Clés API Bedrock: appeler Claude en Europe

TL;DR

Les clés API Bedrock authentifient Claude comme jeton Bearer, pas en SigV4. Une clé courte dure au plus 12 heures et seulement dans la région de création, souvent Francfort. Une clé longue reste de l’exploration. La résidence exige le profil UE eu.anthropic.claude-sonnet-5-5. La clé ne remplace ni le rôle IAM ni le contrat.

Qu’est-ce qu’une clé API Bedrock, et qu’est-ce qu’elle n’est pas?

Une clé API Bedrock est un jeton Bearer limité à Amazon Bedrock et Bedrock Runtime. Vous posez AWS_BEARER_TOKEN_BEDROCK ou le header Authorization: Bearer. AWS conseille en production les clés courtes ou des identifiants temporaires. Résidence, conservation et contrat restent des interrupteurs distincts. Ce n’est pas une clé Anthropic sk-ant.

La page d’ensemble sépare deux types. La clé courte hérite des droits du principal IAM qui la crée. Elle vaut le plus court de 12 heures et de la session. Elle ne marche que dans la région où vous la générez. La clé longue crée un utilisateur IAM, attache les politiques choisies et stocke le jeton comme identifiant spécifique au service bedrock.amazonaws.com. La console attache AmazonBedrockLimitedAccess par défaut.

CloudTrail journalise chaque appel. Il n’écrit pas le jeton du header Authorization. La référence exclut trois familles: InvokeModelWithBidirectionalStream, Agents for Amazon Bedrock et Data Automation. Pour les agents et les bases de connaissances, SigV4 reste obligatoire.

Quatre services AWS acceptent des clés API de service: Bedrock, Claude Platform on AWS, CloudWatch et CloudWatch Logs. Claude Platform on AWS est un autre produit. Sa politique gérée s’appelle AnthropicInferenceAccess et le nom de service aws-external-anthropic.amazonaws.com. Ne mélangez pas les deux chemins.

La plateforme, les profils UE et le premier appel sont dans Amazon Bedrock expliqué. La clé Anthropic, qui ne connaît pas le traitement dans l’UE, est dans créer une clé API Claude.

Nous recommandons les clés API Bedrock pour l’exploration et pour les scripts sans chaîne d’identifiants SDK. Dès que l’application tourne sur ECS, Lambda ou EKS, prenez un rôle IAM.

Comment créer une clé courte à Francfort?

Ouvrez la console Bedrock dans eu-central-1, choisissez API keys, puis Generate short-term API keys. Le jeton dure au plus 12 heures et seulement à Francfort. En production, aws-bedrock-token-generator récupère un jeton neuf avant chaque requête. Le profil UE reste l’identifiant de modèle.

La page de génération exige un principal IAM autorisé sur Bedrock. AmazonBedrockLimitedAccess suffit pour un test. Changez de région dans la console avant de générer la clé. Un jeton issu de us-east-1 échoue à Francfort avec Credential should be scoped to a valid region, même si l’ID de modèle et l’URL sont justes.

1. Ouvrez la console Bedrock dans eu-central-1.
2. Choisissez API keys à gauche, onglet Short-term API keys.
3. Cliquez sur Generate short-term API keys.
4. Copiez le jeton tout de suite. La console ne l’affiche qu’une fois.
5. Exportez-le: export AWS_BEARER_TOKEN_BEDROCK=...
6. Appelez Converse avec le profil UE, pas global. ni us..

Pour les scripts, installez le générateur de jeton. La bibliothèque Java porte la version 1.1.0 dans la documentation. Le paquet Python lit la chaîne d’identifiants par défaut:

pip install aws-bedrock-token-generator boto3
export AWS_REGION=eu-central-1

from aws_bedrock_token_generator import provide_token
import boto3
import os

os.environ["AWS_BEARER_TOKEN_BEDROCK"] = provide_token()
client = boto3.client("bedrock-runtime", region_name="eu-central-1")
response = client.converse(
    modelId="eu.anthropic.claude-sonnet-5-5",
    messages=[{"role": "user", "content": [{"text": "Bonjour depuis Francfort"}]}],
)
print(response["output"]["message"]["content"][0]["text"])

Appelez provide_token() avant chaque requête. La bibliothèque met le jeton en cache et le renouvelle à l’expiration. Un processus long reste sous 12 heures sans clé longue.

curl vers l’hôte régional, pas vers un hôte américain:

curl -X POST "https://bedrock-runtime.eu-central-1.amazonaws.com/model/eu.anthropic.claude-sonnet-5-5/converse" \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $AWS_BEARER_TOKEN_BEDROCK" \
  -d '{"messages":[{"role":"user","content":[{"text":"Bonjour"}]}]}'

Le chemin réseau privé sans NAT est dans Bedrock PrivateLink en Europe. Le header Bearer n’y change pas.

Quand une clé longue est-elle acceptable?

