Para usar Codex desde la aplicación de escritorio de ChatGPT con Amazon Bedrock en AWS GovCloud, habilita primero el modelo en la cuenta GovCloud y después configura las credenciales y los archivos antes de abrir la aplicación. La guía de AWS se centra en Codex y en el endpoint Bedrock Mantle de us-gov-west-1.
Modelos disponibles y acceso a la cuenta
AWS lista GPT-5.4 para Bedrock Mantle en región en us-gov-west-1. También incluye gpt-oss-120b y gpt-oss-20b en las dos regiones de GovCloud. La entrada en el catálogo indica disponibilidad regional, no que el modelo ya esté habilitado para una cuenta concreta. La tabla regional de AWS permite comprobar qué modelos aparecen en cada región; la configuración debe usar el identificador aprobado para tu organización.
| Modelo | Regiones GovCloud que AWS lista |
| GPT-5.4 | us-gov-west-1, mediante Bedrock Mantle en región |
gpt-oss-120b | us-gov-west-1 y us-gov-east-1 |
gpt-oss-20b | us-gov-west-1 y us-gov-east-1 |
Antes de configurar Codex, AWS indica que hay que aceptar el EULA del modelo desde la cuenta estándar de AWS vinculada, en us-east-1 o us-west-2. Después, habilita el modelo en la cuenta GovCloud. AWS señala que la propagación del acceso puede tardar unos minutos. AWS explica esta secuencia en la documentación de disponibilidad regional.
Credenciales y archivos necesarios
AWS describe dos vías de autenticación: una clave de Amazon Bedrock o la cadena de credenciales del SDK de AWS, que puede incluir perfiles de inicio de sesión único de IAM Identity Center. Si está definida la variable AWS_BEARER_TOKEN_BEDROCK, Codex la utiliza con prioridad sobre las credenciales basadas en perfiles. AWS recomienda no guardar secretos en los archivos TOML.
La configuración necesita dos archivos antes de iniciar la aplicación: config.toml, con los ajustes del proveedor y el modelo, y requirements.toml, controlado por el administrador. Estas son las rutas indicadas por AWS:
| Sistema operativo | config.toml | requirements.toml |
| Windows | %USERPROFILE%\.codex\config.toml | %ProgramData%\OpenAI\Codex\requirements.toml |
| Linux | ~/.codex/config.toml | /etc/codex/requirements.toml |
| macOS | ~/.codex/config.toml | /etc/codex/requirements.toml |
En config.toml, la configuración de AWS usa el proveedor amazon-bedrock, el identificador del modelo aprobado y el endpoint https://bedrock-mantle.us-gov-west-1.api.aws/openai/v1, con la API Responses y la región us-gov-west-1. AWS presenta esos valores como parte de su ejemplo de configuración. La inferencia se factura por token, sin licencias por asiento ni compromisos por desarrollador.
Red y tratamiento de datos
El ejemplo de AWS permite el dominio bedrock-mantle.us-gov-west-1.api.aws y bloquea los dominios externos que enumera, incluidos los de OpenAI; también desactiva algunas funciones con acceso a la red. Es una configuración de referencia, no una política universal para todas las organizaciones. AWS deja a cada organización la evaluación de sus modelos, endpoints, equipos, credenciales, repositorios y flujos de datos dentro de su propio proceso de autorización.
AWS describe la retención cero de datos, o ZDR, como un modo configurable para prompts y respuestas: en ese modo, AWS no los escribe en almacenamiento duradero ni los comparte con los proveedores de modelos. La guía de Amazon Bedrock en AWS GovCloud añade dos límites específicos: ciertos metadatos definidos por el cliente pueden salir de GovCloud si el cliente solicita a AWS investigar un problema comunicado, y los metadatos de evaluación de modelos no pueden contener datos sujetos a controles de exportación.
Iniciar Codex y comprobar el proveedor
- Completa la habilitación del modelo. Acepta su EULA en la cuenta estándar de AWS vinculada, en
us-east-1ous-west-2, y habilítalo después en GovCloud. - Prepara las credenciales. Elige la clave de Bedrock o la cadena de credenciales del SDK de AWS, incluido IAM Identity Center si corresponde. Si utilizas
AWS_BEARER_TOKEN_BEDROCK, esa variable tiene prioridad. - Coloca los dos archivos de configuración. Guarda
requirements.tomlyconfig.tomlen las rutas de tu sistema operativo antes de abrir la aplicación. - Configura el proveedor y la conexión. Selecciona
amazon-bedrock, el identificador aprobado, la regiónus-gov-west-1y el endpoint de Bedrock Mantle indicados en el apartado anterior. - Abre la aplicación y valida el proveedor. Comprueba que aparece
amazon-bedrocken la aplicación o en la salida de/statusde Codex CLI. Si la validación falla, AWS indica detener el despliegue, restaurar los ajustes anteriores y revocar las claves o credenciales temporales.
La captura de estado de Codex muestra amazon-bedrock en el campo del proveedor.
La etiqueta del proveedor permite comprobar qué proveedor está seleccionado. AWS asigna a la organización la responsabilidad de autorizar la carga de trabajo según sus propios requisitos.
