Utiliser ChatGPT Work et Codex avec Amazon Bedrock

Configurez les interfaces locales de ChatGPT Work et de Codex pour utiliser les modèles OpenAI disponibles via Amazon Bedrock. Dans cette configuration, le client local envoie les requêtes destinées aux modèles à Bedrock. AWS gère l’authentification et le contrôle des accès.

Fonctionnement

Lorsque vous configurez Amazon Bedrock comme fournisseur de modèles dans une interface locale de ChatGPT Work ou de Codex, les requêtes ne passent pas par l’API Responses hébergée par OpenAI. Le client local les envoie à Amazon Bedrock, qui fournit une implémentation de l’API Responses compatible avec OpenAI pour les modèles OpenAI pris en charge.

Avant de commencer

Vérifiez que vous disposez des éléments suivants :

• Les identifiants du compte AWS que vous souhaitez utiliser.
• L’accès aux modèles OpenAI pris en charge dans Amazon Bedrock.
• L’accès à une région AWS où le modèle choisi est disponible.
• L’autorisation AWS d’invoquer le modèle ou le profil d’inférence choisi.

Vérifiez les exigences IAM propres au modèle. Par exemple, pour utiliser GPT-6 Sol via Runtime, vous devez également disposer de l’autorisation bedrock:InvokeModel sur le projet par défaut du compte. Consultez les instructions de configuration de GPT-6 Sol dans la documentation AWS.

Configurer Codex avec Amazon Bedrock

Choisir Amazon Bedrock comme fournisseur

Configurer Bedrock manuellement

L’application de bureau ChatGPT, Codex CLI, l’extension IDE et le SDK lisent les mêmes couches de configuration locale. Pour configurer le fournisseur manuellement ou changer de point de terminaison, modifiez ~/.codex/config.toml.

Choisissez le fournisseur correspondant au point de terminaison Amazon Bedrock que vous souhaitez utiliser : Bedrock Runtime pour l’inférence interrégionale (CRIS) ou Bedrock Mantle pour l’inférence au sein d’une seule région.

Pour toute nouvelle configuration, utilisez Bedrock Runtime. Pour Daybreak Blue et Daybreak Red, suivez les instructions de configuration des modèles Daybreak pour utiliser Mantle.

Pour Runtime, appliquez la configuration suivante :

model_provider = "amazon-bedrock-runtime"
web_search = "disabled"

Configurer les identifiants AWS

Les interfaces locales de ChatGPT Work et de Codex prennent en charge deux méthodes d’authentification auprès de Bedrock. Elles les vérifient dans cet ordre :

1. Clé API Bedrock.
2. Chaîne de fournisseurs d’identifiants du SDK AWS.

Clé API Bedrock

Définissez la clé API Bedrock dans l’environnement que lit le client local. Pour vous authentifier avec une clé API, vous devez préciser une région.

export AWS_BEARER_TOKEN_BEDROCK="<your-bedrock-api-key>"
export AWS_REGION=us-east-2

Dans PowerShell sous Windows :

$env:AWS_BEARER_TOKEN_BEDROCK = "<your-bedrock-api-key>"
$env:AWS_REGION = "us-east-2"

Fichiers de configuration AWS partagés

Configurez les fichiers AWS partagés config et credentials :

aws configure

Clés d’accès AWS

Définissez vos clés d’accès AWS dans des variables d’environnement :

export AWS_ACCESS_KEY_ID="<your-access-key-id>"
export AWS_SECRET_ACCESS_KEY="<your-secret-access-key>"

Si vous utilisez des identifiants temporaires, définissez également le jeton de session :

export AWS_SESSION_TOKEN="<your-session-token>"

Identifiants de la console de gestion AWS

Connectez-vous avec vos identifiants de la console de gestion AWS :

aws login

AWS SSO ou profil nommé

Connectez-vous avec AWS SSO et sélectionnez le profil nommé :

aws sso login --profile codex-bedrock
export AWS_PROFILE=codex-bedrock

Identité fédérée

Pour utiliser le SSO de votre entreprise ou la fédération OIDC, configurez une identité fédérée avec credential_process en dehors du client local et laissez le SDK AWS récupérer les identifiants. Confiez la connexion par navigateur, l’échange de jetons, leur mise en cache et leur renouvellement au programme credential_process de votre profil AWS.

Application de bureau et extension IDE

Les applications de bureau et les extensions IDE n’héritent pas toujours des variables d’environnement du shell. Ajoutez les valeurs requises dans ~/.codex/.env, puis redémarrez l’application ou l’extension. Sous Windows, le chemin par défaut est %USERPROFILE%\.codex\.env.

export AWS_BEARER_TOKEN_BEDROCK="<your-bedrock-api-key>"
export AWS_REGION=us-east-2

Choix du modèle

Codex utilise la valeur de model_provider pour déterminer quels modèles afficher dans le sélecteur de modèles : ceux que prend en charge le point de terminaison Bedrock Runtime pour amazon-bedrock-runtime, ou le point de terminaison Bedrock Mantle pour amazon-bedrock.

