Claude apps gateway for AWS: Claude Code와 Claude Desktop을 위한 자체 호스팅 제어 계층

AWS가 7월 8일 Anthropic이 제공하는 Claude apps gateway for AWS를 공개했습니다. Claude Code와 Claude Desktop을 조직 전체에 배포할 때 접근 권한, 비용, 정책을 한 곳에서 관리하는 셀프 호스팅 컨트롤 플레인입니다. 지금까지 개발자마다 클라우드 자격증명을 따로 발급하고, 설정을 각 노트북에 손으로 배포하고, 지출 추적 도구를 별도로 세워야 했다면 그 셋을 하나의 지점으로 모읍니다.

개발자가 두세 명이고 각자 개인 자격증명으로 Claude Code를 쓰는 정도라면 이 게이트웨이가 푸는 문제가 아직 생기지 않았습니다. 반대로 팀이 늘어 누가 어떤 모델을 쓰는지, 이번 달 추론 지출이 얼마인지 파악이 어려워지기 시작했다면 이 발표가 바로 그 상황을 다룹니다.

CLI 바이너리 안의 게이트웨이

게이트웨이는 개발자가 이미 쓰는 Claude Code CLI 바이너리 안에 함께 들어 있습니다. Anthropic이 클라이언트와 게이트웨이를 함께 만들었기 때문에 claude /login 흐름이 게이트웨이를 인식합니다. 개발자가 로그인하면 클라이언트가 관리 설정을 자동으로 적용하고, 이후 모든 요청에 정책이 적용됩니다.

배포는 스테이트리스 컨테이너 하나를 사설 네트워크에서 돌리는 방식입니다. PostgreSQL이 짧은 수명의 로그인 상태와 요청 제한 카운터를 저장합니다. 컨테이너는 Amazon ECS, Amazon EKS, Amazon EC2 중 하나에서 실행하고, 내부 Application Load Balancer 뒤에 두며 TLS 인증서는 AWS Certificate Manager에서 발급합니다. PostgreSQL은 Amazon RDS를 씁니다.

권한 부여와 회수는 기존 IdP 흐름을 그대로 따릅니다. IdP에 개발자를 추가하면 접근이 열리고, 제거하면 세션이 설정한 토큰 수명 안에 만료됩니다. 기본값은 1시간입니다. 개발자 머신에는 장기 비밀이 남지 않습니다.

게이트웨이가 거는 통제

신원 확인은 OIDC 표준을 따르는 어떤 IdP와도 연결됩니다. 브라우저 SSO로 로그인하면 게이트웨이가 짧은 수명 토큰을 발급하고, CLI는 이후 요청에 이 토큰을 씁니다. 정책은 서버에서 한 번 정의하고 로그인 시점에 클라이언트로 내려보냅니다. 허용 모델, 도구 권한, 기본 설정을 IdP 그룹 단위로 중앙에서 조정합니다. 텔레메트리는 요청마다 사용량 지표를 찍어 OTLP로 수집기에 보냅니다. 수집기는 자기 계정의 Amazon CloudWatch, Amazon Managed Service for Prometheus, 또는 서드파티 플랫폼 중에서 고르고, 보관 기간도 직접 정합니다. 라우팅은 게이트웨이가 상위 자격증명을 쥐고 개발자 대신 추론 요청을 보내는 부분입니다. 리전 간, 계정 간 페일오버를 옵션으로 걸 수 있습니다. 지출 상한은 조직·그룹·사용자별로 일·주·월 한도를 걸고, 개발자가 한도를 넘으면 기간이 리셋되거나 관리자가 한도를 올릴 때까지 요청을 막습니다.

Amazon Bedrock과 Claude Platform on AWS

Amazon Bedrock을 통하면 추론 요청이 설정한 리전의 Bedrock을 거칩니다. 계정 안 다른 Bedrock 워크로드와 같은 데이터 처리·프라이버시 통제를 유지합니다. 데이터가 AWS 보안 경계 안에 머물러야 하면 이 경로를 씁니다. Claude Platform on AWS를 통하면 같은 게이트웨이 통제를 유지하면서 요청을 Anthropic이 처리합니다. AWS 인증·과금과 Anthropic 네이티브 플랫폼 경험을 함께 쓰는 방식입니다.

