AWS descrive una configurazione di Codex nella desktop app ChatGPT che instrada le richieste a Amazon Bedrock Mantle nella regione us-gov-west-1. Per usarla, prima abilita il modello: accetta il relativo EULA tramite l’account AWS standard collegato a GovCloud, poi attivalo nell’account GovCloud. Solo dopo prepara credenziali e file di configurazione.
Quali modelli AWS elenca per GovCloud
La tabella regionale di AWS elenca GPT-5.4 per Bedrock Mantle in-region in us-gov-west-1. Elenca anche gpt-oss-120b e gpt-oss-20b in entrambe le regioni GovCloud, us-gov-west-1 e us-gov-east-1 (catalogo regionale AWS).
La configurazione di Codex richiede l’ID del modello approvato dall’organizzazione. La sua presenza nel catalogo regionale non attiva l’accesso per un account: verifica che il modello sia abilitato nell’account GovCloud che userà l’app.
Abilitare il modello prima di configurare l’app
AWS indica questa sequenza per l’accesso ai modelli in GovCloud:
- Con l’account AWS standard collegato all’account GovCloud, accetta l’EULA del modello in
us-east-1oppureus-west-2. - Nell’account GovCloud, abilita il modello dalla pagina Model Access.
AWS avverte che la propagazione dell’accesso può richiedere alcuni minuti (istruzioni AWS per la disponibilità regionale).
Scegliere le credenziali e preparare i file
AWS descrive due modalità di autenticazione: una chiave API di Amazon Bedrock oppure la catena di credenziali AWS SDK, che può usare anche un profilo SSO di IAM Identity Center. Se la variabile d’ambiente AWS_BEARER_TOKEN_BEDROCK è impostata, Codex dà la precedenza a quel token rispetto alle credenziali basate sul profilo. AWS raccomanda di non conservare segreti nei file TOML.
La guida configura Codex con l’endpoint Bedrock Mantle https://bedrock-mantle.us-gov-west-1.api.aws/openai/v1, nella regione us-gov-west-1, e con la Responses API. Il file config.toml indica provider, modello e impostazioni operative; requirements.toml è gestito dall’amministratore. Entrambi devono essere al loro posto prima di avviare l’app.
| Sistema operativo | Percorso di config.toml | Percorso di requirements.toml |
| Windows | %USERPROFILE%\.codex\config.toml | %ProgramData%\OpenAI\Codex\requirements.toml |
| Linux e macOS | ~/.codex/config.toml | /etc/codex/requirements.toml |
Nel file di configurazione seleziona amazon-bedrock, l’ID del modello approvato e l’endpoint Mantle della regione GovCloud scelta. Il valore codex-il5 presente nell’esempio AWS è un nome di profilo di esempio.
Impostare i controlli di rete e valutare i dati
L’esempio di AWS consente il traffico verso bedrock-mantle.us-gov-west-1.api.aws, nega i domini esterni indicati nella configurazione e disattiva alcune funzioni con accesso alla rete. È un esempio per questo assetto, non una regola valida per ogni organizzazione. La guida affida all’organizzazione la definizione dei controlli per workstation, identità AWS, permessi, repository e flussi di dati.
AWS descrive la conservazione zero dei dati (ZDR) come modalità configurabile per prompt e risposte: in tale modalità, questi contenuti vengono elaborati senza essere salvati da AWS su archiviazione durevole o condivisi con i fornitori dei modelli. La guida di AWS GovCloud precisa che alcuni metadati definiti dal cliente possono uscire dalla regione se il cliente chiede ad AWS di indagare su un problema segnalato. Inoltre, i metadati usati per la valutazione dei modelli non possono contenere dati soggetti a controlli sull’esportazione (guida AWS su Bedrock in GovCloud).
AWS descrive inoltre la fatturazione dell’inferenza in base ai token, senza licenze per postazione né impegni per sviluppatore. Prima di avviare un workload, l’organizzazione deve valutarne modello, regione, endpoint, controlli della workstation, credenziali, repository e flussi di dati secondo il proprio processo di autorizzazione.
Avviare Codex e verificare il provider
Dopo aver collocato entrambi i file di configurazione e predisposto i controlli di rete, avvia la desktop app. La procedura AWS verifica che il provider selezionato sia amazon-bedrock nelle impostazioni dell’app oppure nel comando /status della CLI di Codex.
AWS indica di interrompere il rollout se i controlli di convalida non riescono; la procedura prevede il ripristino delle impostazioni precedenti e la revoca di chiavi o credenziali temporanee. L’organizzazione resta responsabile dell’autorizzazione del workload.