Seulement pour explorer. La console propose 1, 5, 30, 90 ou 365 jours, une date libre ou Never. La CLI accepte 1 à 36600 jours. Sans --credential-age-days, la clé n’expire pas. Chaque utilisateur IAM a droit à deux clés par service. La production prend une clé courte ou un rôle.

La page IAM des clés API de service liste les durées de la console. CreateServiceSpecificCredential fixe la limite: deux jeux d’identifiants par service et par utilisateur, âge de 1 à 36600 jours. ServiceApiKeyValue est le jeton. Vous ne le voyez qu’une fois. Perdu signifie réinitialiser ou recréer.

AWS répète l’avertissement sur chacune de ces pages: les clés longues sont pour l’exploration. Pour une application plus exigeante, passez à des identifiants de courte durée. Nous sommes d’accord. Une VPC de production qui envoie des données personnelles à Francfort n’a rien à faire d’un jeton de 365 jours dans un .env.

CLI pour une clé de 30 jours, comme le tutoriel 30 jours:

aws iam create-user --user-name bedrock-api-user
aws iam attach-user-policy --user-name bedrock-api-user \
  --policy-arn arn:aws:iam::aws:policy/AmazonBedrockLimitedAccess
aws iam create-service-specific-credential \
  --user-name bedrock-api-user \
  --service-name bedrock.amazonaws.com \
  --credential-age-days 30

Gardez ServiceSpecificCredentialId. Il sert à désactiver, réinitialiser ou supprimer la clé:

aws iam update-service-specific-credential \
  --user-name bedrock-api-user \
  --service-specific-credential-id "$ID" \
  --status Inactive

La page des permissions fournit une politique qui n’autorise les clés longues que pour Bedrock et seulement jusqu’à 90 jours. Vous ne pouvez pas empêcher la création des clés courtes. Vous pouvez interdire leur usage avec bedrock:CallWithBearerToken et bedrock-mantle:CallWithBearerToken plus bearerTokenType=SHORT_TERM. Pour couper tous les jetons Bearer, refusez les deux actions.

Nous recommandons une règle d’organisation: clés longues plafonnées à 30 jours, Never interdit, deux clés seulement pour la rotation. Si un jeton fuit, désactivez-le et invalidez la session du créateur.

Rôle IAM, clé Bedrock ou clé Anthropic?

Pour la production dans l’UE, le rôle IAM reste la voie par défaut. Une clé Bedrock accélère le prototype sur le même profil UE. Une clé Anthropic ne connaît que global et us. Google Cloud utilise ADC ou gcloud auth print-access-token. Foundry n’a pas de zone de données UE.

Le tableau est l’état au 26 octobre 2026. Les prix sont des prix catalogue en USD par million de jetons pour Sonnet 5.5. Le profil régional Bedrock UE se situe 10 pour cent au-dessus du tarif mondial, la majoration qu’Anthropic documente à partir de Sonnet 4.5 pour les points de terminaison régionaux et multi-régions.

Voie	Identifiant	Traitement UE	Prix catalogue Sonnet 5.5
Bedrock, rôle IAM, profil eu.	SigV4 via rôle ou SSO	Oui, géo UE	2,20 / 11,00
Bedrock, clé courte à Francfort	Bearer, 12 heures max.	Oui, si eu. et région UE	2,20 / 11,00
Bedrock, clé longue	Bearer, 1 à 365 jours	Oui, si eu. et même région	2,20 / 11,00
API Claude, sk-ant	Clé Anthropic	Non, global ou US	2,00 / 10,00
Google Cloud, ADC	gcloud auth application-default login	Oui, via le point UE	Majoration régionale de 10 pour cent
Foundry	Azure Marketplace, CCU	Non, Global ou zone US	0,01 USD par CCU

La voie IAM et le refus du routage mondial sont dans Claude sur AWS Bedrock en Europe. Google s’authentifie, sur la page Claude on Vertex, avec ADC pour les SDK et gcloud auth print-access-token pour curl. L’identité a besoin de aiplatform.endpoints.predict, typiquement roles/aiplatform.user. L’hôte UE est dans Claude sur Vertex AI en Europe.

Foundry reste à part. La comparaison d’hébergement nomme Anthropic vendeur et sous-traitant. Les types de déploiement sont Global Standard et Data Zone Standard (US). Il n’existe pas de zone UE. Le CCU vaut 0,01 USD, 100 CCU égalent 1 USD. Le détail Foundry est dans Azure AI Foundry expliqué.

Nous recommandons: prototyper avec une clé courte sur des données synthétiques à Francfort. Tout ce qui touche des données personnelles passe ensuite sur un rôle de tâche. Laissez la clé Anthropic de côté pour les données UE.

Que coûte le chemin, et où reste la résidence?

La clé elle-même ne coûte rien. Vous payez les jetons. Sonnet 5.5 vaut 2 / 10 USD en mondial. Le profil régional UE ajoute 10 pour cent. Le lot divise par deux. La résidence exige eu.anthropic.claude-sonnet-5-5 depuis une région source UE. L’in-region sur bedrock-runtime n’existe pas pour Sonnet 5.5.

