La aplicación de escritorio de ChatGPT está ahora disponible en Amazon Bedrock en AWS GovCloud (EE. UU.), proporcionando acceso a los modelos avanzados de OpenAI a través de dos componentes. Work completa tareas complejas y multietapa y entrega resultados listos para ser revisados, y Codex es un agente de programación para desarrollar, probar y revisar software.
Esta guía está dirigida a organizaciones cuya arquitectura de seguridad requiere que la inferencia de modelos utilice identidades, endpoints y controles regionales de AWS GovCloud (EE. UU.). Configura Codex para que los solicitos de modelo se enruten a través de Amazon Bedrock Mantle en us-gov-west-1, donde el acceso puede gestionarse mediante AWS Identity and Access Management (IAM) y los controles de red existentes de AWS GovCloud (EE. UU.).
Codex es el agente de programación de OpenAI para el desarrollo de software impulsado por IA. Con los modelos GPT que permiten la inferencia, Codex introduce una nueva clase de inteligencia optimizada para los flujos de trabajo de desarrolladores complejos y de largo plazo. Se puede utilizar la aplicación de escritorio ChatGPT, la CLI de Codex y las integraciones de IDE con Visual Studio Code, JetBrains y Xcode. La inferencia del modelo se enruta a través de la API Responses en Amazon Bedrock.
Para los clientes que tengan requisitos de residencia de datos, el procesamiento se realiza dentro de la región Amazon Bedrock de AWS que seleccione. Se paga por token, sin licencias de asiento ni compromisos por desarrollador. También se soporta la Zero Data Retention (ZDR). En este modo configurable, las prompts y las respuestas se procesan sin ser guardadas en almacenamiento duradero por AWS ni compartidas con proveedores de modelos. Esto le ayuda a proteger la información sensible y a cumplir con estrictos requisitos de gobernanza de datos, privacidad y seguridad.
Este artículo describe una implementación local controlada de la aplicación de escritorio ChatGPT, que envía inferencias del modelo al Amazon Bedrock en AWS GovCloud (US-West). La configuración utiliza inicio de sesión en modo API, una política de dispositivo gestionada, un perfil de AWS nombrado y restricciones de red. Estas restricciones permiten el acceso únicamente al punto de acceso aprobado de Amazon Bedrock, mientras deshabilitan otras conexiones externas y las capacidades habilitadas por la red. El resultado es una implementación que un equipo de seguridad de la agencia puede probar y documentar antes de aprobar su uso más amplio.
Usar AWS GovCloud (EE.UU.) y seguir esta guía, por sí solas, no autoriza su carga de trabajo. Su organización sigue siendo responsable de revisar el modelo seleccionado, los servicios de AWS, la región, el punto de acceso, los controles de la estación de trabajo, los repositorios, las credenciales y los flujos de datos en relación con su plan de seguridad del sistema y el proceso de autorización.
Descripción general de la solución
Puede utilizar la aplicación de escritorio de ChatGPT de dos maneras:
- Trabajar en tareas más grandes que requieren planificación, investigación, archivos y un resultado final.
- Código para trabajos técnicos como edición de código, ejecución de pruebas y revisión de pull requests.
La aplicación de escritorio de ChatGPT se ejecuta en una computadora gestionada por la organización a través de la aplicación de escritorio o la CLI. Utiliza las credenciales AWS configuradas para enviar solicitudes de manera segura al punto final de Amazon Bedrock Mantle en us-gov-west-1. Dado que este arreglo utiliza directamente AWS, las reglas del espacio de trabajo de ChatGPT y los roles de usuario no lo controlan. Los principales controles de seguridad son las políticas de la computadora y las identidades y permisos de AWS utilizados.
Desplazamiento
La configuración incluye tres pasos principales: establecer la autenticación, configurar los archivos de configuración de la aplicación de escritorio ChatGPT, y luego iniciar, inicializar y verificar la implementación.
