Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Hauptzuweisung nach IAM

Amazon Bedrock erfasst automatisch die https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html IAM-Prinzidentität (IAM-Benutzer und IAM-Rollen) für jede Inferenzanforderung. Sie können Ihren Auftraggebern optional Tags für zusätzliche Kostendimensionen wie Team, Abteilung oder Kostenstelle anhängen. Auf diese Weise erhalten Sie einen Überblick über die Kosten pro Benutzer und Rolle, ohne dass Codeänderungen oder zusätzliche Ressourcen erforderlich sind.

Die IAM-Prinzipalzuweisung funktioniert mit Amazon Bedrock-APIs sowohl am bedrock-runtime Endpunkt (InvokeModel API/Converse API/Chat Completions API) als auch am bedrock-mantle Endpunkt (Responses API/Chat Completions API). Antwort-API auf dem Bedrock-Mantle-Endpunkt

Funktionsweise

Wenn ein IAM-Benutzer oder eine IAM-Rolle eine Inferenzanfrage stellt, zeichnet Amazon Bedrock die Identität des Anrufers auf. Diese Informationen fließen in den AWS Cost Explorer und die AWS Kosten- und Nutzungsberichte (CUR 2.0) ein, in denen Sie die Kosten nach Identität filtern und gruppieren können. Es sind keine Änderungen an Ihren Amazon Bedrock-API-Aufrufen erforderlich. Die Zuordnung basiert darauf, wer den Anruf getätigt hat, nicht auf API-Parametern.

Optional können Sie Ihren IAM-Prinzipalen Tags hinzufügen, um Ihren Rechnungsdaten organisatorische Dimensionen (Team, Abteilung, Kostenstelle) hinzuzufügen. Tags sind für die Zuordnung auf Identitätsebene nicht erforderlich. Die Identität des Anrufers wird immer erfasst.

Wichtigste Typen

Amazon Bedrock erfasst die Identität eines beliebigen IAM-Prinzipaltyps. Die beiden häufigsten sind IAM-Benutzer und IAM-Rollen.

IAM-Benutzer rufen Amazon Bedrock direkt an, indem sie langlebige Zugriffsschlüssel verwenden. Der IAM-Benutzername und alle dem Benutzer zugewiesenen Tags werden in der Abrechnung aufgezeichnet. AWS

IAM-Rollen werden von Benutzern, Anwendungen oder föderierten Identitäten über übernommen. AWS STS Wenn ein Principal anruftsts:AssumeRole, enthalten die resultierenden temporären Anmeldeinformationen die Identität der Rolle. Stichwörter können aus zwei Quellen stammen:

Die meisten Organisationen verwenden Rollen anstelle von IAM-Benutzern für den Zugriff auf Amazon Bedrock. Wenn mehrere Benutzer dieselbe Rolle haben, unterscheiden Sie sie bei der Abrechnung anhand von Sitzungs-Tags.

Einrichtung der IAM-Prinzipalattribution

Identity-level Die Zuordnung (der IAM-Benutzer oder die Rollen-ARN des Anrufers) wird automatisch für jede Amazon Bedrock-Anfrage erfasst. Um Ihren Rechnungsdaten organisatorische Dimensionen wie Team oder Kostenstelle hinzuzufügen, gehen Sie wie folgt vor, um Ihre Auftraggeber zu taggen und die Stichwörter in der Fakturierung zu aktivieren. AWS

Schritt 1: Ordnen Sie Ihren IAM-Prinzipalen Stichwörter zu (optional)

Ihre Rechnungsdaten werden auf zwei Arten mit Tags verknüpft:

Principal-Tags werden direkt an IAM-Benutzer oder -Rollen angehängt. Wenn Sie sie einmal festlegen, gelten sie für jede Anfrage dieses Prinzipals. Dies ist ideal, um einzelne Entwickler (IAM-Benutzer) oder Anwendungen (IAM-Rollen) zu taggen. Sie können Prinzipal-Tags mithilfe der IAM-Konsole, der AWS CLI (aws iam tag-role,aws iam tag-user) oder der IAM-API (,) anwenden. TagRole TagUser

Weitere Informationen zu IAM-Tagging und bewährten Methoden finden Sie unter Tags für IAM-Ressourcen.

Sitzungs-Tags werden dynamisch weitergegeben, wenn eine IAM-Rolle übernommen wird. AWS STS Sie eignen sich ideal für Verbundbenutzer (die sich über einen Identitätsanbieter wie Okta, Auth0 oder Entra authentifizieren) und LLM-Gateways, die Anfragen im Namen mehrerer Benutzer oder Mandanten weiterleiten. Sitzungs-Tags können auf drei Arten weitergegeben werden:

Die Vertrauensrichtlinie der IAM-Rolle muss den Durchfluss von Sitzungs-Tags zulassensts:TagSession. Weitere Informationen finden Sie unter Sitzungs-Tags weitergeben. AWS STS

Sowohl Prinzipal-Tags als auch Sitzungs-Tags werden in CUR 2.0 mit dem iamPrincipal/ Präfix angezeigt.

