In dieser Anleitung erfährst du, wie du Codex für OpenAI-Modelle konfigurierst, die über Amazon Bedrock verfügbar sind.
In dieser Konfiguration verwendet Codex Amazon-Bedrock-Anmeldedaten und sendet Modellanfragen über die Bedrock-Implementierung der Responses API. Die von OpenAI gehostete API liegt nicht im Anfragepfad.
Diese Einrichtung unterstützt lokale Codex-Workflows in:
Codex CLI
Codex-Desktop-App
Codex VS Code-Erweiterung
Dieser Artikel gilt nicht für Codex-Konfigurationen mit ChatGPT-Anmeldung oder einem OpenAI-API-Schlüssel.
Bevor du beginnst
Stelle sicher, dass Folgendes vorhanden ist:
Codex CLI Version 0.128.0 oder höher
Codex-Desktop-App oder VS Code-Erweiterung Version 26.429.30905 oder höher
Zugriff auf unterstützte OpenAI-Modelle in Amazon Bedrock
Eine AWS-Region, in der das ausgewählte Modell verfügbar ist
Für dein AWS-Konto konfigurierte, von Bedrock unterstützte Authentifizierung
Unterstützte Modelle
Verwende eine dieser exakten Modell-IDs:
openai.gpt-5.5
openai.gpt-5.4
openai.gpt-oss-120b
openai.gpt-oss-20b
Empfohlener Standardwert:
openai.gpt-5.5
Codex konfigurieren
Füge Folgendes hinzu zu:
~/.codex/config.toml
model = "openai.gpt-5.5"
model_provider = "amazon-bedrock"
[model_providers.amazon-bedrock.aws]
region = "us-west-2"
wire_api = "responses"
# Optional for AWS SDK auth. If omitted, the AWS SDK uses AWS_PROFILE or the default profile.
# profile = "codex-bedrock"
Ersetze us-west-2 durch die AWS-Region, in der dein ausgewähltes Modell verfügbar ist.
Authentifizierungsoptionen
Codex unterstützt zwei Authentifizierungspfade für Amazon Bedrock:
Bedrock-API-Schlüssel mit
AWS_BEARER_TOKEN_BEDROCKAWS-SDK-Anmeldedatenkette für IAM-signierte Anfragen
Codex prüft die Authentifizierung in dieser Reihenfolge:
AWS_BEARER_TOKEN_BEDROCKAWS-SDK-Anmeldedatenkette
Wenn AWS_BEARER_TOKEN_BEDROCK festgelegt ist, verwendet Codex es zuerst. Andernfalls greift Codex auf die AWS-SDK-Anmeldedatenkette zurück.
Verwende OPENAI_API_KEY nicht für diese Konfiguration. Codex verwendet Amazon-Bedrock-Anmeldedaten, wenn model_provider auf amazon-bedrock festgelegt ist.
Verwende einen Bedrock-API-Schlüssel, wenn dein AWS-Konto Bedrock-API-Schlüssel unterstützt. Verwende AWS-SDK-Anmeldedaten, wenn deine Organisation den Bedrock-Zugriff über IAM, AWS SSO, benannte Profile oder föderierte Identität verwaltet.
Option 1: Bedrock-API-Schlüssel verwenden
Lege deinen Bedrock-API-Schlüssel in der Umgebung fest, die Codex liest:
export AWS_BEARER_TOKEN_BEDROCK=<your-bedrock-api-key>
Stelle anschließend sicher, dass deine Codex-Konfiguration eine Bedrock-Region enthält:
model = "openai.gpt-5.5"
model_provider = "amazon-bedrock"
[model_providers.amazon-bedrock.aws]
wire_api = "responses"
region = "us-west-2"
Die Region ist erforderlich, wenn du die Bedrock-API-Schlüssel-Authentifizierung verwendest.
Option 2: AWS-SDK-Anmeldedaten verwenden
Verwende diesen Pfad, wenn Codex sich mit AWS-IAM-Anmeldedaten authentifizieren soll.
Codex verwendet die AWS-SDK-Anmeldedatenkette. Daher können standardmäßige AWS-Anmeldedatenkonfigurationen funktionieren, einschließlich gemeinsam genutzter AWS-Konfigurationsdateien, Umgebungsvariablen, AWS SSO und benannter Profile.
