Configurer Codex avec Amazon Bedrock

Utilisez ce guide pour configurer Codex afin d’utiliser les modèles OpenAI disponibles par l’intermédiaire d’Amazon Bedrock.

Dans cette configuration, Codex utilise les identifiants Amazon Bedrock et envoie les requêtes de modèle par l’implémentation de l’API Responses de Bedrock. L’API hébergée par OpenAI ne fait pas partie du chemin de requête.

Cette configuration prend en charge les flux de travail Codex locaux dans :

• Codex CLI

• Application de bureau Codex

• Extension Codex pour VS Code

Cet article ne s’applique pas à Codex configuré avec une connexion ChatGPT ou une clé API OpenAI.

Avant de commencer

Assurez-vous d’avoir :

• Codex CLI version 0.128.0 ou ultérieure

• Application de bureau Codex ou extension VS Code version 26.429.30905 ou ultérieure

• Accès aux modèles OpenAI pris en charge dans Amazon Bedrock

• Une région AWS où le modèle sélectionné est disponible

• Authentification prise en charge par Bedrock configurée pour votre compte AWS

Modèles pris en charge

Utilisez l’un de ces ID de modèle exacts :

openai.gpt-5.6-sol

openai.gpt-5.6-terra

openai.gpt-5.6-luna

openai.gpt-5.5

openai.gpt-5.4

Valeur par défaut recommandée :

openai.gpt-5.6-sol

Configurer Codex

Ajoutez ce qui suit à :

~/.codex/config.toml

model = "openai.gpt-5.6-sol"

model_provider = "amazon-bedrock"

[model_providers.amazon-bedrock.aws]

region = "us-west-2"

wire_api = "responses"

# Optional for AWS SDK auth. If omitted, the AWS SDK uses AWS_PROFILE or the default profile.

# profile = "codex-bedrock"

Remplacez us-west-2 par la région AWS où le modèle sélectionné est disponible.

Options d’authentification

Codex prend en charge deux méthodes d’authentification Amazon Bedrock :

1. Clé API Bedrock utilisant AWS_BEARER_TOKEN_BEDROCK

2. Chaîne d’identifiants AWS SDK pour les requêtes signées par IAM

Codex vérifie l’authentification dans cet ordre :

1. AWS_BEARER_TOKEN_BEDROCK

2. Chaîne d’identifiants AWS SDK

Si AWS_BEARER_TOKEN_BEDROCK est défini, Codex l’utilise en premier. Sinon, Codex se rabat sur la chaîne d’identifiants AWS SDK.

N’utilisez pas OPENAI_API_KEY pour cette configuration. Codex utilise les identifiants Amazon Bedrock lorsque model_provider est défini sur amazon-bedrock.

Utilisez une clé API Bedrock si votre compte AWS prend en charge les clés API Bedrock. Utilisez les identifiants AWS SDK si votre organisation gère l’accès à Bedrock au moyen d’IAM, d’AWS SSO, de profils nommés ou d’une identité fédérée.

Option 1 : utiliser une clé API Bedrock

Définissez votre clé API Bedrock dans l’environnement que Codex lira :

export AWS_BEARER_TOKEN_BEDROCK=<your-bedrock-api-key>

Assurez-vous ensuite que votre configuration Codex comprend une région Bedrock :

model = "openai.gpt-5.6-sol"

model_provider = "amazon-bedrock"

[model_providers.amazon-bedrock.aws]

wire_api = "responses"

region = "us-west-2"

La région est obligatoire avec l’authentification par clé API Bedrock.

Option 2 : Utiliser les identifiants du SDK AWS

Utilisez cette méthode pour permettre à Codex de s’authentifier avec des identifiants AWS IAM.

Codex utilise la chaîne d’identifiants du SDK AWS. Les configurations d’identifiants AWS standards peuvent donc fonctionner, notamment les fichiers de configuration AWS partagés, les variables d’environnement, l’authentification unique (SSO) AWS et les profils nommés.

