AI Kini Bisa Web Search Lewat AWS Bedrock AgentCore.

Mau Coba Claude Tanpa Ribet Setup AWS? Ini Alternatifnya

Kalau tim kamu belum sampai level butuh setup multi-akun AWS kayak di atas — masih tahap eksplorasi atau proyek kecil — kamu bisa nyobain model Claude lewat Classai Router tanpa perlu bikin akun AWS dan ngatur IAM role sama sekali.

Classai Router kompatibel sama SDK Anthropic (Messages), jadi kode yang kamu tulis buat manggil Claude nggak perlu diubah banyak — cukup arahkan base URL ke router.classai.id/v1. Di daftar modelnya ada beberapa pilihan Claude kayak Claude Opus 5.5 (Rp7.700 / Rp38.400 per 1 juta token input/output), Claude Sonnet 5.5 (Rp6.400 / Rp32.100), sampai yang lebih hemat buat testing kayak Claude Sonnet 4.5 dan Claude Opus 4.6 (Rp160 / Rp800). Bayarnya pakai saldo rupiah, top up mulai Rp10.000 lewat QRIS atau e-wallet, tanpa kartu kredit luar negeri.

Kamu adalah asisten developer. Tolong jelasin secara singkat perbedaan cross-account role dan API key buat autentikasi ke layanan cloud, kasih contoh kapan masing-masing cocok dipakai.

Kalau kamu developer yang mau belajar lebih dalam soal cara integrasi AI ke produk, kelas AI untuk Developer dari Classai bisa jadi titik awal yang pas buat ngerti konsep-konsep kayak API key, autentikasi, dan workflow deployment model AI secara praktis.