claude gateway în Claude Code CLI

claude gateway --config gateway.yaml

Ce face claude gateway

Claude apps gateway este un serviciu găzduit de organizația ta, între clienții Claude Code ai dezvoltatorilor și furnizorul de modele. Dezvoltatorii se conectează prin furnizorul de identitate al companiei (SSO), fără chei API sau credențiale cloud proprii. Gateway-ul păstrează credențiala upstream, aplică accesul la modele și managed settings pe grupuri din IdP și trimite telemetria OTLP către colectorul tău. Upstream pot fi Amazon Bedrock, Claude Platform on AWS, Google Cloud’s Agent Platform, Microsoft Foundry sau API-ul Anthropic, cu failover între ele.

Gateway-ul este inclus în binarul claude: același executabil rulează serverul cu claude gateway --config gateway.yaml. Fișierul se citește o singură dată, la pornire, și se validează după o schemă, așa că o configurație greșită eșuează imediat, cu eroare pe câmpul vinovat. Configurația minimă are cinci secțiuni: listen, oidc, session, store și upstreams, iar secretele se citesc din variabile de mediu prin ${VAR}.

Cerințe: Claude Code v2.1.195 sau mai nou pe server și pe mașinile dezvoltatorilor, un IdP OpenID Connect (SAML și LDAP nu sunt suportate), PostgreSQL 11 sau mai nou și HTTPS. Serverul rulează doar pe binarul nativ Linux; macOS merge pentru dezvoltare locală. Claude Code se conectează doar la un gateway cu adresă privată. Dezvoltatorii intră cu /login, iar administratorii setează forceLoginMethod: "gateway" și forceLoginGatewayUrl în managed settings.

Sintaxă și opțiuni

Opțiune / Parametru	Descriere
--config <fișier>	Calea către gateway.yaml; obligatoriu.
listen	Adresa, portul și public_url (originea externă HTTPS).
oidc	Emitentul OIDC, client_id, client_secret și domeniile de email permise.
session	Secretul JWT și durata sesiunii (ttl_hours).
store	Conexiunea PostgreSQL (postgres_url).
upstreams	Furnizorii de modele, de exemplu provider: bedrock cu regiunea.

Exemple practice de terminal

Exemplul 1: Pornirea gateway-ului

Pornirea reușită se termină cu o linie de jurnal care conține claude gateway listening on. Dacă procesul iese înainte, ultima linie din stderr numește problema: Postgres inaccesibil, rol fără drepturi DDL, document OIDC invalid sau un câmp greșit în configurație.

claude gateway --config gateway.yaml

Exemplul 2: Generarea secretului JWT înainte de pornire

gateway.yaml citește secretul prin ${GATEWAY_JWT_SECRET}, deci fișierul poate sta în controlul versiunilor.

export GATEWAY_JWT_SECRET="$(openssl rand -base64 32)"
claude gateway --config /etc/claude/gateway.yaml

Greșeli frecvente și bune practici

• Expui gateway-ul pe o adresă publică. La /login, Claude Code cere ca numele gazdei să se rezolve doar la adrese private; pune gateway-ul în spatele unui load balancer intern sau VPN.
• Pui forceLoginMethod sau forceLoginOrgUUID în blocul managed servit de gateway. Unele sesiuni conectate ies apoi la pornire; aceste chei stau în managed settings distribuite pe mașini.
• Setezi allowedProviders pe gazda gateway-ului. claude gateway refuză să ruleze pe o mașină care setează lista.

Comenzi înrudite

• claude-auth
• slash-setup-bedrock
• slash-setup-vertex