Claude Apps Gateway :
deployer Claude Code en entreprise
SSO corporate, spend caps par utilisateur, RBAC server-side et routing multi-cloud. Le control plane self-hosted qui manquait a Claude Code.
Claude Apps Gateway est un control plane self-hosted qui centralise l’authentification SSO, les limites de depenses et le routing vers AWS Bedrock ou Google Cloud pour Claude Code. Deploye comme un container stateless avec PostgreSQL, il remplace les credentials individuels par des sessions courtes et permet aux admins de piloter les couts par user, groupe ou organisation.
Cette gateway resout le probleme majeur des deployments Claude Code en entreprise : provisionner un credential cloud par developpeur, pousser manuellement les settings sur chaque poste, et bricoler un outil maison pour suivre les depenses par tete.
J’ai deploye Claude Code sur une equipe de 12 developpeurs debut 2026, et la gestion des credentials AWS etait un cauchemar. Chaque dev avait son propre Access Key, les limites de depenses etaient inexistantes, et on ne savait pas qui consommait combien. Quand un collegue a claque 180 euros en une seule session de debug, j’ai compris qu’il fallait une vraie gouvernance.
Dans ce guide, je vous montre comment deployer Claude Apps Gateway etape par etape. Vous apprendrez a configurer le SSO avec votre identity provider, a definir des spend caps par utilisateur, et a router le trafic vers Bedrock ou GCP selon vos contraintes de residency. Le tout en moins d’une heure si vous avez deja un cluster ou un serveur Linux sous la main.
Qu’est-ce que Claude Apps Gateway exactement ?
Claude Apps Gateway est une piece de software qu’Anthropic a officiellement lancee le 1er juillet 2026. Elle se presente comme un container stateless que vous deployez sur votre infrastructure, adosse a une base PostgreSQL pour le stockage des sessions et des metriques.
Son role est de faire office de proxy intelligent entre vos developpeurs qui utilisent Claude Code et les backends d’inference. Au lieu de donner un credential AWS ou GCP a chaque personne, vous configurez la gateway avec un seul credential upstream, et elle distribue des sessions courtes aux utilisateurs authentifies via votre SSO.
Concretement, quand un dev lance Claude Code, il se connecte a la gateway via son compte Google Workspace, Okta ou Microsoft Entra. La gateway verifie son identite, lui attribue une session temporaire, et route ses requetes vers Amazon Bedrock, Google Cloud ou l’API Claude directe selon votre configuration.
Ce qui rend cette approche interessante, c’est que toute la logique de gouvernance est centralisee cote serveur. Les regles RBAC, les limites de depenses, les modeles autorises, tout est defini dans un fichier YAML unique que les clients Claude Code recuperent automatiquement a la connexion.
Pourquoi deployer Claude Apps Gateway plutot que des credentials directs ?
Le modele traditionnel de deploiement Claude Code en entreprise pose plusieurs problemes operationnels. Chaque developpeur recoit un Access Key AWS ou un service account GCP, ce qui multiplie les secrets a gerer et les risques de fuite. Si un laptop est compromis, c’est potentiellement toute votre facture Claude qui explose.
Avec la gateway, le credential upstream reste sur un serveur securise. Les developpeurs n’ont jamais acces aux cles cloud directement. Ils authentifient via SSO, et la gateway leur delivre des tokens de session a duree limitee. Si un poste est vole, la session expire automatiquement.
L’autre benefice majeur concerne la visibilite des couts. Sans gateway, impossible de savoir qui consomme combien. Vous recevez une facture AWS globale a la fin du mois, et bonne chance pour repartir les couts par equipe ou par projet.
La gateway trace chaque requete avec l’identite de l’utilisateur. Vous pouvez exporter ces metriques vers votre stack de monitoring via OpenTelemetry, et les integrer dans vos outils FinOps comme CloudZero ou Datadog Cloud Cost Management. Si vous voulez aller plus loin sur Claude en entreprise, j’ai construit une guide Claude IA complet qui couvre ces cas d’usage en detail.
Les fonctionnalites cles de Claude Apps Gateway
Voici les principales capacites que vous obtenez en deployant la gateway :
- Authentification OIDC : compatible Google Workspace, Microsoft Entra ID, Okta et tout provider OpenID Connect standard. Sessions courtes au lieu de credentials permanents.
