AWS发布指南：ChatGPT桌面端接入GovCloud版Bedrock
AWS机器学习博客介绍如何把ChatGPT桌面端及Codex的模型推理指向AWS GovCloud（美国）us-gov-west-1的Bedrock端点，使用API登录、设备管理策略、命名AWS配置文件和网络限制，便于机构安全团队先测试再推广。
AI解读：AWS机器学习博客作者Virgil Ennes发布配置指南，说明ChatGPT桌面端现已可在AWS GovCloud（美国）的Amazon Bedrock上使用，通过Work与Codex两个组件访问OpenAI模型。
指南面向安全架构要求模型推理使用GovCloud身份、端点和区域控制的组织，把Codex的模型请求经us-gov-west-1的Amazon Bedrock Mantle路由，并用IAM与既有网络控制管理访问。
计费按token计，无席位许可、无按开发者承诺；支持零数据保留（ZDR），即提示与响应不被AWS写入持久存储，也不共享给模型提供方。
博客明确：使用GovCloud并遵循该指南本身不构成工作负载授权，组织仍需按自身系统安全计划和授权流程审核模型、区域、端点、工作站控制、凭据和数据流。
AWS机器学习博客发布配置指南，称ChatGPT桌面端现已在AWS GovCloud（美国）的Amazon Bedrock上可用，可访问OpenAI的前沿模型。文章由Virgil Ennes撰写，给出一次受控本地部署的步骤：把模型推理送到us-gov-west-1的Amazon Bedrock。
指南介绍两个组件：Work用于完成复杂的多步任务并给出可审阅的结果；Codex是用于开发、测试和审查软件的编码代理。用户可通过ChatGPT桌面应用、Codex CLI，以及Visual Studio Code、JetBrains、Xcode的IDE集成使用。
配置方式与访问控制
配置方式是API模式登录、受管设备策略、命名AWS配置文件和网络限制。博客给出的策略只允许访问获批的Amazon Bedrock端点，关闭其他外部连接和联网能力，使机构安全团队可以测试并记录后再批准更广范围的使用。
这套部署直接使用AWS，因此ChatGPT工作区规则和用户角色不控制它；主要安全控制来自计算机策略和所用的AWS身份与权限。模型推理经Amazon Bedrock上的Responses API路由，有数据驻留要求的客户，处理留在所选定的Amazon Bedrock AWS区域。
身份认证支持两条路径：Amazon Bedrock API key，或AWS SDK凭据链；凭据链路径内支持通过AWS IAM Identity Center使用AWS SSO。应用会先检查环境中的AWS_BEARER_TOKEN_BEDROCK，存在时优先于基于配置文件的认证。
文件、限制与责任边界
需要先放置两个配置文件再启动应用：用户级config.toml与管理员级requirements.toml，博客给出了Windows、Linux、macOS的具体路径。requirements.toml设定用户无法覆盖的安全上限；config.toml指定模型提供方为amazon-bedrock、模型ID、区域us-gov-west-1和命名配置文件等信息。
博客列出的排错情形包括：应用提示登录OpenAI账号、GovCloud端点被报告为不支持、使用了错误的AWS身份、能力限制未生效。仅更改URL并不能建立支持，需与OpenAI确认桌面端或app-server版本、端点与模型。
文章强调，使用AWS GovCloud并遵循该指南本身并不授权工作负载；组织仍需对照自身系统安全计划和授权流程，审核所选模型、AWS服务、区域、端点、工作站控制、代码仓库、凭据和数据流。