Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

IAM-Hauptzuweisung

Amazon Bedrock erfasst automatisch die IAM-Prinzidentität (IAM-Benutzer und IAM-Rollen) für jede Inferenzanfrage. Sie können Ihren Principals optional Tags für zusätzliche Kostendimensionen wie Team, Abteilung oder Kostenstelle hinzufügen. Auf diese Weise erhalten Sie einen Überblick über die Kosten pro Benutzer und pro Rolle, ohne dass Codeänderungen oder zusätzliche Ressourcen erforderlich sind.

Die IAM-Hauptzuweisung funktioniert derzeit mit Amazon bedrock-runtime Bedrock-APIs (InvokeModel API/ Converse API/ Chat Completions API). Support für bedrock-mantle APIs ist in Kürze verfügbar.

Funktionsweise

Wenn ein IAM-Benutzer oder eine IAM-Rolle eine Inferenzanfrage stellt, zeichnet Amazon Bedrock die Identität des Anrufers auf. Diese Informationen fließen in AWS Cost Explorer und AWS Cost and Usage Reports (CUR 2.0) ein, wo Sie die Kosten nach Identität filtern und gruppieren können. Es sind keine Änderungen an Ihren Amazon Bedrock API-Aufrufen erforderlich. Die Zuordnung basiert darauf, wer den Aufruf getätigt hat, nicht auf API-Parametern.

Optional können Sie Ihren IAM-Prinzipalen Tags hinzufügen, um Ihren Abrechnungsdaten organisatorische Dimensionen (Team, Abteilung, Kostenstelle) hinzuzufügen. Für die Zuordnung auf Identitätsebene sind keine Tags erforderlich. Die Identität des Anrufers wird immer erfasst.

Haupttypen

Amazon Bedrock erfasst Identität von jedem IAM-Prinzipaltyp. Die beiden häufigsten sind IAM-Benutzer und IAM-Rollen.

IAM-Benutzer rufen Amazon Bedrock direkt mit langlebigen Zugriffsschlüsseln auf. Der IAM-Benutzername und alle dem Benutzer zugewiesenen Tags werden in der Abrechnung aufgezeichnet. AWS

IAM-Rollen werden von Benutzern, Anwendungen oder föderierten Identitäten über übernommen. AWS STS Wenn ein Principal anruftsts:AssumeRole, enthalten die daraus resultierenden temporären Anmeldeinformationen die Identität der Rolle. Tags können aus zwei Quellen stammen:

Die meisten Organisationen verwenden Rollen anstelle von IAM-Benutzern für den Zugriff auf Amazon Bedrock. Wenn sich mehrere Benutzer dieselbe Rolle teilen, unterscheiden Sie sie anhand von Sitzungs-Tags bei der Abrechnung.

Einrichtung der IAM-Prinzipalzuweisung

Identity-level Die Zuordnung (der IAM-Benutzer- oder Rollen-ARN des Anrufers) wird automatisch für jede Amazon Bedrock-Anfrage erfasst. Um Ihren Abrechnungsdaten organisatorische Dimensionen wie Team oder Kostenstelle hinzuzufügen, gehen Sie wie folgt vor, um Ihre Principals zu taggen und die Tags in Billing zu aktivieren. AWS

Schritt 1: Wenden Sie Tags auf Ihre IAM-Prinzipale an (optional)

Tags fließen auf zwei Arten in Ihre Rechnungsdaten ein:

Prinzipal-Tags werden direkt an IAM-Benutzer oder -Rollen angehängt. Wenn Sie sie einmal festlegen, gelten sie für jede Anfrage dieses Prinzipals. Dies ist ideal, um einzelne Entwickler (IAM-Benutzer) oder Anwendungen (IAM-Rollen) zu taggen. Sie können Prinzipal-Tags mithilfe der IAM-Konsole, der AWS CLI (aws iam tag-role,aws iam tag-user) oder der IAM-API (TagRole,TagUser) anwenden.

Weitere Informationen über IAM-Tagging und bewährte Methoden finden Sie unter Tags für IAM-Ressourcen.

Sitzungs-Tags werden dynamisch übergeben, wenn Sie eine IAM-Rolle über übernehmen. AWS STS Sie eignen sich ideal für Verbundbenutzer (Authentifizierung über einen Identitätsanbieter wie Okta, Auth0 oder Entra) und LLM-Gateways, die Anfragen im Namen mehrerer Benutzer oder Mandanten weiterleiten. Sitzungs-Tags können auf drei Arten übergeben werden:

Die Vertrauensrichtlinie der IAM-Rolle muss den Durchfluss von Sitzungs-Tags ermöglichensts:TagSession. Weitere Informationen finden Sie unter Sitzungs-Tags weitergeben in AWS STS.