- Spend caps granulaires : limites de depenses journalieres, hebdomadaires ou mensuelles, configurables par utilisateur, groupe ou organisation entiere.
- RBAC server-side : les regles d’acces aux modeles sont definies une fois dans gateway.yaml et appliquees a chaque requete. Impossible de les contourner cote client.
- Routing multi-cloud : orientez le trafic vers l’API Claude, Amazon Bedrock ou Google Cloud avec failover automatique si un provider est indisponible.
- Telemetrie OTLP : chaque requete est instrumentee et envoyee vers votre collecteur OpenTelemetry pour integration dans vos dashboards existants.
- Data residency : la gateway ne transmet aucune donnee a Anthropic si vous routez vers Bedrock ou GCP. Ideal pour les contraintes RGPD ou sectorielles.
Les trois architectures de deploiement possibles
Selon vos contraintes, vous pouvez deployer la gateway de trois manieres differentes :
On-premise ou VM
Un seul container Docker sur un serveur Linux. Ideal pour les petites equipes ou les POC. Necessite une base PostgreSQL accessible depuis le serveur.
Kubernetes / EKS / GKE
Deploiement en Deployment Kubernetes avec scaling horizontal. La gateway etant stateless, vous pouvez ajouter des replicas selon la charge.
Cloud Run ou Fargate
Serverless container sur GCP ou AWS. La gateway scale automatiquement et vous ne payez que le temps d’execution. Recommande pour les equipes distribuees.
Prerequisites avant de commencer le deploiement
Avant de vous lancer, verifiez que vous avez les elements suivants. Cote infrastructure, vous avez besoin d’un environnement capable de faire tourner des containers Docker, que ce soit un serveur Linux, un cluster Kubernetes ou un service serverless comme Cloud Run.
Vous devez egalement disposer d’une base PostgreSQL. Pour un POC, un container local suffit. En production, privilegiez une instance managee comme Cloud SQL ou RDS pour la haute disponibilite et les backups automatiques.
Cote identity, vous devez avoir acces a la configuration de votre provider OIDC. Si vous utilisez Google Workspace, il faudra creer un OAuth Client dans la console Google Cloud. Pour Okta ou Entra, vous devez pouvoir enregistrer une nouvelle application et recuperer le client ID et le client secret.
Enfin, vous avez besoin d’un credential upstream vers le backend d’inference de votre choix. Pour Amazon Bedrock, c’est un Access Key et Secret Key avec les permissions bedrock:InvokeModel. Pour Google Cloud, c’est un service account avec le role Vertex AI User. Pour l’API Claude directe, c’est une cle API Anthropic.
Etape 1 : installer la gateway via le binaire Claude Code
La gateway est distribuee dans le meme binaire que Claude Code. Si vous avez deja installe Claude Code sur votre machine, vous avez deja la gateway. Sinon, installez-la via npm ou le package manager de votre choix.
Une fois installe, vous pouvez lancer la gateway avec la commande suivante :
Etape 2 : creer le fichier de configuration gateway.yaml
Toute la configuration de la gateway tient dans un seul fichier YAML. Voici un exemple minimal pour demarrer avec Google Workspace comme identity provider et Amazon Bedrock comme backend :
Les sections cles du fichier de configuration
La section server definit l’adresse d’ecoute et la connexion PostgreSQL. En production, utilisez une variable d’environnement pour le mot de passe plutot qu’une valeur en clair.
La section oidc connecte la gateway a votre identity provider. Le champ allowed_domains restreint les connexions aux emails de votre domaine. Les claims definissent comment extraire l’email et les groupes du token OIDC.
La section routing determine ou envoyer le trafic d’inference. Vous pouvez configurer plusieurs providers et definir un ordre de failover si le provider principal est indisponible.
La section spend definit les limites de depenses par defaut. Ces valeurs s’appliquent a tous les utilisateurs qui n’ont pas de limite specifique definie via l’API admin.
Etape 3 : configurer les acces par groupe avec RBAC
La gateway permet de definir des regles d’acces differenciees selon les groupes OIDC de vos utilisateurs. Par exemple, vous pouvez autoriser Opus uniquement pour l’equipe senior, et restreindre les juniors a Sonnet.
Voici comment ajouter une section RBAC dans votre gateway.yaml :
Comment fonctionnent les mappings de groupes
Les groupes references dans mappings doivent correspondre aux groupes retournes par votre identity provider dans le claim groups. Pour Google Workspace, ce sont les Google Groups dont l’utilisateur est membre.