La page des prix liste Sonnet 5.5 à 2 USD en entrée et 10 USD en sortie par million de jetons. Les lectures de cache valent 0,05x, donc 0,10 USD. Lot: 1 / 5. À partir de Sonnet 4.5, Haiku 4.5 et Opus 4.5, les points régionaux et multi-régions ajoutent 10 pour cent. Le inference_geo: "us" de l’API first-party applique 1,1x. CCU sur Claude Platform on AWS et Foundry: 0,01 USD, 100 CCU = 1 USD.

La fiche modèle fixe le lancement au 28 septembre 2026 et une fin de vie pas avant le 28 septembre 2027. Contexte: 1 million de jetons, sortie 128 000. ID géo eu.anthropic.claude-sonnet-5-5. Depuis Francfort, le profil route vers Francfort, Stockholm, Milan, l’Espagne, l’Irlande et Paris. Londres n’entre que si la source est Londres. L’in-region sur bedrock-runtime est N/A. Cache de prompt: 512 jetons minimum, 4 points de contrôle, TTL de 5 minutes et 1 heure.

Le CRIS géographique garde le traitement dans la géographie. Les prompts peuvent quitter la région source. Le stockage anti-abus reste dans la région de destination. La clé ne change rien. Un jeton d’Irlande plus global.anthropic.claude-sonnet-5-5 sort de l’UE. Un jeton de Francfort plus eu.anthropic.claude-sonnet-5-5 reste sur la liste UE.

Exemple chiffré, notre arithmétique, prix catalogue: 20 millions d’entrée et 2 millions de sortie Sonnet 5.5 sur le profil UE. En mondial: 40 plus 20, donc 60 USD. Plus 10 pour cent: 66 USD. La clé n’apparaît pas sur la facture.

Les prix par jeton et le comparatif Anthropic, Bedrock, Vertex sont dans prix de l’API Claude en Europe.

FAQ

Combien coûtent les clés API Bedrock?

Rien en plus. AWS émet le jeton sans ligne de frais dédiée. Vous payez les modèles: Sonnet 5.5 vaut 2 / 10 USD par million de jetons, 10 pour cent de plus en régional, 50 pour cent de moins en lot. 100 CCU sur Claude Platform on AWS ou Foundry égalent 1 USD.

Clé API Bedrock ou rôle IAM: que choisir dans l’UE?

Le rôle IAM, dès que l’application tourne sur AWS. Une clé courte convient aux scripts locaux et aux clients sans SigV4. Une clé longue reste de l’exploration. La résidence tient au profil eu. et à la région source, pas au type d’identifiant.

Puis-je réafficher une clé longue perdue?

Non. IAM indique qu’après la fermeture de la boîte de dialogue, la valeur disparaît. Reset émet un nouveau jeton et invalide l’ancien. Désactiver stoppe l’usage sans supprimer. Deux clés par utilisateur permettent de tourner avant la mort de l’ancienne.

Les clés API Bedrock marchent-elles avec les agents et les bases de connaissances?

Non. La référence exclut les agents, Data Automation et InvokeModelWithBidirectionalStream. Converse, InvokeModel et les API compatibles OpenAI sur bedrock-runtime fonctionnent. Les agents exigent encore SigV4.

Une clé API Bedrock remplace-t-elle le profil UE?

Non. Le jeton authentifie. Le profil décide où la requête route. Sans eu., le même appel peut partir en mondial même si la clé a été créée à Francfort. L’in-region sur bedrock-runtime n’existe pas pour Sonnet 5.5.

Puis-je interdire les clés courtes dans l’organisation?

Pas leur création. AWS l’écrit clairement. Vous pouvez interdire l’usage en refusant bedrock:CallWithBearerToken et bedrock-mantle:CallWithBearerToken avec bearerTokenType=SHORT_TERM. Pour les clés longues, refusez iam:CreateServiceSpecificCredential ou plafonnez l’âge et le nom de service.

Sources

1. AWS Bedrock : API keys (26 octobre 2026)
2. AWS Bedrock : Generate an API key (26 octobre 2026)
3. AWS Bedrock : Use an API key (26 octobre 2026)
4. AWS Bedrock : Control API key permissions (26 octobre 2026)
5. AWS Bedrock : API keys reference (26 octobre 2026)
6. AWS IAM : API keys for AWS services (26 octobre 2026)
7. AWS IAM : CreateServiceSpecificCredential (26 octobre 2026)
8. AWS Bedrock : Claude Sonnet 5.5 model card (26 octobre 2026)
9. AWS Bedrock : Geographic cross-Region inference (26 octobre 2026)
10. Anthropic : Pricing (26 octobre 2026)
11. Anthropic : Claude on Vertex AI (26 octobre 2026)
12. Microsoft Learn : Claude hosting comparison (26 octobre 2026)