Identifiants AWS partagés

aws configure

Variables d’environnement

export AWS_ACCESS_KEY_ID=<your-access-key-id>

export AWS_SECRET_ACCESS_KEY=<your-secret-access-key>

export AWS_SESSION_TOKEN=<your-session-token>

Identifiants de la console de gestion AWS

aws login

Authentification unique (SSO) AWS ou profil nommé

aws sso login --profile <profile-name>

export AWS_PROFILE=<profile-name>

Vous pouvez aussi définir le profil directement dans ~/.codex/config.toml :

model = "openai.gpt-5.6-sol"

model_provider = "amazon-bedrock"

[model_providers.amazon-bedrock.aws]

profile = "codex-bedrock"

wire_api = "responses"

region = "us-west-2"

Codex utilise d’abord model_providers.amazon-bedrock.aws.region lorsque cette valeur est définie. Sinon, pour l’authentification par SDK, Codex délègue la résolution de la région à la chaîne de configuration par défaut du SDK AWS, notamment AWS_REGION, AWS_DEFAULT_REGION et le profil AWS sélectionné.

• ~/.codex/config.toml

• AWS_REGION

• AWS_DEFAULT_REGION

• Le profil AWS sélectionné

Définir la région dans ~/.codex/config.toml est l’option la plus explicite.

Identité fédérée avec credential_process

Pour l’authentification unique (SSO) d’entreprise ou la fédération OIDC, configurez le profil AWS à l’extérieur de Codex et laissez le SDK AWS résoudre les identifiants.

Exemple d’entrée ~/.aws/config :

[profile codex-bedrock]

region = us-west-2

credential_process = /path/to/your/idp-helper --profile codex-bedrock

Indiquez ensuite ce profil à Codex dans ~/.codex/config.toml :

model = "openai.gpt-5.6-sol"

model_provider = "amazon-bedrock"

[model_providers.amazon-bedrock.aws]

profile = "codex-bedrock" wire_api = "responses"

region = "us-west-2"

Application de bureau et extension VS Code

Les applications de bureau et les extensions d’IDE pourraient ne pas hériter des variables d’environnement de votre interpréteur de commandes.

Si Codex a besoin de variables d’environnement comme AWS_BEARER_TOKEN_BEDROCK, ajoutez-les à :

~/.codex/.env

Exemple :

AWS_BEARER_TOKEN_BEDROCK=<your-bedrock-api-key>

AWS_REGION=us-west-2

Après avoir modifié ~/.codex/config.toml ou ~/.codex/.env, redémarrez l’application de bureau Codex ou l’extension VS Code.

Vérifier la configuration

Après la configuration :

• Dans Codex CLI, ouvrez /status et confirmez que Codex utilise le fournisseur de modèles amazon-bedrock.

• Dans l’application de bureau Codex ou l’extension VS Code, démarrez une nouvelle session après avoir redémarré l’application.

Limitations connues

Les fonctionnalités suivantes ne sont pas disponibles actuellement dans cette configuration :

• Génération d’images

• Transcription vocale pour l’entrée

• Boutique de plugiciels infonuagiques

• Configuration et politiques infonuagiques

• Agents infonuagiques, y compris les agents de révision, de sécurité et Web

La disponibilité des fonctionnalités peut varier entre Codex avec connexion ChatGPT, Codex avec une clé API OpenAI et Codex avec une clé API Amazon Bedrock.

Dépannage

Si la configuration échoue, vérifiez ce qui suit :

• Votre version de Codex respecte l’exigence minimale.

• Votre ID de modèle correspond exactement à un modèle pris en charge.

• Votre région AWS est définie et le modèle sélectionné y est disponible.

• Vos identifiants AWS ou votre clé API Bedrock sont valides et non expirés.

• Votre identité AWS est autorisée à accéder au modèle Bedrock sélectionné.

• AWS_BEARER_TOKEN_BEDROCK n’est pas défini sur une clé expirée ou non prévue.

• Si vous utilisez des identifiants AWS SDK, assurez-vous que le profil AWS sélectionné est valide.

• Pour l’application de bureau ou l’extension VS Code, les variables d’environnement requises doivent être présentes dans ~/.codex/.env.

• Vous avez redémarré l’application ou l’extension après avoir modifié les fichiers de configuration ou d’environnement.

Pour les identifiants AWS, les autorisations IAM, l’accès aux modèles Bedrock, les quotas, la facturation, la disponibilité régionale ou les erreurs du service Bedrock, communiquez avec votre administrateur AWS ou le soutien AWS.

Le soutien OpenAI peut vous aider avec la configuration du client Codex, les paramètres et le comportement local de Codex.