Cree la configuración de confianza en su cuenta de AWS, siguiendo la guía de AWS para crear proveedores de identidad OIDC:

• Agregue un proveedor de identidad OIDC de GitHub con URL de proveedor https://token.actions.githubusercontent.com y audiencia sts.amazonaws.com
• Cree un rol de IAM confiado por ese proveedor como una identidad web, y adjunte la política de invocación con alcance de Configuración de IAM, que otorga bedrock:InvokeModel, bedrock:InvokeModelWithResponseStream, bedrock:ListInferenceProfiles y bedrock:GetInferenceProfile, junto con dos acciones de suscripción aws-marketplace
• Limite la política de confianza del rol a su repositorio con una condición de asunto como repo:your-org/your-repo:*. Consulte la guía de endurecimiento de OIDC de GitHub para el formato de reclamación

Anote el ARN del rol. Lo agregará como secreto en el siguiente paso.

Cree los recursos de federación en su proyecto de Google Cloud, siguiendo la documentación de Workload Identity Federation:

• Habilite tres API: IAM Credentials, Security Token Service (STS) y la API de Agent Platform, cuyo nombre de servicio es aiplatform.googleapis.com
• Cree un Workload Identity Pool con un proveedor OIDC de GitHub cuyo emisor sea https://token.actions.githubusercontent.com, y agregue una condición de atributo que limite el grupo a su repositorio
• Cree una cuenta de servicio dedicada con solo el rol Vertex AI User, que es roles/aiplatform.user, y permita que el grupo la suplante

Anote el nombre de recurso completo del proveedor y la dirección de correo electrónico de la cuenta de servicio. Los agregará como secretos en el siguiente paso.

Cree una aplicación de Microsoft Entra con una credencial federada para su repositorio, siguiendo la guía de Microsoft para autenticarse desde GitHub Actions:

• Registre una aplicación de Microsoft Entra y agregue una credencial de identidad federada que confíe en los tokens que GitHub emite a su repositorio. Una identidad administrada asignada por el usuario funciona en lugar de una aplicación. Ambas tienen el ID de cliente que anota a continuación
• Asigne a la aplicación el rol Azure AI User en su recurso de Foundry. Consulte Configuración de RBAC de Azure para un rol personalizado más estrecho

Anote el ID de cliente de la aplicación, su ID de inquilino y su ID de suscripción. Los agregará como secretos en el siguiente paso.

Reemplace el valor aws-region con el suyo. El paso de credenciales lo exporta como AWS_REGION para el resto del trabajo.

name: Claude PR Action

permissions:
contents: write
pull-requests: write
issues: write
id-token: write

on:
issue_comment:
types: [created]
pull_request_review_comment:
types: [created]
issues:
types: [opened]

jobs:
claude-pr:
if: |
(github.event_name == 'issue_comment' && contains(github.event.comment.body, '@claude')) ||
(github.event_name == 'pull_request_review_comment' && contains(github.event.comment.body, '@claude')) ||
(github.event_name == 'issues' && (contains(github.event.issue.body, '@claude') || contains(github.event.issue.title, '@claude')))
runs-on: ubuntu-latest
steps:
- name: Checkout repository
uses: actions/checkout@v6

- name: Generate GitHub App token
id: app-token
uses: actions/create-github-app-token@v2
with:
app-id: ${{ secrets.APP_ID }}
private-key: ${{ secrets.APP_PRIVATE_KEY }}

- name: Configure AWS Credentials (OIDC)
uses: aws-actions/configure-aws-credentials@v4
with:
role-to-assume: ${{ secrets.AWS_ROLE_TO_ASSUME }}
aws-region: us-west-2

- uses: anthropics/claude-code-action@v1
with:
github_token: ${{ steps.app-token.outputs.token }}
use_bedrock: "true"
claude_args: '--model us.anthropic.claude-sonnet-4-6'

Reemplace el valor CLOUD_ML_REGION con el suyo. No necesita codificar el ID del proyecto, porque el flujo de trabajo lo lee de la salida del paso auth.

name: Claude PR Action

permissions:
contents: write
pull-requests: write
issues: write
id-token: write

on:
issue_comment:
types: [created]
pull_request_review_comment:
types: [created]
issues:
types: [opened]

jobs:
claude-pr:
if: |
(github.event_name == 'issue_comment' && contains(github.event.comment.body, '@claude')) ||
(github.event_name == 'pull_request_review_comment' && contains(github.event.comment.body, '@claude')) ||
(github.event_name == 'issues' && (contains(github.event.issue.body, '@claude') || contains(github.event.issue.title, '@claude')))
runs-on: ubuntu-latest
steps:
- name: Checkout repository
uses: actions/checkout@v6

- name: Generate GitHub App token
id: app-token
uses: actions/create-github-app-token@v2
with:
app-id: ${{ secrets.APP_ID }}
private-key: ${{ secrets.APP_PRIVATE_KEY }}

- name: Authenticate to Google Cloud
id: auth
uses: google-github-actions/auth@v2
with:
workload_identity_provider: ${{ secrets.GCP_WORKLOAD_IDENTITY_PROVIDER }}
service_account: ${{ secrets.GCP_SERVICE_ACCOUNT }}

- uses: anthropics/claude-code-action@v1
with:
github_token: ${{ steps.app-token.outputs.token }}
use_vertex: "true"
claude_args: '--model claude-sonnet-5'
env:
ANTHROPIC_VERTEX_PROJECT_ID: ${{ steps.auth.outputs.project_id }}
CLOUD_ML_REGION: us-east5

Reemplace your-resource-name con el nombre de su recurso de Foundry. Claude Code construye la URL del punto de conexión a partir de él. El paso azure/login inicia sesión con el token OIDC del flujo de trabajo, y Claude Code recoge las credenciales a través de la cadena de credenciales predeterminada de Azure.

name: Claude PR Action

permissions:
contents: write
pull-requests: write
issues: write
id-token: write

on:
issue_comment:
types: [created]
pull_request_review_comment:
types: [created]
issues:
types: [opened]

jobs:
claude-pr:
if: |
(github.event_name == 'issue_comment' && contains(github.event.comment.body, '@claude')) ||
(github.event_name == 'pull_request_review_comment' && contains(github.event.comment.body, '@claude')) ||
(github.event_name == 'issues' && (contains(github.event.issue.body, '@claude') || contains(github.event.issue.title, '@claude')))
runs-on: ubuntu-latest
steps:
- name: Checkout repository
uses: actions/checkout@v6

- name: Generate GitHub App token
id: app-token
uses: actions/create-github-app-token@v2
with:
app-id: ${{ secrets.APP_ID }}
private-key: ${{ secrets.APP_PRIVATE_KEY }}

- name: Authenticate to Azure
uses: azure/login@v2
with:
client-id: ${{ secrets.AZURE_CLIENT_ID }}
tenant-id: ${{ secrets.AZURE_TENANT_ID }}
subscription-id: ${{ secrets.AZURE_SUBSCRIPTION_ID }}

- uses: anthropics/claude-code-action@v1
with:
github_token: ${{ steps.app-token.outputs.token }}
use_foundry: "true"
claude_args: '--model claude-sonnet-5'
env:
ANTHROPIC_FOUNDRY_RESOURCE: your-resource-name