Use o ChatGPT Work e o Codex com o Amazon Bedrock

Configure as interfaces locais do ChatGPT Work e do Codex para usar os modelos da OpenAI disponíveis no Amazon Bedrock. Nessa configuração, o cliente local envia solicitações de modelo ao Bedrock usando a autenticação e os controles de acesso gerenciados pela AWS.

Como funciona

Quando você configura uma interface local do ChatGPT Work ou do Codex para usar o Amazon Bedrock como provedor de modelos, as solicitações não passam pela API Responses hospedada pela OpenAI. O cliente local envia as solicitações de modelo ao Amazon Bedrock. Para os modelos da OpenAI com suporte, o Bedrock oferece uma implementação da API Responses compatível com a da OpenAI.

Antes de começar

Verifique se você tem:

• Credenciais da conta da AWS que pretende usar.
• Acesso aos modelos da OpenAI com suporte no Amazon Bedrock.
• Acesso a uma região da AWS em que o modelo selecionado esteja disponível.
• Permissão na AWS para invocar o modelo ou o perfil de inferência selecionado.

Verifique os requisitos de IAM específicos do modelo. Por exemplo, para usar o GPT-6 Sol pelo Runtime, você também precisa da permissão bedrock:InvokeModel no projeto padrão da conta. Consulte as instruções da AWS para configurar o GPT-6 Sol.

Configure o Codex com o Amazon Bedrock

Escolha o Amazon Bedrock como provedor

Configure o Bedrock manualmente

O aplicativo do ChatGPT para desktop, a CLI do Codex, a extensão de IDE e o SDK leem as mesmas camadas de configuração local. Para configurar o provedor manualmente ou mudar de endpoint, edite ~/.codex/config.toml.

Escolha o provedor de acordo com o endpoint do Amazon Bedrock que pretende usar: Bedrock Runtime para inferência entre regiões (CRIS) ou Bedrock Mantle para inferência na própria região.

Use o Bedrock Runtime em novas configurações. Para usar o Daybreak Blue ou o Daybreak Red pelo Mantle, siga as instruções de configuração dos modelos Daybreak.

Para usar o Runtime:

model_provider = "amazon-bedrock-runtime"
web_search = "disabled"

Configure as credenciais da AWS

As interfaces locais do ChatGPT Work e do Codex oferecem duas opções de autenticação no Bedrock. O cliente as verifica nesta ordem:

1. Chave de API do Bedrock.
2. Cadeia de credenciais do SDK da AWS.

Chave de API do Bedrock

Defina a chave de API do Bedrock no ambiente que o cliente local usa. Ao se autenticar com uma chave de API, você precisa especificar uma região.

export AWS_BEARER_TOKEN_BEDROCK="<your-bedrock-api-key>"
export AWS_REGION=us-east-2

No Windows PowerShell:

$env:AWS_BEARER_TOKEN_BEDROCK = "<your-bedrock-api-key>"
$env:AWS_REGION = "us-east-2"

Arquivos de configuração compartilhados da AWS

Configure os arquivos compartilhados config e credentials da AWS:

aws configure

Chaves de acesso da AWS

Defina suas chaves de acesso da AWS como variáveis de ambiente:

export AWS_ACCESS_KEY_ID="<your-access-key-id>"
export AWS_SECRET_ACCESS_KEY="<your-secret-access-key>"

Se usar credenciais temporárias, defina também o token de sessão:

export AWS_SESSION_TOKEN="<your-session-token>"

Credenciais do Console de Gerenciamento da AWS

Faça login com as credenciais do Console de Gerenciamento da AWS:

aws login

AWS SSO ou um perfil nomeado

Faça login com o AWS SSO e selecione o perfil pelo nome:

aws sso login --profile codex-bedrock
export AWS_PROFILE=codex-bedrock

Identidade federada

Para usar SSO corporativo ou federação OIDC, configure uma identidade federada com credential_process fora do cliente local e deixe que o SDK da AWS obtenha as credenciais. Implemente o login pelo navegador, a troca de tokens, o armazenamento em cache e a renovação dos tokens no programa auxiliar credential_process do seu perfil da AWS.

Aplicativo para desktop e extensão de IDE

Aplicativos para desktop e extensões de IDE podem não herdar as variáveis de ambiente do shell. Adicione os valores necessários a ~/.codex/.env e reinicie o aplicativo ou a extensão. No Windows, o caminho padrão é %USERPROFILE%\.codex\.env.

export AWS_BEARER_TOKEN_BEDROCK="<your-bedrock-api-key>"
export AWS_REGION=us-east-2

Escolha um modelo

O Codex usa o valor de model_provider para determinar quais modelos aparecem no seletor de modelos: os compatíveis com o endpoint do Bedrock Runtime para amazon-bedrock-runtime ou os compatíveis com o endpoint do Bedrock Mantle para amazon-bedrock.