Vous pouvez préciser un modèle pris en charge dans le fichier de configuration. Le fournisseur intégré dispose de son propre catalogue de modèles. Si vous changez de point de terminaison, modifiez le fournisseur et, si vous avez explicitement défini un ID de modèle, modifiez-le en même temps.

Vérifier votre connexion

• Dans Codex CLI, ouvrez /status et vérifiez que le fournisseur de modèles correspond à votre point de terminaison : amazon-bedrock pour l’inférence au sein d’une région avec Mantle, ou amazon-bedrock-runtime pour l’inférence interrégionale Global ou Geo avec Runtime.
• Redémarrez l’application de bureau ChatGPT, puis sélectionnez le mode Work ou Codex et lancez une nouvelle tâche.
• Redémarrez l’extension IDE, puis ouvrez une nouvelle session dans l’extension.
• Vérifiez que le modèle choisi est disponible dans la région AWS configurée et que l’identité AWS est autorisée à y accéder.

Envoyez ensuite un prompt court dans une nouvelle tâche :

Reply with exactly: bedrock-ok

La réponse attendue est bedrock-ok. Vérifiez le fournisseur et le modèle dans le client, car la réponse seule ne permet pas de savoir par où la requête est passée. Pour valider la configuration avant le déploiement, utilisez un dossier temporaire en lecture seule. Vérifiez qu’une tâche sans risque faisant appel à un outil local s’exécute correctement, puis envoyez un message de suivi et vérifiez la réponse.

Modèles pris en charge

Pour le fournisseur Bedrock Runtime, utilisez un ID de profil d’inférence. Pour le fournisseur Bedrock Mantle, utilisez un ID de modèle. Le modèle ou le profil choisi doit être disponible dans votre région AWS et accessible à votre identité AWS.

Inférence interrégionale Global et Geo via le point de terminaison Bedrock Runtime

Global CRIS peut acheminer les requêtes vers les régions AWS commerciales prises en charge dans le monde entier. Geo CRIS les achemine uniquement dans la zone géographique du profil. Choisissez une portée de routage compatible avec vos autorisations AWS et vos exigences de résidence des données.

Utilisez model_provider = "amazon-bedrock-runtime". Si vous définissez le paramètre facultatif model, utilisez un ID de profil d’inférence figurant dans les listes ci-dessous. Le fournisseur utilise https://bedrock-runtime.{region}.amazonaws.com/openai/v1, où {region} correspond à la région AWS source prise en charge depuis laquelle vous envoyez vos requêtes. Global CRIS et Geo CRIS utilisent la même adresse de point de terminaison.

Global CRIS

Modèles pris en charge et ID de profil d’inférence correspondants :

• GPT-6 Astra : global.openai.gpt-6-astra
• GPT-6 Sol : global.openai.gpt-6-sol
• GPT-6 Luna : global.openai.gpt-6-luna

Par exemple, configurez Astra avec Global CRIS dans ~/.codex/config.toml :

model_provider = "amazon-bedrock-runtime"
model = "global.openai.gpt-6-astra"

Geo CRIS pour les États-Unis

Modèles pris en charge et ID de profil d’inférence correspondants :

• GPT-6 Astra : us.openai.gpt-6-astra
• GPT-6 Sol : us.openai.gpt-6-sol
• GPT-6 Luna : us.openai.gpt-6-luna

Le sélecteur de modèles Runtime intégré à Codex propose les variantes Geo pour les États-Unis et les variantes Global.

La disponibilité des modèles et de l’inférence CRIS varie selon la région AWS source. Avant de choisir un fournisseur et un modèle, consultez la page AWS sur les régions et modèles pris en charge pour les profils d’inférence. Elle contient des liens vers les ID exacts des profils d’inférence de chaque modèle et indique où ils sont disponibles. Consultez également la page AWS sur la disponibilité régionale de chaque modèle.

Inférence au sein d’une région via le point de terminaison Bedrock Mantle

Utilisez model_provider = "amazon-bedrock" et, si vous le souhaitez, précisez un ID de modèle. Le fournisseur utilise https://bedrock-mantle.{region}.api.aws/openai/v1.

Modèles pris en charge et ID de modèle correspondants :

• GPT-6 Astra : openai.gpt-6-astra
• GPT-6 Sol : openai.gpt-6-sol
• GPT-6 Luna : openai.gpt-6-luna

GPT-6 Sol et Luna sont disponibles via Mantle dans us-east-1 (Virginie du Nord). La disponibilité des modèles varie selon la région AWS. Avant de choisir un fournisseur et un modèle, consultez la page AWS sur la disponibilité régionale de chaque modèle. Pour GPT-6 Astra, consultez la fiche du modèle GPT-6 Astra dans Bedrock.

