Amazon Bedrock 直连

Bedrock 直连由本地客户端向 Amazon Bedrock 发送模型请求，不经过 OpenAI-hosted Responses API。认证使用 Bedrock API key 或 AWS IAM 凭据，不能用 ChatGPT 登录或 OPENAI_API_KEY 代替。

选择 endpoint

新配置官方建议 Bedrock Runtime：

model_provider = "amazon-bedrock-runtime"
web_search = "disabled"

Runtime 使用 cross-Region inference，不支持 hosted web search。需要该搜索能力时，Mantle 使用 in-Region inference：

model_provider = "amazon-bedrock"
web_search = "cached"

内置 provider 提供自己的模型目录。切换 endpoint 时同时更新显式 model ID；所选模型必须在目标 AWS Region 可用，账号具备调用权限。具体模型列表与 IAM 要求以官方当前表格为准。

认证顺序

客户端先检查 AWS_BEARER_TOKEN_BEDROCK，再使用 AWS SDK credential chain。API-key 方式必须指定 Region，例如：

export AWS_BEARER_TOKEN_BEDROCK=<your-bedrock-api-key>
export AWS_REGION=us-east-2

Region 是示例，应替换为实际可用区域。SDK 方式支持共享 AWS config/credentials、标准环境凭据、AWS login、SSO/named profile，以及由外部 credential_process 管理的 federation。

aws sso login --profile codex-bedrock
export AWS_PROFILE=codex-bedrock

上述 profile 必须预先配置。旧的 AWS_BEARER_TOKEN_BEDROCK 会抢先选择 API-key 路径，排查 SDK 身份时也要检查它。

桌面与 IDE

应用或扩展可能不继承终端变量。官方支持把所需值放进 ~/.codex/.env，Windows 默认是 %USERPROFILE%.codex.env，随后重启应用或扩展。该文件包含凭据时按秘密文件管理。

验证与排障

CLI 的 /status 核对 provider 和 model，再在新任务要求返回 bedrock-ok。还应在可丢弃目录中测试无害只读工具和续轮，单纯文本响应不能证明完整集成。

aws sts get-caller-identity --profile codex-bedrock 只验证 SDK 选择的 AWS 身份，不验证 Bedrock 模型调用权限。模型 ID、Region、凭据有效期、IAM、配额与服务错误分别检查；客户端配置问题由 OpenAI 文档说明，AWS 访问与服务问题由组织 AWS 管理员或 AWS Support 处理。