Gemeinsame AWS-Anmeldedaten
aws configure
Umgebungsvariablen
export AWS_ACCESS_KEY_ID=<your-access-key-id>
export AWS_SECRET_ACCESS_KEY=<your-secret-access-key>
export AWS_SESSION_TOKEN=<your-session-token>
AWS-Management-Console-Anmeldedaten
aws login
AWS SSO oder benanntes Profil
aws sso login --profile <profile-name>
export AWS_PROFILE=<profile-name>
Du kannst das Profil auch direkt in ~/.codex/config.toml festlegen:
model = "openai.gpt-5.5"
model_provider = "amazon-bedrock"
[model_providers.amazon-bedrock.aws]
profile = "codex-bedrock"
wire_api = "responses"
region = "us-west-2"
Codex verwendet zuerst model_providers.amazon-bedrock.aws.region, wenn dies festgelegt ist. Andernfalls übergibt Codex bei SDK-Authentifizierung die Auflösung der Region an die Standardkonfigurationskette des AWS SDK, einschließlich AWS_REGION, AWS_DEFAULT_REGION und des ausgewählten AWS-Profils.
~/.codex/config.tomlAWS_REGIONAWS_DEFAULT_REGIONDas ausgewählte AWS-Profil
Die Region in ~/.codex/config.toml festzulegen ist die eindeutigste Option.
Föderierte Identität mit credential_process
Konfiguriere bei Unternehmens-SSO oder OIDC-Föderation das AWS-Profil außerhalb von Codex und lass das AWS SDK die Anmeldedaten auflösen.
Beispieleintrag in ~/.aws/config:
[profile codex-bedrock]
region = us-west-2
credential_process = /path/to/your/idp-helper --profile codex-bedrock
Verweise Codex anschließend in ~/.codex/config.toml auf dieses Profil:
model = "openai.gpt-5.5"
model_provider = "amazon-bedrock"
[model_providers.amazon-bedrock.aws]
profile = "codex-bedrock" wire_api = "responses"
region = "us-west-2"
Desktop-App und VS Code-Erweiterung
Desktop-Apps und IDE-Erweiterungen übernehmen Umgebungsvariablen möglicherweise nicht aus deiner Shell.
Wenn Codex Umgebungsvariablen wie AWS_BEARER_TOKEN_BEDROCK benötigt, füge sie hier hinzu:
~/.codex/.env
Beispiel:
AWS_BEARER_TOKEN_BEDROCK=<your-bedrock-api-key>
AWS_REGION=us-west-2
Starte nach Änderungen an ~/.codex/config.toml oder ~/.codex/.env die Codex-Desktop-App oder VS Code-Erweiterung neu.
Einrichtung überprüfen
Nach der Konfiguration:
Öffne in Codex CLI
/statusund bestätige, dass Codex den Modellanbieteramazon-bedrockverwendet.Starte in der Codex-Desktop-App oder VS Code-Erweiterung nach dem Neustart eine neue Sitzung.
Bekannte Einschränkungen
Die folgenden Funktionen sind in dieser Konfiguration derzeit nicht verfügbar:
Bildgenerierung
Sprachtranskription für Eingaben
Cloud-Plug-in-Store
Cloud-Konfiguration und Richtlinien
Cloud-Agenten, einschließlich Review-, Sicherheits- und Web-Agenten
Die Verfügbarkeit von Funktionen kann sich zwischen Codex mit ChatGPT-Anmeldung, Codex mit OpenAI-API-Schlüssel und Codex mit Amazon-Bedrock-API-Schlüssel unterscheiden.
Fehlerbehebung
Wenn die Einrichtung fehlschlägt, prüfe Folgendes:
Deine Codex-Version erfüllt die Mindestanforderung.
Deine Modell-ID stimmt exakt mit einem unterstützten Modell überein.
Deine AWS-Region ist festgelegt, und das ausgewählte Modell ist in dieser Region verfügbar.
Deine AWS-Anmeldedaten oder dein Bedrock-API-Schlüssel sind gültig und nicht abgelaufen.
Deine AWS-Identität hat die Berechtigung, auf das ausgewählte Bedrock-Modell zuzugreifen.
AWS_BEARER_TOKEN_BEDROCKist nicht auf einen abgelaufenen oder unbeabsichtigten Schlüssel gesetzt.Wenn du AWS-SDK-Anmeldedaten verwendest, ist dein ausgewähltes AWS-Profil gültig.
Bei Nutzung der Desktop-App oder VS Code-Erweiterung sind die erforderlichen Umgebungsvariablen in
~/.codex/.envvorhanden.Du hast die App oder Erweiterung nach Änderungen an Konfigurations- oder Umgebungsdateien neu gestartet.
Wende dich bei AWS-Anmeldedaten, IAM-Berechtigungen, Zugriff auf Bedrock-Modelle, Kontingenten, Abrechnung, regionaler Verfügbarkeit oder Bedrock-Dienstfehlern an deine AWS-Administration oder an den AWS Support.
Der OpenAI Support kann bei der Einrichtung des Codex-Clients, der Konfiguration und dem lokalen Codex-Verhalten helfen.