Configurer Codex avec Bedrock dans AWS GovCloud

Pour une équipe qui prépare un déploiement de Codex dans ChatGPT Desktop sur AWS GovCloud (US), AWS décrit une configuration via Bedrock Mantle dans us-gov-west-1. Il faut d’abord accepter la licence du modèle avec le compte AWS standard associé, puis activer le modèle dans GovCloud et configurer le client avant son lancement. La procédure concerne Codex, l’agent de programmation de l’application.

Choisir un modèle et vérifier l’accès régional

AWS répertorie GPT-5.4 pour Bedrock Mantle en région dans us-gov-west-1. Les modèles gpt-oss-120b et gpt-oss-20b figurent dans les deux régions GovCloud, us-gov-west-1 et us-gov-east-1 (catalogue régional des modèles AWS). Ces entrées aident à choisir un modèle à faire approuver. L’organisation doit toutefois vérifier l’accès de son compte et utiliser l’identifiant de modèle approuvé pour sa configuration.

Activer le modèle avant de configurer Codex

AWS décrit une activation en deux temps :

1. Dans le compte AWS standard associé au compte GovCloud, acceptez le contrat de licence du modèle dans us-east-1 ou us-west-2.
2. Dans le compte GovCloud, activez ensuite le modèle depuis la page Model Access. AWS indique que la propagation de l’accès peut prendre quelques minutes.

Choisir les identifiants et préparer les fichiers

AWS décrit deux voies d’authentification : une clé d’API Amazon Bedrock ou la chaîne d’identifiants du SDK AWS, qui peut inclure un profil d’authentification unique IAM Identity Center. Si AWS_BEARER_TOKEN_BEDROCK est défini, l’application utilise ce jeton avant les identifiants associés au profil. Gardez les secrets hors des fichiers TOML.

Les deux fichiers doivent être en place avant le lancement. requirements.toml est contrôlé par l’administrateur ; config.toml définit notamment le fournisseur et le modèle utilisés par Codex. AWS indique ces chemins :

Dans la configuration, sélectionnez amazon-bedrock, l’identifiant du modèle approuvé, l’endpoint Bedrock Mantle et la région us-gov-west-1. L’endpoint indiqué par AWS est https://bedrock-mantle.us-gov-west-1.api.aws/openai/v1, avec l’API Responses.

Définir les contrôles réseau et les règles de données

L’exemple réseau d’AWS autorise bedrock-mantle.us-gov-west-1.api.aws, bloque les domaines OpenAI et d’autres domaines externes qu’il énumère, et désactive plusieurs fonctions connectées au réseau. C’est le profil de cet exemple, pas une règle universelle pour les agences.

Dans cette configuration directe vers AWS, les règles et rôles de l’espace de travail ChatGPT ne pilotent pas les requêtes. Les contrôles principaux sont ceux du poste de travail, de l’identité AWS et des autorisations qui lui sont associées.

AWS décrit un mode configurable de zéro conservation des données (ZDR) pour les prompts et les réponses : dans ce mode, AWS ne les inscrit pas dans un stockage durable et ne les partage pas avec les fournisseurs de modèles. Les règles de GovCloud distinguent les métadonnées de ces contenus. Certaines métadonnées définies par le client peuvent quitter GovCloud si celui-ci demande à AWS d’enquêter sur un problème signalé ; les métadonnées d’évaluation des modèles ne peuvent pas contenir de données soumises aux contrôles à l’exportation (documentation AWS sur Bedrock dans GovCloud).

Lancer Codex et vérifier le fournisseur

Lancez l’application après avoir placé les deux fichiers et configuré les identifiants. Vérifiez que amazon-bedrock apparaît comme fournisseur dans l’application ou dans la commande /status de Codex CLI. Si cette vérification échoue, AWS décrit l’arrêt du déploiement, le rétablissement des paramètres antérieurs, la révocation des clés ou identifiants temporaires et la consignation de l’échec.

AWS indique que la configuration ne vaut pas autorisation de la charge de travail. Il revient à chaque organisation d’évaluer le modèle, la région, l’endpoint, les contrôles du poste, les identifiants, les dépôts et les flux de données selon son propre processus d’autorisation.