Requisitos previos
Antes de configurar la aplicación de escritorio ChatGPT con AWS GovCloud (EE. UU.), asegúrese de que su versión de la aplicación de escritorio ChatGPT soporte Amazon Bedrock en AWS GovCloud (EE. UU.). Necesita una cuenta aprobada de AWS GovCloud (EE. UU.), una identidad IAM y credenciales aprobadas, acceso al modelo aprobado, a la región de AWS y al punto de acceso, así como permiso para utilizarlos. También necesita configurar los archivos requirements.toml y config.toml.
Paso 1: Configurar la autenticación
Seleccione la cuenta de AWS GovCloud (US) aprobada y la identidad o rol IAM con acceso al modelo aprobado en us-gov-west-1. Obtenga credenciales a través del mecanismo aprobado de su organización. Esta guía utiliza el perfil nombrado codex-il5. Mantenga las credenciales, los tokens portadores, los tokens de sesión y otros secretos fuera de los archivos TOML.
Proteja la configuración del perfil, la fuente de credenciales, el caché del token SSO y cualquier ayudante de credenciales frente a las escrituras de tareas de la aplicación de escritorio de ChatGPT, mientras permite que las herramientas de autenticación aprobadas mantengan y actualicen las credenciales.
La aplicación de escritorio de ChatGPT soporta dos métodos de autenticación de Amazon Bedrock: una clave de API de Amazon Bedrock o la cadena de credenciales del AWS SDK. El SSO de AWS a través del AWS IAM Identity Center está soportado en el método de cadena de credenciales.
La aplicación primero verifica la existencia de AWS_BEARER_TOKEN_BEDROCK en su entorno. Para uso en escritorio, esta variable puede proporcionarse a través de %USERPROFILE%\.codex\.env en Windows o ~/.codex/.env en Linux y macOS. Cuando está presente, el token de portador tiene prioridad sobre la autenticación basada en el perfil.
Si no hay un token de portador disponible, la aplicación recurrira a la cadena de credenciales estándar del SDK de AWS. La cadena puede leer las credenciales de AWS desde ~/.aws/credentials y los ajustes de perfil relacionados desde ~/.aws/config. En Windows, los caminos por defecto correspondientes son %USERPROFILE%\.aws\credentials y %USERPROFILE%\.aws\config. La cadena también soporta perfiles SSO. Para SSO, utiliza los ajustes de perfil en el archivo de configuración de AWS y la sesión SSO almacenada para obtener credenciales temporales de rol. Estas credenciales no necesitan ser almacenadas manualmente en el archivo de credenciales de AWS. Véase la documentación de autenticación Bedrock de OpenAI y la documentación del proveedor de credenciales AWS IAM Identity Center.
Paso 2: Configurar los archivos de configuración de la aplicación de escritorio de ChatGPT
Debe crear dos archivos de configuración de la aplicación de escritorio de ChatGPT: config.toml y requirements.toml.
Importante: los archivos de configuración deben establecerse antes de iniciar la aplicación. La siguiente tabla muestra las ubicaciones de los archivos.
| Sistema operativo | Usuario config.toml |
Admin requirements.toml |
| Windows | %USERPROFILE%\.codex\config.toml |
%ProgramData%\OpenAI\Codex\requirements.toml |
| Linux | ~/.codex/config.toml |
/etc/codex/requirements.toml |
| macOS | ~/.codex/config.toml |
/etc/codex/requirements.toml |
Comience desde el archivo requirements.toml. requirements.toml es un archivo de reglas controlado por el administrador. Establece límites de seguridad que los usuarios no pueden superar, por ejemplo, restringir qué niveles de permisos, herramientas o configuraciones puede utilizar la aplicación de escritorio ChatGPT.