Daybreak Blue et Daybreak Red

Si votre demande d’accès a été approuvée, vous pouvez utiliser les modèles Daybreak suivants via Mantle dans la région us-east-2 (Ohio) :

• Daybreak Blue : openai.gpt-daybreak-blue-5.6-sol
• Daybreak Red : openai.gpt-5.6-cyber

Remarque : sur les services hébergés par OpenAI, vous pouvez sélectionner Daybreak indépendamment du modèle. Sur Bedrock, les ID de modèle ci-dessus activent Daybreak par défaut, sans réglage supplémentaire.

Ces modèles prennent en charge l’inférence au sein d’une région via amazon-bedrock. Ils ne prennent en charge ni Runtime ni l’inférence interrégionale Geo ou Global. Utilisez les ID de modèle exactement tels qu’ils figurent ci-dessus, sans préfixe us. ou global.. Consultez les fiches modèle AWS de Daybreak Blue et de Daybreak Red.

Demandez l’accès via le formulaire de demande d’accès à Daybreak pour les entreprises ou auprès de l’équipe OpenAI chargée de votre compte. Une fois votre demande approuvée, faites provisionner le modèle sur Amazon Bedrock avec l’aide de l’équipe AWS chargée de votre compte. L’accès à GPT-5.6-Cyber nécessite une approbation propre à ce modèle, en plus de celle accordée pour Daybreak Red. Vérifiez les conditions d’accès à Daybreak auprès de l’équipe OpenAI chargée de votre compte.

Une fois le modèle provisionné, sélectionnez explicitement Daybreak Blue dans ~/.codex/config.toml :

model_provider = "amazon-bedrock"
model = "openai.gpt-daybreak-blue-5.6-sol"

[model_providers.amazon-bedrock.aws]
region = "us-east-2"

Si vous avez obtenu l’autorisation d’utiliser GPT-5.6-Cyber avec Daybreak Red, remplacez l’ID de modèle par openai.gpt-5.6-cyber et conservez le même fournisseur et la même région. Conservez votre configuration d’authentification AWS, puis vérifiez le fournisseur et le modèle sélectionnés.

Disponibilité des fonctionnalités

Cette configuration prend en charge les workflows locaux de ChatGPT Work et de Codex. La version de ChatGPT Work hébergée sur le Web, Codex Cloud et les fonctionnalités qui dépendent de services cloud hébergés par OpenAI ou de mécanismes de découverte gérés dans le cloud sont actuellement indisponibles. Runtime ne prend pas en charge la recherche web hébergée. Si vous en avez besoin, utilisez Mantle.

Codex Security CLI utilise sa propre configuration de fournisseur. Pour le configurer, suivez ses instructions de configuration pour Amazon Bedrock au lieu d’appliquer les paramètres du client natif décrits ci-dessus.

Recherche web hébergée avec Mantle

Pour utiliser le point de terminaison Bedrock Mantle, appliquez la configuration suivante :

model_provider = "amazon-bedrock"
web_search = "cached"

Dépannage

Si la configuration échoue, vérifiez les points suivants :

• L’ID de modèle correspond exactement à celui d’un modèle pris en charge.
• Le fournisseur de modèles correspond au point de terminaison : amazon-bedrock-runtime pour Runtime ou amazon-bedrock pour Mantle.
• Vous avez indiqué une région AWS où le modèle est disponible.
• La clé API Bedrock ou les identifiants AWS sont valides et n’ont pas expiré.
• L’identité AWS est autorisée à accéder au modèle Bedrock choisi.
• AWS_BEARER_TOKEN_BEDROCK ne contient ni une clé expirée ni une clé différente de celle que vous comptez utiliser.
• Si vous utilisez l’application de bureau ou l’extension IDE, les variables d’environnement requises figurent dans ~/.codex/.env.

Si vous vous authentifiez avec un profil du SDK AWS, exécutez aws sts get-caller-identity --profile codex-bedrock pour vérifier l’identité associée au profil choisi. Remplacez codex-bedrock par le nom de votre profil ou omettez --profile si vous utilisez la chaîne de fournisseurs d’identifiants par défaut. Cette commande vérifie l’identité AWS, mais ne vérifie pas si elle est autorisée à invoquer un modèle Bedrock. Vérifiez séparément AWS_BEARER_TOKEN_BEDROCK pour éviter qu’une clé API définie par erreur ne fasse utiliser une autre méthode d’authentification.

Qui contacter en cas de problème

L’assistance OpenAI peut vous aider à installer et à configurer les clients ChatGPT Work et Codex. Elle peut également répondre à vos questions sur le fonctionnement local de la CLI, de l’application de bureau et de l’extension IDE, ainsi que sur l’utilisation du produit en local.

Pour toute question concernant les identifiants AWS, les autorisations IAM, l’accès aux modèles Bedrock, les quotas, la facturation, la disponibilité régionale, les échecs de requêtes Bedrock, les journaux des services AWS ou le fonctionnement du service Bedrock, contactez l’administrateur AWS du client ou l’assistance AWS.