Sowohl Principal- als auch Sitzungs-Tags werden in CUR 2.0 mit dem iamPrincipal/ Präfix angezeigt.

Schritt 2: Aktivieren der Kostenzuordnungs-Tags

Damit Ihre IAM-Prinzipal-Tags in AWS Cost Explorer und CUR 2.0 angezeigt werden, müssen Sie sie als Kostenzuordnungs-Tags aktivieren:

Schritt 3: Erstellen Sie einen CUR 2.0-Datenexport mit IAM-level Daten

Um Kostenaufschlüsselungen auf Identitätsebene zu sehen, erstellen Sie einen CUR 2.0-Datenexport, der die Identität des Anrufers enthält:

Weitere Informationen finden Sie unter Berichte erstellen im Benutzerhandbuch AWS für Kosten- und Nutzungsberichte.

Dimensionen kennzeichnen

Sie können jeden Tag-Schlüssel verwenden, der Ihre Organisationsstruktur repräsentiert. Zu den gängigen Dimensionen gehören:

Sie können bis zu 50 Principal- oder Session-Tags pro IAM-Benutzer oder Rolle anwenden.

Verbundzugriffs- und Sitzungs-Tags

Für Organisationen, die Federated Identity Provider (AWS IAM Identity Center, Okta, Entra, Ping) verwenden, können Sie mit Sitzungs-Tags Benutzerattribute von Ihrem IdP an diese weitergeben. AWS Wenn ein Verbundbenutzer eine Rolle übernimmt AWS STS, kann der IdP Attribute wie Benutzer-E-Mail, Team und Kostenstelle als Sitzungs-Tags übergeben. Diese Tags werden zusammen mit der Amazon Bedrock-Anfrage erfasst und an AWS CUR 2.0 und AWS Cost Explorer weitergeleitet.

So funktioniert die Einrichtung:

Weitere Informationen finden Sie unter Übergeben von Sitzungs-Tags in AWS STS.

Das folgende Python-Beispiel zeigt ein Gateway, das seine Amazon Bedrock-Rolle für einen bestimmten Benutzer annimmt und den Benutzer sowohl als a RoleSessionName (das identity.arn in Ihren Aufrufprotokollen erscheint) als auch als Sitzungs-Tags (die als Kostenzuordnungsdaten in Cost Explorer und CUR AWS 2.0 auftauchen) übergibt. Die Vertrauensrichtlinie der Rolle muss dies zulassen. sts:TagSession Zwischenspeichern Sie die zurückgegebenen Anmeldeinformationen für die Dauer der Sitzung, anstatt sie AssumeRole bei jeder Anfrage aufzurufen.

import boto3

sts = boto3.client("sts")

creds = sts.assume_role(
    RoleArn="arn:aws:iam::123456789012:role/BedrockGatewayRole",
    RoleSessionName="alice",                       # appears in identity.arn
    Tags=[
        {"Key": "user", "Value": "alice@example.com"},
        {"Key": "team", "Value": "growth"},
    ],                                             # session tags, surface as cost allocation data
)["Credentials"]

bedrock = boto3.client(
    "bedrock-runtime",
    aws_access_key_id=creds["AccessKeyId"],
    aws_secret_access_key=creds["SecretAccessKey"],
    aws_session_token=creds["SessionToken"],
)
# Every call made with this client is attributed to alice in billing
# and carries her identity ARN in invocation logs.

Aufrufmuster

Die IAM-Prinzipalzuweisung funktioniert unabhängig davon, wie Ihre Anwendung Amazon Bedrock aufruft:

Wenn Sie ein LLM-Gateway oder API-Gateway verwenden und in der AWS Abrechnung keine Identität auf Benutzerebene angezeigt wird, vergewissern Sie sich, dass das Gateway bei jeder Anfrage Sitzungs-Tags weitergibt.

Kosten einsehen

Nachdem Sie Ihre Kostenzuweisungs-Tags aktiviert haben, können Sie die Amazon Bedrock-Kosten mit den folgenden Tools nach Auftraggeber analysieren:

Es kann bis zu 24 Stunden dauern, bis AWS Kostendaten in Cost Explorer und CUR 2.0 angezeigt werden, nachdem eine Anfrage gestellt wurde.

Verwendung der IAM-Prinzipalzuweisung mit anderen Methoden

Die IAM-Prinzipalzuweisung kann zusammen mit Projekten und Anwendungs-Inferenzprofilen verwendet werden. Auf diese Weise erhalten Sie eine mehrdimensionale Kostentransparenz.

Wir empfehlen die Verwendung von Projekten für die Zuordnung auf Anwendungsebene und die IAM-Hauptzuweisung für die Zuordnung auf Benutzerebene innerhalb desselben Kontos.