Se quiser, especifique um modelo compatível no arquivo de configuração. O provedor integrado fornece seu próprio catálogo de modelos. Ao trocar de endpoint, atualize o provedor e, na mesma alteração, qualquer ID de modelo que você tenha definido explicitamente.

Verifique sua conexão

• Na CLI do Codex, abra /status e confirme que o provedor de modelos corresponde ao seu endpoint: amazon-bedrock para inferência na própria região com o Mantle ou amazon-bedrock-runtime para inferência entre regiões com o Runtime, nas modalidades Global ou Geo.
• Reinicie o aplicativo do ChatGPT para desktop, selecione o modo Work ou o Codex e inicie uma nova tarefa.
• Na extensão de IDE, inicie uma nova sessão depois de reiniciar a extensão.
• Confirme que o modelo selecionado está disponível na região da AWS configurada e que a identidade da AWS tem permissão para acessá-lo.

Em seguida, envie um prompt curto em uma nova tarefa:

Reply with exactly: bedrock-ok

A resposta esperada é bedrock-ok. Confirme o provedor e o modelo no cliente, pois a resposta por si só não identifica a rota usada. Para validar a configuração antes da implantação, use uma pasta descartável com permissões de somente leitura. Verifique se uma tarefa inofensiva que usa uma ferramenta local funciona e se você consegue dar continuidade a ela na interação seguinte.

Modelos compatíveis

Use um ID de perfil de inferência para o provedor Bedrock Runtime ou um ID de modelo para o provedor Bedrock Mantle. O modelo ou perfil selecionado precisa estar disponível na sua região da AWS, e sua identidade da AWS precisa ter acesso a ele.

Inferência entre regiões nas modalidades Global e Geo com o endpoint do Bedrock Runtime

O Global CRIS pode encaminhar solicitações para regiões comerciais da AWS com suporte em todo o mundo. O Geo CRIS encaminha solicitações dentro da área geográfica do perfil. Escolha um escopo de roteamento compatível com suas permissões na AWS e seus requisitos de residência de dados.

Use model_provider = "amazon-bedrock-runtime". Se definir a opção model, use um ID de perfil de inferência das listas a seguir. O provedor usa https://bedrock-runtime.{region}.amazonaws.com/openai/v1, em que {region} é a região de origem da AWS com suporte de onde você envia as solicitações. Tanto o Global CRIS quanto o Geo CRIS usam esse endereço de endpoint.

Global CRIS

Modelos compatíveis e IDs de perfil de inferência:

• GPT-6 Astra: global.openai.gpt-6-astra
• GPT-6 Sol: global.openai.gpt-6-sol
• GPT-6 Luna: global.openai.gpt-6-luna

Por exemplo, para configurar o Astra com Global CRIS em ~/.codex/config.toml:

model_provider = "amazon-bedrock-runtime"
model = "global.openai.gpt-6-astra"

Geo CRIS dos Estados Unidos

Modelos compatíveis e IDs de perfil de inferência:

• GPT-6 Astra: us.openai.gpt-6-astra
• GPT-6 Sol: us.openai.gpt-6-sol
• GPT-6 Luna: us.openai.gpt-6-luna

O seletor de modelos do Runtime integrado ao Codex lista as variantes Geo dos Estados Unidos e as variantes Global.

A disponibilidade dos modelos e do CRIS varia conforme a região de origem da AWS. Antes de selecionar um provedor e um modelo, consulte a documentação da AWS sobre regiões e modelos compatíveis com perfis de inferência, que contém links para os IDs exatos dos perfis de inferência de cada modelo e sua disponibilidade regional. Consulte também a disponibilidade regional por modelo.

Inferência na própria região com o endpoint do Bedrock Mantle

Use model_provider = "amazon-bedrock" e, se quiser, especifique um ID de modelo. O provedor usa https://bedrock-mantle.{region}.api.aws/openai/v1.

Modelos compatíveis e seus IDs:

• GPT-6 Astra: openai.gpt-6-astra
• GPT-6 Sol: openai.gpt-6-sol
• GPT-6 Luna: openai.gpt-6-luna

O GPT-6 Sol e o GPT-6 Luna estão disponíveis pelo Mantle em us-east-1 (Norte da Virgínia). A disponibilidade dos modelos varia conforme a região da AWS. Antes de selecionar um provedor e um modelo, consulte a disponibilidade regional por modelo na documentação da AWS. Para o GPT-6 Astra, consulte a página do modelo GPT-6 Astra no Bedrock.