Si un utilisateur appartient a plusieurs groupes avec des roles differents, la gateway applique le role le plus permissif. Par exemple, un dev qui est a la fois dans engineering-senior et engineering-junior obtiendra les droits senior_dev.
Les regles RBAC sont re-verifiees a chaque requete. Si vous modifiez le fichier gateway.yaml et relancez la gateway, les nouvelles regles s’appliquent immediatement sans que les utilisateurs aient besoin de se reconnecter.
Comparatif des backends d’inference disponibles
Voici un tableau comparatif des trois options de routing pour vous aider a choisir :
Bonnes pratiques pour un deploiement production
Une fois votre POC valide, voici les ajustements a faire avant de passer en production. Premierement, stockez vos secrets dans un gestionnaire dedie comme AWS Secrets Manager, Google Secret Manager ou HashiCorp Vault. Ne laissez jamais de credentials en clair dans gateway.yaml.
Deuxiemement, deployez la gateway derriere un load balancer avec terminaison TLS. Les utilisateurs doivent se connecter en HTTPS pour que les tokens de session ne transitent pas en clair. Sur GCP, Cloud Run gere ca automatiquement. Sur AWS, utilisez un ALB avec un certificat ACM.
Troisiemement, configurez la telemetrie OTLP vers votre collecteur. Ajoutez une section telemetry dans gateway.yaml avec l’endpoint de votre collector OpenTelemetry. Vous pourrez alors visualiser les metriques de latence, de tokens consommes et d’erreurs dans Grafana ou Datadog.
Quatriemement, mettez en place des alertes sur les spend caps. Configurez des notifications Slack ou email quand un utilisateur atteint 75% puis 90% de sa limite. La gateway envoie ces alertes via l’API admin que vous pouvez connecter a votre systeme de ticketing.
Troubleshooting des problemes courants
Voici les erreurs les plus frequentes que je rencontre lors des deployments et comment les resoudre.
Erreur 401 Unauthorized a la connexion SSO
Cette erreur indique generalement un probleme de configuration OIDC. Verifiez que le client_id et client_secret correspondent exactement a ceux de votre application OAuth. Verifiez aussi que l’URL de callback est correctement enregistree dans votre identity provider, elle doit pointer vers https://votre-gateway/callback.
Erreur 429 Too Many Requests
Cette erreur signifie que l’utilisateur a atteint sa limite de depenses. La gateway retourne un 429 avec un header X-Spend-Remaining indiquant le budget restant. Vous pouvez augmenter la limite via l’API admin ou attendre le reset du compteur selon la periode configuree.
Latence elevee sur les premieres requetes
Les premieres requetes apres un cold start peuvent etre lentes car la gateway doit etablir la connexion PostgreSQL et charger la configuration. En production, configurez un minimum de replicas toujours actifs ou utilisez le prewarming si votre plateforme le supporte.
Questions frequentes sur Claude Apps Gateway
Qu’est-ce que Claude Apps Gateway et a quoi sert-il ?
Claude Apps Gateway est un control plane self-hosted developpe par Anthropic pour centraliser la gestion de Claude Code en entreprise. Il agit comme un proxy entre vos developpeurs et les backends d’inference comme Amazon Bedrock ou Google Cloud.
Son role principal est de remplacer la gestion manuelle des credentials par une authentification SSO, de permettre le suivi des depenses par utilisateur, et d’appliquer des regles d’acces aux modeles de maniere centralisee. La gateway se deploie comme un container stateless et ne necessite qu’une base PostgreSQL pour fonctionner.
Quels identity providers sont compatibles avec la gateway ?
La gateway supporte tout provider compatible OpenID Connect. Les providers officiellement testes par Anthropic sont Google Workspace, Microsoft Entra ID et Okta. Vous pouvez egalement utiliser des solutions comme Auth0, Keycloak ou n’importe quel serveur OIDC standard.
La configuration se fait via la section oidc du fichier gateway.yaml. Vous devez specifier l’URL de l’issuer, le client ID et le client secret de votre application OAuth, ainsi que les claims utilises pour extraire l’email et les groupes de l’utilisateur.
Comment fonctionne le systeme de spend caps ?