Schritt 2: Aktivieren der Kostenzuordnungs-Tags

Damit Ihre IAM-Prinzipal-Tags im AWS Cost Explorer und CUR 2.0 angezeigt werden, müssen Sie sie als Kostenzuordnungs-Tags aktivieren:

Schritt 3: Erstellen Sie einen CUR 2.0-Datenexport mit IAM-level Daten

Um Kostenaufschlüsselungen auf Identitätsebene anzuzeigen, erstellen Sie einen CUR 2.0-Datenexport, der die Anruferidentität enthält:

Weitere Informationen finden Sie unter Berichte erstellen im Benutzerhandbuch AWS für Kosten- und Nutzungsberichte.

Dimensionen kennzeichnen

Sie können jeden Tag-Schlüssel verwenden, der Ihre Organisationsstruktur repräsentiert. Zu den gängigen Dimensionen gehören:

Sie können bis zu 50 Principal- oder Sitzungs-Tags pro IAM-Benutzer oder Rolle anwenden.

Föderierter Zugriff und Sitzungs-Tags

Für Organisationen, die Verbundidentitätsanbieter verwenden (AWS IAM Identity Center, Okta, Entra, Ping), ermöglichen Sitzungs-Tags die Weitergabe von Benutzerattributen von Ihrem IdP an. AWS Wenn ein Verbundbenutzer eine Rolle übernimmt AWS STS, kann der IdP Attribute wie Benutzer-E-Mail-Adresse, Team und Kostenstelle als Sitzungs-Tags weitergeben. Diese Tags werden zusammen mit der Amazon Bedrock-Anfrage erfasst und an AWS CUR 2.0 und Cost Explorer weitergeleitet. AWS

So funktioniert die Einrichtung:

Weitere Informationen finden Sie unter Übergeben von Sitzungs-Tags in AWS STS.

Das folgende Python-Beispiel zeigt, wie ein Gateway seine Amazon Bedrock-Rolle für einen bestimmten Benutzer übernimmt und den Benutzer sowohl als a RoleSessionName (das identity.arn in Ihren Aufrufprotokollen erscheint) als auch als Sitzungs-Tags (die als Kostenzuordnungsdaten in Cost Explorer und CUR AWS 2.0 auftauchen) weitergibt. Die Vertrauensrichtlinie der Rolle muss dies zulassen. sts:TagSession Speichern Sie die zurückgegebenen Anmeldeinformationen für die gesamte Sitzungsdauer im Cache, anstatt AssumeRole bei jeder Anfrage aufzurufen.

import boto3

sts = boto3.client("sts")

creds = sts.assume_role(
    RoleArn="arn:aws:iam::123456789012:role/BedrockGatewayRole",
    RoleSessionName="alice",                       # appears in identity.arn
    Tags=[
        {"Key": "user", "Value": "alice@example.com"},
        {"Key": "team", "Value": "growth"},
    ],                                             # session tags, surface as cost allocation data
)["Credentials"]

bedrock = boto3.client(
    "bedrock-runtime",
    aws_access_key_id=creds["AccessKeyId"],
    aws_secret_access_key=creds["SecretAccessKey"],
    aws_session_token=creds["SessionToken"],
)
# Every call made with this client is attributed to alice in billing
# and carries her identity ARN in invocation logs.

Aufrufmuster

Die IAM-Prinzipalattribution funktioniert unabhängig davon, wie Ihre Anwendung Amazon Bedrock aufruft:

Wenn Sie ein LLM-Gateway oder API-Gateway verwenden und in der AWS Abrechnung keine Identität auf Benutzerebene angezeigt wird, stellen Sie sicher, dass das Gateway bei jeder Anfrage Sitzungs-Tags weitergibt.

Kosten anzeigen

Nachdem Sie Ihre Kostenzuweisungs-Tags aktiviert haben, können Sie die Amazon Bedrock-Kosten mithilfe der folgenden Tools nach Auftraggeber analysieren:

Es kann bis zu 24 Stunden dauern, bis AWS Kostendaten nach einer Anfrage im Cost Explorer und CUR 2.0 angezeigt werden.

Verwendung der IAM-Prinzipalattribution mit anderen Methoden

Die IAM-Prinzipalattribution kann zusammen mit Projekten und Anwendungsinferenzprofilen verwendet werden. Dadurch erhalten Sie eine mehrdimensionale Kostentransparenz.

Wir empfehlen, Projekte für die Zuordnung auf Anwendungsebene und die IAM-Prinzipal-Attribution für die Zuordnung auf Benutzerebene innerhalb desselben Kontos zu verwenden.