설정은 게이트웨이가 시작할 때 읽는 YAML 파일 하나로 끝납니다. Bedrock 업스트림은 컨테이너의 IAM 역할을 쓰므로 관리할 정적 자격증명이 없습니다. 모델 ID는 Anthropic API와 같아서 claude-sonnet-5, claude-opus-4-8처럼 지정하고, Bedrock ARN이나 추론 프로파일은 필요 없습니다. 상세 설정은 원문 문서와 GitHub 저장소에서 확인할 수 있습니다.

개발자 로그인과 일상 사용

관리자가 기기 관리 도구로 게이트웨이 URL을 미리 채운 설정 파일을 배포하면, 개발자는 claude /login을 실행해 게이트웨이 화면을 바로 봅니다. 엔터를 누르면 회사 SSO 브라우저가 열립니다. 한 번 로그인하면 연결되고, 세션은 OIDC 리프레시 토큰으로 조용히 갱신됩니다. 재시작해도 다시 브라우저 로그인을 하지 않습니다.

로그인 후에는 평소처럼 Claude Code를 씁니다. /model 선택기에는 정책이 허용한 모델만 보입니다. 파일 쓰기나 웹 접근 제한 같은 도구 권한도 정책으로 걸 수 있고, 개발자가 로컬에서 못 바꾸는 규칙을 강제할 수 있습니다. 사용량은 개발자 신원에 귀속되고 각자의 상한과 대조됩니다. 게이트웨이는 어느 리전에나 배포할 수 있고, 시작하려면 Claude Code CLI를 내려받아 문서와 GitHub 저장소를 확인하면 됩니다.

도입 검토 의견

원문 발표가 아닌 솔트웨어의 의견입니다

지금 손댈 일인지부터 보면, 개발자가 소수이고 Claude Code를 개인 API 키로 각자 돌리는 단계라면 이번에는 넘겨도 됩니다. 게이트웨이는 컨테이너 한 개와 RDS, 내부 ALB, ACM 인증서, IdP 연동을 함께 세워야 하는 구성입니다. 인프라를 직접 세워 본 손이 없다면 검증까지 반나절로는 끝나지 않고, IdP 연동과 정책 정의를 포함해 며칠은 잡아야 합니다. 관리할 컴포넌트가 늘어난 만큼 그걸 유지할 여력이 있는지가 먼저입니다.

반대로 팀이 여러 개로 나뉘고, 누가 어떤 모델을 얼마나 쓰는지 집계가 안 되기 시작했다면 검토할 값이 있습니다. 개인 자격증명을 각자 배포하는 방식과 달리 IdP에서 사람을 빼는 것만으로 접근이 끊기고, 개발자 노트북에 장기 비밀이 남지 않는 점은 퇴사·외주 종료가 잦은 조직에서 실질적인 차이를 만듭니다.

청구액은 두 방향으로 움직입니다. 게이트웨이 자체를 셀프 호스팅하므로 컨테이너·RDS·ALB의 상시 비용이 새로 붙습니다. 대신 조직·그룹·사용자별 일·주·월 상한으로 통제되지 않던 추론 지출을 막을 수 있습니다. 데이터를 AWS 경계 안에 두려면 Bedrock 경로를 고르되, 전환 전에 Amazon Bedrock 요금표에서 지금 쓰는 Claude 모델 단가를 확인하고, 추가되는 호스팅 비용과 상한으로 아끼는 금액을 함께 계산하세요. 소수 인원이라면 상한이 막아 줄 지출 자체가 크지 않아 굳이 지금 세울 이유는 약합니다.

원문: Introducing Claude apps gateway for AWS · 발행일 2026-07-08