OpenAI Codex CLI を Amazon Bedrock 経由で使う (aws login 認証編)

こんにちは。高橋 (ポインコ兄) です。
2026年6月1日、OpenAI の GPT-5.5 / GPT-5.4 モデルと Codex が Amazon Bedrock で一般利用可能 (GA) になりました。

本記事では、AWS CLI の aws login コマンドで認証し、Codex CLI を Amazon Bedrock 経由で GPT-5.5 に接続して使う手順を紹介します。

関連記事

本記事に関連するサーバーワークスブログの記事です。あわせてご覧ください。

• ついに来た！Amazon Bedrock で OpenAI の最新モデル (GPT-5.5 / GPT-5.4) が使えるようになったので動かしてみた — Python SDK から Bedrock 経由で GPT-5.4 を呼び出す方法を紹介
• AWS CLI の aws login コマンドでローカル開発環境の認証が簡単になった話 — aws login の使い方の詳細解説
• Amazon Bedrockで利用可能なモデルとクロスリージョン推論で利用可能なモデル一覧を取得する — リージョンごとのモデル対応状況の確認方法

Codex CLI とは

Codex は OpenAI が提供するコーディングエージェントです。GPT-5.5 / GPT-5.4 を推論エンジンとして、コードの生成・リファクタリング・デバッグ・テスト・レビューを自律的におこないます。

Codex CLI はターミナルで対話的に使える形態で、npm install -g @openai/codex でインストールできます。今回の GA により、推論を Amazon Bedrock 経由でルーティングできるようになりました。

公式ドキュメント：Use Codex with Amazon Bedrock

Bedrock Mantle とは

Bedrock Mantle (プロジェクト名: Project Mantle) は、Amazon Bedrock 上で大規模機械学習モデルを提供するための分散推論エンジンです。通常の bedrock-runtime エンドポイントとは別に、bedrock-mantle エンドポイントが提供されます。

https://bedrock-mantle.{region}.api.aws/openai/v1

主な特徴：

• OpenAI 互換 API — OpenAI SDK のベース URL を差し替えるだけで、既存コードをほぼそのまま Bedrock に移行できる
• Responses API 対応 — 非同期推論、ステートフルな会話管理、ツール統合をサポート
• 独立したクォータ管理 — bedrock-runtime とは別にスロットリングが管理される

Codex CLI は内部でこの bedrock-mantle エンドポイントに対してリクエストを送信します。そのため IAM 権限も bedrock:InvokeModel ではなく bedrock-mantle:CreateInference が必要です。

詳細：Inference using Responses API (AWS Docs)

aws login とは

aws login は AWS CLI v2.32.0 以降で利用できるコマンドです。AWS マネジメントコンソールと同じサインイン方法でブラウザ認証をおこない、一時的なクレデンシャルを自動的に取得・更新してくれます。

従来の aws sso login (IAM Identity Center 経由) とは異なり、IAM ユーザーやルートユーザー、フェデレーション ID など、コンソールにログインできる資格情報をそのまま使えるのが特徴です。セッションは最大12時間有効で、15分ごとに自動更新されます。

詳細：Simplified developer access to AWS with 'aws login' (AWS Security Blog)

前提条件

• AWS CLI v2.32.0 以上がインストール済み
• AWS マネジメントコンソールにサインインできる IAM ユーザー (またはフェデレーション ID)
• IAM ユーザーに SignInLocalDevelopmentAccess マネージドポリシーがアタッチ済み
• Node.js がインストール済み (Codex CLI のインストールに必要)

IAM 権限の注意事項

aws login で取得するクレデンシャルの元となる IAM プリンシパル (ユーザーまたはロール) に、Bedrock Mantle 推論用の権限が必要です。

最もシンプルな方法は、AWS マネージドポリシー AmazonBedrockMantleInferenceAccess をアタッチすることです。このポリシーには以下が含まれています：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockMantleInference",
      "Effect": "Allow",
      "Action": [
        "bedrock-mantle:Get*",
        "bedrock-mantle:List*",
        "bedrock-mantle:CreateInference"
      ],
      "Resource": "arn:aws:bedrock-mantle:*:*:project/*"
    },
    {
      "Sid": "BedrockMantleCallWithBearerToken",
      "Effect": "Allow",
      "Action": [
        "bedrock-mantle:CallWithBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "MarketplaceOperationsFromBedrockMantleFor3pModels",
      "Effect": "Allow",
      "Action": [
        "aws-marketplace:Subscribe",
        "aws-marketplace:ViewSubscriptions"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:CalledViaLast": "bedrock-mantle.amazonaws.com"
        }
      }
    }
  ]
}

特に重要なアクション：

アクション	用途
bedrock-mantle:CreateInference	推論リクエストの送信 (これがないと Codex が動かない)
bedrock-mantle:CallWithBearerToken	Bearer トークン認証での API 呼び出し
aws-marketplace:Subscribe	初回呼び出し時のモデルサブスクリプション自動登録

AdministratorAccess がアタッチされていればこれらは全て含まれますが、最小権限にしたい場合は AmazonBedrockMantleInferenceAccess を使ってください。

