AWS、ChatGPTデスクトップをGovCloud Bedrockへ接続する管理手順を公開、IDと端末規則は別途確認

AWSは10月30日、ChatGPTデスクトップアプリのモデル推論をAWS GovCloud (US)のAmazon Bedrockへ送る手順を公表した。11月1日は本サイトの技術号の日付で、原発表は10月30日である。対象はGovCloudのID、エンドポイント、リージョン管理を必要とする組織で、`us-gov-west-1`のBedrock Mantleを使う管理下のローカル検証が中心だ。AWSはこの手順やGovCloudの利用だけでは業務の承認にならず、各組織が自らの安全計画に従って審査すべきだと明記する。

アプリには二つの利用面がある。Workは計画、調査、ファイルを伴う大きな作業、Codexはコード編集、テスト、プルリクエストのレビューなどを扱う。アプリまたはCLIは組織管理の端末で動き、設定されたAWSの資格でBedrockへ要求を送る。この直接AWSを使う構成では、通常のChatGPTワークスペースの役割ではなく、端末のポリシーとAWSのID・権限が主要な統制になるとAWSは説明する。リージョン内処理、トークン単位の料金、ゼロデータ保持のサポートも述べるが、選んだモデルと設定で確認が必要だ。

準備段階では、利用するアプリの正確な版がGovCloudに対応するか、承認済みアカウントとIAMのIDがあるか、モデルと`us-gov-west-1`のエンドポイントを使う権限があるか調べる。手順は認証、`requirements.toml`と`config.toml`の設定、起動と検証に分かれる。文書の`codex-il5`は名前付きプロファイルの例で、流用できる認証情報ではない。パスワード、bearer token、セッショントークンはTOMLへ入れず、プロファイル、SSOキャッシュ、認証補助プログラムを作業プロセスの書き込みから守る。

認証には優先順位がある。アプリはまず環境の`AWS_BEARER_TOKEN_BEDROCK`を確認し、存在すればプロファイルよりそのトークンを優先する。なければ標準のAWS SDK資格情報チェーンが名前付きプロファイルやIAM Identity CenterのSSOセッションを利用できる。従って設定画面に意図したプロファイル名があるだけでは、実際のAWS主体を証明できない。違うIDで動いた場合は有効な資格情報の出所とトークンによる上書きを調べる。APIモードでのログインだけで端末の能力制限がすべて適用されるわけでもない。

設定ファイルは最初の起動前に配置する。すでに起動した場合、AWSは関連アプリとCodexのプロセスを終了してから設定を読み直すよう説明する。これは読者が将来行う管理手順であり、本サイトが稼働中のサービスで実行した操作ではない。起動後、Codex CLIの`/status`とデスクトップの設定でproviderが`amazon-bedrock`であることを確かめる。同時に承認されたAWSのID、リージョン、エンドポイント、ネットワーク制限を確認する。表示名だけでは通信の安全条件を証明しない。

原文は、OpenAIアカウントへの予期しないログイン要求、未対応エンドポイント、誤ったAWSのID、能力制限の欠落を別の故障として扱う。URLだけ変えても未対応の版が対応するわけではなく、API-onlyの指定は完全な端末ポリシーとは異なる。検証が失敗したら展開を止め、以前承認されたポリシーとproviderへ戻し、一時的な資格を取り消し、該当端末がBedrockに接続できなくなったことを確認するとAWSは述べる。

本記事はGovCloud端末を設定していない。報告するのはAWSの管理された構成手順とその条件である。実際の組織は独自の承認を得てから、元の完全な手順と現行文書で対応版、データ処理、アクセス制御を確認すべきだ。利用可能という発表や選択可能な保持設定を、すべての導入に対する一律の認証保証へ変えてはならない。