Claude 应用网关：面向 Google Cloud 的企业级部署

当三五个人用 Claude Code 时，只要设个环境变量就能直连 Google Cloud Vertex，很爽。但一到企业级推广，痛点全暴露：你要给每个开发者配云凭证、通过 MDM 往每台笔记本推配置文件，还没有按人的用量归因，花销直接失控。Claude apps gateway 就是专门填这个坑的——它是一个自托管网关，放在你的 Claude Code 客户端和 Google Cloud 之间，把身份、策略、遥测、成本、路由全都集中管起来。

核心玩法很简单：开发者只需通过自己的身份提供商（比如 Google Workspace 或任何 OIDC）登录，网关帮你换一个短期会话，开发者电脑上从此不存任何密钥。策略统一写在 gateway.yaml 里，按用户组做 RBAC，而且每次请求都重新检查 model 权限——本地改配置文件根本没用。更狠的是，每个 token 的使用量都带着经过签名的真实用户邮箱和组，而不是客户端自己随便填的标签，花销上限可以按天/周/月设到个人或整个组织，超了直接返回 429。整个网关跑在 Cloud Run 上，无状态，水平伸缩，后端走 Cloud SQL 记状态和账本。

这玩意给我的感觉是，AI agent 工具真正进入企业前，治理层是绕不过去的基建。Claude apps gateway 没有发明新概念，而是把互联网服务早就验证过的 OAuth、RBAC、用量监控套在了 agent 通信上。它给出了一个可复用的架构模板：身份外包给 IdP，策略写在 YAML 里实时生效，日志带着真实身份，成本设个硬上限。对于任何一个想把开源 agent 框架（比如 MCP）安全落地到公司的团队，这套思路甚至可以直接 s 抄作业。