手順

1. AWS CLI のバージョン確認

$ aws --version
aws-cli/2.33.20 Python/3.13.11 Darwin/25.4.0 exe/arm64

v2.32.0 以上であることを確認してください。古い場合は 公式手順 でアップデートします。

2. aws login でサインイン

$ aws login

ブラウザが開き、AWS マネジメントコンソールの認証フローが始まります。ログインが完了すると、CLI 側に一時クレデンシャルが自動設定されます。

初回はリージョンの入力を求められます。Bedrock で利用するモデルの推論先リージョンに合わせておくと混乱しません。GPT-5.5 を使いたい場合は us-east-2 を指定します：

AWS Region [us-east-1]: us-east-2

認証成功の確認：

$ aws sts get-caller-identity
{
    "UserId": "AROAZRDYFXCLB54MMA2K3:your-user@example.com",
    "Account": "123456789012",
    "Arn": "arn:aws:sts::123456789012:assumed-role/..."
}

3. Codex CLI のインストール

$ npm install -g @openai/codex

バージョンを確認：

$ codex --version
codex-cli 0.136.0

4. Codex の設定

~/.codex/config.toml を作成します：

model = "openai.gpt-5.5"
model_provider = "amazon-bedrock"

[model_providers.amazon-bedrock.aws]
region = "us-east-2"

ポイント:

• AWS_BEARER_TOKEN_BEDROCK は設定しないでください。設定しないことで、Codex は AWS SDK のクレデンシャルチェーンにフォールバックし、aws login で取得した一時クレデンシャルが自動的に使われます
• 公式ドキュメントにも aws login が認証オプションとして明記されています

補足: aws login 以外の認証方法

Codex は AWS SDK の標準的なクレデンシャルチェーンを利用するため、aws login に限らず、プロファイルが設定されていれば利用可能です。例えば aws sso login や aws configure で設定したプロファイルでも動きます。

その場合は ~/.codex/.env に使用するプロファイルを指定してください：

AWS_PROFILE=your-profile-name

5. Codex の起動と確認

$ codex

起動後、/status コマンドで接続状態を確認します：

╭────────────────────────────────────────────────────────────────────────────────────────────╮
│  >_ OpenAI Codex (v0.136.0)                                                               │
│                                                                                            │
│  Model:                openai.gpt-5.5 (reasoning medium, summaries auto)                   │
│  Model provider:       Amazon Bedrock - https://bedrock-mantle.us-east-2.api.aws/openai/v1 │
│  Directory:            ~/Development/genai                                                 │
│  Permissions:          Workspace (Ask for approval)                                        │
╰────────────────────────────────────────────────────────────────────────────────────────────╯

Model provider: Amazon Bedrock と表示されれば接続成功です。プロンプトを入力すると、Bedrock 経由で GPT-5.5 にリクエストが送られます。

› hello
• Hello. What do you need help with?

利用可能なモデルとリージョン

モデル ID	特徴	リージョン
openai.gpt-5.5	最高性能・高難度タスク向け	us-east-2
openai.gpt-5.4	コストパフォーマンス重視	us-east-2, us-west-2

リージョンごとのモデル対応状況は AWS ドキュメント で確認できます。

まとめ

aws login + Codex CLI で Bedrock 経由の GPT-5.5 を使う手順は、たった3ステップです：

1. aws login でブラウザ認証
2. ~/.codex/config.toml に Bedrock 設定を記述
3. codex を起動

Bedrock 経由で使うメリット：

• 既存の AWS 認証基盤を利用可能 — aws login の一時クレデンシャルがそのまま使える
• データレジデンシー — 推論処理が選択した Bedrock リージョン内で完結する
• 従量課金 — シートライセンスなし、トークン単位の課金
• ガバナンス — CloudTrail による監査ログ、KMS 暗号化に対応

OpenAI の API キーを別途管理する必要がないのが最大のポイントです。

参考リンク

AWS 公式

• Get started with OpenAI GPT-5.5, GPT-5.4 models, and Codex on Amazon Bedrock (AWS Blog)
• OpenAI on Amazon Bedrock
• Login for AWS local development using console credentials (AWS Docs)
• Simplified developer access to AWS with 'aws login' (AWS Security Blog)

OpenAI 公式

• Use Codex with Amazon Bedrock
• Codex CLI

サーバーワークスブログ

• ついに来た！Amazon Bedrock で OpenAI の最新モデル (GPT-5.5 / GPT-5.4) が使えるようになったので動かしてみた
• AWS CLI の aws login コマンドでローカル開発環境の認証が簡単になった話
• Amazon Bedrockで利用可能なモデルとクロスリージョン推論で利用可能なモデル一覧を取得する

あとがき

本記事は Kiro (AI コーディングエージェント) と対話しながら検証した内容をまとめたものです。設定ファイルたった1つで OpenAI のコーディングエージェントが AWS の認証基盤に乗るのは便利ですね。

ちなみに本記事の執筆自体も Kiro に手伝って貰っています。兄いわく「AI にブログを書かせて AI を動かす記事って、マトリョーシカみたいやな」だそうです。

それではまた、ごきげんよう。

高橋 悠佑 (ポインコ兄) (執筆記事一覧)

健康志向です