La gateway permet de definir des limites de depenses a trois niveaux : par utilisateur, par groupe ou pour toute l’organisation. Vous configurez des plafonds journaliers, hebdomadaires ou mensuels selon vos besoins de gouvernance.
Le comptage des depenses se fait en temps reel. A chaque requete, la gateway enregistre les tokens consommes dans PostgreSQL et compare au budget restant. Si la limite est atteinte, la requete est rejetee avec un code 429 et un message indiquant le prochain reset du compteur.
Peut-on router vers plusieurs backends en meme temps ?
Oui, la gateway supporte le multi-cloud avec failover automatique. Vous pouvez configurer plusieurs providers dans la section routing et definir un ordre de priorite. Si le provider principal est indisponible, la gateway bascule automatiquement sur le suivant.
Cette fonctionnalite est particulierement utile pour la haute disponibilite. Par exemple, vous pouvez router en priorite vers Bedrock EU-WEST-1 et basculer sur Google Cloud EU si AWS a un incident. Les utilisateurs ne voient aucune interruption de service.
Les donnees passent-elles par Anthropic avec la gateway ?
Cela depend du backend que vous choisissez. Si vous routez vers Amazon Bedrock ou Google Cloud, les donnees d’inference restent dans votre perimetre cloud et ne transitent jamais par les serveurs Anthropic. Seule la gateway communique avec votre cloud provider.
En revanche, si vous choisissez de router vers l’API Claude directe, les prompts et completions passent par l’infrastructure Anthropic comme pour une utilisation standard de l’API. Choisissez Bedrock ou GCP si vous avez des contraintes de residency ou de conformite.
Comment monitorer les performances de la gateway ?
La gateway expose des metriques via OpenTelemetry Protocol. Vous configurez un endpoint OTLP dans la section telemetry du fichier gateway.yaml, et toutes les metriques de latence, de tokens et d’erreurs sont envoyees vers votre collecteur.
Les metriques incluent le temps de reponse par requete, le nombre de tokens input et output, le provider utilise, l’identite de l’utilisateur et le modele sollicite. Vous pouvez integrer ces donnees dans Grafana, Datadog ou n’importe quel outil compatible OTLP.
Quelle est la latence ajoutee par la gateway ?
La gateway ajoute entre 10 et 50 millisecondes de latence selon votre infrastructure. Cette latence provient de la verification du token de session, du controle des spend caps et du logging de la requete. Sur des completions qui durent plusieurs secondes, c’est negligeable.
Pour minimiser la latence, deployez la gateway dans la meme region que votre backend d’inference. Par exemple, si vous utilisez Bedrock EU-WEST-1, deployez la gateway sur une instance EC2 ou un service ECS dans EU-WEST-1. La latence reseau intra-region est de l’ordre de 1-2ms.
Comment gerer les montees en charge avec la gateway ?
La gateway est conçue pour scaler horizontalement. Etant stateless, vous pouvez ajouter des replicas derriere un load balancer sans configuration speciale. Chaque instance lit la configuration depuis PostgreSQL et applique les memes regles.
Sur Kubernetes, un simple kubectl scale deployment gateway –replicas=5 suffit. Sur Cloud Run ou Fargate, le scaling est automatique selon la charge. Pour des pics previsibles, vous pouvez preconfigurer un minimum de replicas pour eviter les cold starts.
Peut-on utiliser la gateway sans deployer de container ?
Non, la gateway necessite un environnement d’execution de containers. C’est un choix delibere d’Anthropic pour garantir l’isolation et la portabilite. Vous ne pouvez pas l’executer directement sur un serveur bare-metal sans Docker ou un runtime compatible.
Si vous n’avez pas d’infrastructure container, le plus simple est d’utiliser un service serverless comme Google Cloud Run ou AWS Fargate. Vous uploadez l’image de la gateway, configurez les variables d’environnement, et le service gere le reste.
Quel est le cout de fonctionnement de la gateway ?
La gateway elle-meme est gratuite et open source. Vous payez uniquement l’infrastructure pour l’heberger. Un container minimal consomme environ 256 Mo de RAM et peu de CPU, ce qui represente quelques euros par mois sur Cloud Run ou Fargate.
Le cout principal reste l’inference Claude elle-meme. La gateway ne change pas les tarifs des modeles, elle ajoute juste une couche de gouvernance. Prevoyez aussi le cout de votre base PostgreSQL managee si vous choisissez Cloud SQL ou RDS plutot qu’un container local.
