Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Atribusi utama IAM

Amazon Bedrock secara otomatis menangkap identitas utama IAM (pengguna IAM dan peran IAM) untuk setiap permintaan inferensi. Anda dapat secara opsional melampirkan tag ke kepala sekolah Anda untuk dimensi biaya tambahan seperti tim, departemen, atau pusat biaya. Ini memberi Anda visibilitas biaya per pengguna dan per peran tanpa perubahan kode atau sumber daya tambahan.

Atribusi utama IAM bekerja dengan Amazon Bedrock API pada bedrock-runtime titik akhir (InvokeModel API/Converse API/API Penyelesaian Obrolan) dan titik bedrock-mantle akhir (API Tang gapan/API Penyelesaian Obrolan). API Respons pada titik akhir mantel batuan dasar

Cara kerjanya

Saat pengguna atau peran IAM membuat permintaan inferensi, Amazon Bedrock mencatat identitas penelepon. Informasi ini mengalir ke Co AWS st Explorer dan Laporan AWS Biaya dan Penggunaan (CUR 2.0), di mana Anda dapat memfilter dan mengelompokkan biaya berdasarkan identitas. Tidak diperlukan perubahan pada panggilan API Amazon Bedrock Anda. Atribusi didasarkan pada siapa yang melakukan panggilan, bukan pada parameter API.

Secara opsional, Anda dapat melampirkan tag ke kepala sekolah IAM untuk menambahkan dimensi organisasi (tim, departemen, pusat biaya) ke data penagihan Anda. Tag tidak diperlukan untuk atribusi tingkat identitas. Identitas penelepon selalu ditangkap.

Jenis utama

Amazon Bedrock menangkap identitas dari jenis utama IAM apa pun. Dua yang paling umum adalah pengguna IAM dan peran IAM.

Pengguna IAM memang gil Amazon Bedrock secara langsung menggunakan kunci akses berumur panjang. Nama pengguna IAM dan tag apa pun yang dilampirkan pada pengguna dicatat di Pen AWS agihan.

Peran IAM diasumsikan oleh pengguna, aplikasi, atau identitas federasi melalui. AWS STS Ketika kepala sekolah meneleponsts:AssumeRole, kredenSIAL sementara yang dihasilkan membawa identitas peran. Tag dapat berasal dari dua sumber:

Sebagian besar organisasi menggunakan peran daripada pengguna IAM untuk akses Amazon Bedrock. Jika beberapa pengguna berbagi peran yang sama, tag sesi adalah cara Anda membedakannya dalam penagihan.

Menyiapkan atribusi utama IAM

Identity-level atribusi (pengguna IAM penelepon atau ARN peran) ditangkap secara otomatis untuk setiap permintaan Amazon Bedrock. Untuk menambahkan dimensi organisasi seperti tim atau pusat biaya ke data penagihan Anda, ikuti langkah-langkah berikut untuk menandai kepala sekolah Anda dan mengaktifkan tag di Pen AWS agihan.

Langkah 1: Terapkan tag ke prinsipal IAM Anda (opsional)

Tag mengalir ke data penagihan Anda dengan dua cara:

Tag utama dilampirkan langsung ke pengguna atau peran IAM. Tetapkan sekali dan mereka berlaku untuk setiap permintaan dari kepala sekolah itu. Ini sangat ideal untuk menandai pengembang individu (pengguna IAM) atau aplikasi (peran IAM). Anda dapat menerapkan tag utama menggunakan konsol IAM, AWS CLI (aws iam tag-role,aws iam tag-user), atau IAM API (TagRole,). TagUser

Untuk mempelajari lebih lanjut tentang penandaan IAM dan praktik terbaik, lihat Tag untuk sumber daya IAM.

