AWS 详解 ChatGPT 桌面应用经 GovCloud Bedrock 推理的受控配置，身份与设备策略须另核

AWS 在 10 月 30 日发布教程，说明如何在 AWS GovCloud (US) 中让 ChatGPT 桌面应用的模型推理走 Amazon Bedrock。本站于 11 月 1 日技术刊期选编，原文日期不变。该教程面向需要美国政府云身份、端点和区域控制的组织，以 `us-gov-west-1` 的 Bedrock Mantle 路径作受控本地验证。它不是“安装应用即获得合规授权”的公告；AWS 明确要求各组织按自己的安全计划审批模型、端点、设备、仓库、凭据和数据流。

方案包含两个使用面：Work 处理规划、研究和文件等较大任务，Codex 负责改代码、跑测试、审查拉取请求。桌面应用或 CLI 在组织管理的设备上运行，调用配置的 AWS 身份把推理请求送到 Bedrock。AWS 说这条直接 AWS 路径由设备政策与 AWS IAM 权限管理，而不是由普通 ChatGPT 工作区角色接管。文章还描述了区域内处理、按 token 计费及可选零数据留存，但这些能力仍要按实际配置与批准的模型和端点逐项核验。

部署前必须确认所用桌面应用版本支持 GovCloud 方案，且已有获批准的 GovCloud 账号、IAM 身份、模型与 `us-gov-west-1` 端点访问权限。AWS 教程把步骤分成认证、`requirements.toml` 与 `config.toml` 两类配置文件、启动与核验。命名 profile 的示例是 `codex-il5`，只是示例标识，不是可直接使用的凭据。凭据、bearer token、会话 token 都不能写进 TOML；还要保护 profile、SSO 缓存和凭据助手，避免任务进程修改认证材料。

认证有优先级。应用先检查环境中的 `AWS_BEARER_TOKEN_BEDROCK`；若存在，bearer token 优先于 profile。没有 token 时才使用标准 AWS SDK 凭据链，可读取命名 profile、相关配置和经 IAM Identity Center 缓存的 SSO 会话。因此只核对 profile 名称不足以证明实际身份；出现“用了错误 AWS 身份”时，需检查生效的凭据来源和 token 是否覆盖了 profile。教程的网络与能力限制另在受管设备政策中设置，API 模式登录本身不会自动应用全部能力限制。

配置文件应在应用第一次启动前放好。若应用已打开，AWS 要求完全退出相关 ChatGPT 或 Codex 进程再启动，以便重新读取设置；这一步是读者未来部署该教程的说明，不是本站对任何线上服务执行的动作。启动后分别在 Codex CLI 的 `/status` 和桌面应用设置中确认 provider 为 `amazon-bedrock`，并核对获批准的 AWS 身份、区域、端点与网络限制。只看到界面中的 provider 名称还不足以证明模型请求的所有安全条件达标。

AWS 的故障排查区分了账号登录提示、端点不支持、身份错误和能力限制缺失。比如仅改 URL 不能让不支持的版本支持 GovCloud，API-only 登录也不等同完整能力政策。若验证失败，教程要求停止推广、回到既有批准政策和 provider 配置、撤销临时凭据并确认设备无法再连 Bedrock。此文没有尝试部署该配置，报道的是 AWS 公告的具体边界。实际机构必须先获本地授权，再按完整原教程和自己的控制要求验证。

实际配置时，应把四种状态分别验证：应用是否读取了正确 TOML、进程实际拿到哪一种凭据、模型请求是否到达批准的 GovCloud 区域、设备政策是否限制了不批准的能力。界面显示 provider 名称只能证明一部分；如果环境里的 bearer token 覆盖了 profile，即使配置文件写对，调用身份仍可能不符合预期。测试需要从真实发起请求的进程检查凭据来源，并在日志中避免泄露 token 或敏感提示词。

区域边界也不是单个端点字符串。组织还须核对模型在目标区域是否可用、IAM 是否只授予必要动作、网络出口是否符合策略、桌面应用及其工具能否访问本不应访问的资源。教程区分 API 登录与受管设备能力政策；前者解决身份与请求通路，后者控制文件、终端和外部网络等实际功能。漏掉后一层，不能因为请求经过 GovCloud 就称整个桌面工作负载已受控。

若验证失败，恢复步骤应有可检查的终态：应用回到先前批准的 provider 设置，临时凭据失效，相关进程重启后不能再访问未批准端点，审计记录能解释错误来自版本、配置还是身份。读者不应把这篇配置教程当成 GovCloud 授权书，也不应在没有本机构批准时对生产桌面部署。本站只保存并分析 AWS 原文，没有尝试取得 GovCloud 凭据或运行该桌面连接。