Utilice el siguiente patrón de referencia para la implementación de Amazon Bedrock en AWS GovCloud (EE. UU.). La sección [windows] aplica únicamente a Windows, y sandbox_private_desktop debe ser compatible con el runtime aprobado.
allowed_login_methods = ["api"]
allowed_sandbox_modes = ["read-only", "workspace-write"]
allowed_approvals_reviewers = ["user"]
allowed_approval_policies = [
{ granular = { sandbox_approval = false, rules = true,
mcp_elicitations = false, request_permissions = false,
skill_approval = true } },
]
allowed_web_search_modes = ["disabled", "cached"]
allow_browser_and_computer_use = false
allow_appshots = false
allow_remote_control = false
allow_login_shell = false
allow_managed_hooks_only = true
check_for_update_on_startup = false
mcp_servers = {}
[feedback]
enabled = false
[features]
network_proxy = true
in_app_chat = false
in_app_dictation = false
in_app_browser = false
browser_use = false
browser_use_external = false
browser_use_full_cdp_access = false
computer_use = false
in_app_updates = false
image_generation = false
memories = false
chronicle = false
external_agent_memory_import = false
guardian_approval = false
guardianv2 = false
guardian_ext = false
apps = false
enable_mcp_apps = false
plugins = false
remote_plugin = false
plugin_sharing = false
recommended_plugins = false
skill_mcp_dependency_install = false
skill_search = false
workspace_dependencies = false
hooks = false
standalone_web_search = false
[experimental_network]
enabled = true
managed_allowed_domains_only = true
domains = {}
unix_sockets = {}
allow_upstream_proxy = false
dangerously_allow_non_loopback_proxy = false
dangerously_allow_all_unix_sockets = false
allow_local_binding = false
[application.network]
enabled = true
[application.network.domains]
"bedrock-mantle.us-gov-west-1.api.aws" = "allow"
"api.openai.com" = "deny"
"chat.openai.com" = "deny"
"chatgpt.com" = "deny"
"ab.chatgpt.com" = "deny"
"platform.openai.com" = "deny"
"auth.openai.com" = "deny"
"gov.api.openai.com" = "deny"
"gov.chatgpt.com" = "deny"
"sdfedpreastus2.oaiusercontent.com" = "deny"
"o33249.ingest.us.sentry.io" = "deny"
"persistent.oaistatic.com" = "deny"
"oaisidekickupdates.blob.core.windows.net" = "deny"
[windows]
allowed_sandbox_implementations = ["elevated"]
sandbox_private_desktop = trueA continuación, configure el archivo config.toml. El config.toml indica a la aplicación de escritorio de ChatGPT cómo operar, incluyendo qué proveedor de modelos utilizar (amazon-bedrock), qué modelo seleccionar y configuraciones como permisos o límites de contexto.
Reemplaza el ID del modelo y el perfil nombrado (por ejemplo, codex-il5) con valores aprobados.
model = "REPLACE_WITH_APPROVED_MODEL_ID"
model_provider = "amazon-bedrock"
forced_login_method = "api"
approval_policy = { granular = { sandbox_approval = false,
rules = true, mcp_elicitations = false,
request_permissions = false, skill_approval = true } }
approvals_reviewer = "user"
sandbox_mode = "workspace-write"
web_search = "cached"
allow_login_shell = false
check_for_update_on_startup = false
[model_providers.amazon-bedrock]
base_url = "https://bedrock-mantle.us-gov-west-1.api.aws/openai/v1"
wire_api = "responses"
requires_openai_auth = false
supports_websockets = false
supports_standalone_web_search = false
[model_providers.amazon-bedrock.aws]
region = "us-gov-west-1"
profile = "codex-il5"
[sandbox_workspace_write]
network_access = false
[features]
network_proxy = true
[analytics]
enabled = false
[feedback]
enabled = false
[otel]
exporter = "none"
trace_exporter = "none"
metrics_exporter = "none"
log_user_prompt = false
[memories]
generate_memories = false
use_memories = false
[skills.bundled]
enabled = false
[apps._default]
enabled = false
[windows]
sandbox = "elevated"Paso 3: Iniciar, inicializar y verificar
Descarga la aplicación desde el sitio web de ChatGPT y úsala. Deje la aplicación cerrada después de la instalación. Si se abre automáticamente o si la aplicación ya se ha iniciado anteriormente, salga completamente de ChatGPT y termine cualquier proceso de ChatGPT o Codex que esté en ejecución.