Daybreak Blue e Daybreak Red

Clientes com acesso aprovado podem usar os seguintes modelos Daybreak pelo Mantle na região us-east-2 (Ohio):

• Daybreak Blue: openai.gpt-daybreak-blue-5.6-sol
• Daybreak Red: openai.gpt-5.6-cyber

Observação: Nos serviços hospedados pela OpenAI, você pode selecionar o Daybreak separadamente do modelo. No Bedrock, os IDs de modelo acima ativam o comportamento do Daybreak por padrão, sem necessidade de configuração adicional.

Esses modelos permitem inferência na própria região com amazon-bedrock. Eles não são compatíveis com o Runtime nem com a inferência entre regiões nas modalidades Geo e Global. Use os IDs de modelo exatamente como aparecem acima, sem acrescentar o prefixo us. ou global.. Consulte os cartões dos modelos Daybreak Blue e Daybreak Red na documentação da AWS.

Solicite acesso pelo formulário de acesso empresarial ao Daybreak ou com a equipe da OpenAI responsável pela sua conta. Após a aprovação, trabalhe com a equipe da AWS responsável pela sua conta para provisionar o modelo no Amazon Bedrock.

Após o provisionamento, selecione explicitamente o Daybreak Blue em ~/.codex/config.toml:

model_provider = "amazon-bedrock"
model = "openai.gpt-daybreak-blue-5.6-sol"

[model_providers.amazon-bedrock.aws]
region = "us-east-2"

Se você já tem aprovação para acessar o GPT-5.6-Cyber pelo Daybreak Red, substitua o ID do modelo por openai.gpt-5.6-cyber e mantenha o mesmo provedor e a mesma região. Mantenha a autenticação da AWS configurada e, em seguida, verifique o provedor e o modelo selecionados.

Disponibilidade de recursos

Essa configuração permite usar os fluxos de trabalho locais do ChatGPT Work e do Codex. No momento, o ChatGPT Work hospedado na Web, o Codex Cloud e os recursos que dependem de serviços em nuvem hospedados pela OpenAI ou de mecanismos de descoberta gerenciados na nuvem estão indisponíveis. A pesquisa na Web hospedada está indisponível no Runtime. Se precisar dela, use o Mantle.

A CLI do Codex Security tem sua própria configuração de provedor. Para configurá-la, siga as instruções de configuração do Amazon Bedrock em vez de usar as configurações do cliente nativo descritas acima.

Use o Mantle para pesquisa na Web hospedada

Para usar o endpoint do Bedrock Mantle:

model_provider = "amazon-bedrock"
web_search = "cached"

Solução de problemas

Se a configuração falhar, verifique os seguintes pontos:

• O ID do modelo corresponde exatamente ao de um modelo compatível.
• O provedor de modelos corresponde ao endpoint: amazon-bedrock-runtime para o endpoint do Runtime ou amazon-bedrock para o endpoint do Mantle.
• A região da AWS especificada oferece o modelo.
• A chave de API do Bedrock ou as credenciais da AWS são válidas e estão dentro do prazo de validade.
• A identidade da AWS tem permissão para acessar o modelo selecionado no Bedrock.
• AWS_BEARER_TOKEN_BEDROCK não contém uma chave expirada ou diferente da que você pretende usar.
• Se você usa o aplicativo para desktop ou a extensão de IDE, as variáveis de ambiente necessárias estão em ~/.codex/.env.

Para autenticação com um perfil do SDK da AWS, execute aws sts get-caller-identity --profile codex-bedrock para confirmar a identidade do perfil selecionado. Substitua codex-bedrock pelo nome do seu perfil ou omita --profile se usar a cadeia de credenciais padrão. Esse comando verifica a identidade da AWS, mas não verifica se ela tem permissão para invocar um modelo do Bedrock. Confira AWS_BEARER_TOKEN_BEDROCK separadamente para evitar que uma chave de API definida por engano leve o cliente a usar outra opção de autenticação.

Escopo do suporte

O suporte da OpenAI pode ajudar na instalação e configuração dos clientes do ChatGPT Work e do Codex, no uso local do produto e em questões sobre o funcionamento da CLI local, do aplicativo para desktop e da extensão de IDE.

Para questões sobre credenciais da AWS, permissões de IAM, acesso a modelos do Bedrock, cotas, cobrança, disponibilidade regional, falhas em solicitações ao Bedrock, logs de serviços da AWS ou funcionamento do serviço Bedrock, entre em contato com o administrador da AWS do cliente ou com o suporte da AWS.