Asegúrese de que requirements.toml y config.toml estén disponibles antes del primer lanzamiento de la aplicación.
Iniciar la aplicación para cargar los ajustes de requirements.toml y config.toml. Asegúrate de que se muestre amazon-bedrock como el proveedor de modelo.
En la CLI de Codex, debería ver una pestaña /status que se ve así:
Figura 1: La pestaña /status de Codex CLI que confirma que Amazon-Bedrock es el proveedor de modelo
En la aplicación de escritorio ChatGPT, también puede confirmar que amazon-bedrock es el proveedor de modelo.
Figura 2: Las configuraciones de la aplicación de escritorio ChatGPT que muestran Amazon-Bedrock como proveedor de modelo
Solución de problemas
La aplicación solicita una cuenta de OpenAI. Verifique que requirements.toml y config.toml utilicen las ubicaciones y nombres de archivo exactos mostrados en la tabla anterior, termine todos los procesos de ChatGPT y Codex, y vuelva a iniciarlos. Los archivos deben existir antes del inicio de la aplicación.
El punto de acceso AWS GovCloud (EE. UU.) se reporta como no soportado. Confirme la versión exacta del escritorio o del servidor de aplicaciones, el punto de acceso y el modelo con OpenAI. Cambiar solo la URL no establece soporte.
Se utiliza la identidad incorrecta de AWS. Inspecciona la fuente de credenciales efectiva y el perfil nombrado. Verifica si una clave de API de Amazon Bedrock tiene prioridad sobre el perfil.
Faltan restricciones de capacidad. Inspecciona los requisitos completos efectivos después del reinicio. La configuración de inicio de sesión solo mediante API no aplica la política de capacidad.
Retroceso y limpieza
Si la comprobación de validación falla, detenga la implementación. Devuelva los dispositivos afectados a la política y a los ajustes del proveedor aprobados anteriormente, luego reinicie la aplicación de escritorio de ChatGPT. Revoque cualquier credenciales temporales de AWS o claves de API, y confirme que esos dispositivos ya no pueden conectarse a Amazon Bedrock. Mantenga un registro del test y documente claramente qué falló antes de intentarlo de nuevo.
Conclusión
La aplicación de escritorio ChatGPT en Amazon Bedrock en AWS GovCloud (EE. UU.) le proporciona una forma controlada de utilizar los modelos fronterizos de OpenAI y la asistencia de programación. La inferencia se realiza en las regiones de AWS GovCloud (EE. UU.). Al validar la configuración, confirmar la identidad y el punto de acceso aprobados de AWS, y verificar los controles de seguridad, puede preparar con confianza la implementación para un uso más amplio. Este enfoque fomenta la innovación, al tiempo que alinea las decisiones de implementación con los requisitos de seguridad, autorización y manejo de datos de cada organización.
¿Estás listo para explorar la aplicación de escritorio ChatGPT con Codex en Amazon Bedrock en AWS GovCloud (EE.UU.)? Comienza con una implementación controlada, valida tus controles de seguridad y colabora con tu equipo de seguridad para prepararte para una adopción más amplia.
Recursos relacionados
- Configuración de Bedrock AWS GovCloud (EE. UU.) – Guía sobre dispositivo, proveedor, red, verificación y solución de problemas de la aplicación de escritorio ChatGPT.
- Respuestas de la API en Amazon Bedrock – Regiones de AWS, comportamiento del punto de acceso, autenticación y permisos para la API de Respuestas.
- Conformidad de AWS GovCloud (EE. UU.) – Programas de conformidad y consideraciones de autorización del cliente.
- Documentación de autenticación Bedrock de OpenAI – Clave de la API Amazon Bedrock y autenticación con cadena de credenciales del AWS SDK, incluyendo SSO.
- Documentación del proveedor de credenciales de AWS IAM Identity Center – Configuración del perfil SSO y credenciales temporales de AWS.