Tag sesi dilewatkan secara dinamis saat mengasumsikan peran IAM melalui AWS STS. Mereka ideal untuk pengguna federasi (otentikasi melalui penyedia identitas seperti Okta, Auth0, atau Entra) dan gateway LLM yang meminta proxy atas nama beberapa pengguna atau penyewa. Tag sesi dapat diteruskan dengan tiga cara:

Kebijakan kepercayaan peran IAM harus memungkinkan sts:TagSession tag sesi mengalir melalui. Untuk mempelajari selengkapnya, lihat Meneruskan tag sesi di AWS STS.

Tag utama dan tag sesi muncul di CUR 2.0 dengan iamPrincipal/ awalan.

Langkah 2: Aktifkan tag alokasi biaya

Untuk membuat tag utama IAM Anda muncul di AWS Cost Explorer dan CUR 2.0, Anda harus mengaktifkannya sebagai tag alokasi biaya:

Langkah 3: Buat ekspor data CUR 2.0 dengan IAM-level data

Untuk melihat rincian biaya tingkat identitas, buat ekspor data CUR 2.0 yang menyertakan identitas pemanggil:

Untuk informasi selengkapnya, lihat Membuat laporan di Panduan Pengguna Laporan AWS Biaya dan Penggunaan.

Dimensi penandaan

Anda dapat menggunakan kunci tag apa pun yang mewakili struktur organisasi Anda. Dimensi umum meliputi:

Anda dapat menerapkan hingga 50 tag utama atau sesi per pengguna atau peran IAM.

Akses federasi dan tag sesi

Untuk organisasi yang menggunakan penyedia identitas federasi (Pusat Identi AWS tas IAM, Okta, Entra, Ping), tag sesi memungkinkan Anda meneruskan atribut pengguna dari IdP Anda ke. AWS Ketika pengguna federasi mengambil peran melalui AWS STS, IdP dapat meneruskan atribut seperti email pengguna, tim, dan pusat biaya sebagai tag sesi. Tag ini ditangkap bersama permintaan Amazon Bedrock dan mengalir ke AWS CUR 2.0 dan AWS Cost Explorer.

Untuk mengatur ini:

Untuk informasi selengkapnya, lihat Meneruskan tag sesi di AWS STS.

Contoh Python berikut menunjukkan gateway yang mengasumsikan peran Amazon Bedrock-nya untuk pengguna tertentu, meneruskan pengguna sebagai a RoleSessionName (yang muncul identity.arn di log pemanggilan Anda) dan sebagai tag sesi (yang muncul sebagai data alokasi AWS biaya di Cost Explorer dan CUR 2.0). Kebijakan kepercayaan peran harus memungkinkansts:TagSession. Cache kredenSIAL yang dikembalikan selama masa pakai sesi alih-alih memanggil AssumeRole setiap permintaan.

import boto3

sts = boto3.client("sts")

creds = sts.assume_role(
    RoleArn="arn:aws:iam::123456789012:role/BedrockGatewayRole",
    RoleSessionName="alice",                       # appears in identity.arn
    Tags=[
        {"Key": "user", "Value": "alice@example.com"},
        {"Key": "team", "Value": "growth"},
    ],                                             # session tags, surface as cost allocation data
)["Credentials"]

bedrock = boto3.client(
    "bedrock-runtime",
    aws_access_key_id=creds["AccessKeyId"],
    aws_secret_access_key=creds["SecretAccessKey"],
    aws_session_token=creds["SessionToken"],
)
# Every call made with this client is attributed to alice in billing
# and carries her identity ARN in invocation logs.

Pola pemanggilan

Atribusi utama IAM berfungsi terlepas dari bagaimana aplikasi Anda memanggil Amazon Bedrock:

Jika Anda menggunakan gateway LLM atau gateway API dan tidak melihat identitas tingkat pengguna di Pen AWS agihan, konfirmasikan bahwa gateway meneruskan tag sesi dengan setiap permintaan.

Melihat biaya

Setelah mengaktifkan tag alokasi biaya, Anda dapat menganalisis biaya Amazon Bedrock berdasarkan prinsip dalam alat berikut:

Data biaya dapat memakan waktu hingga 24 jam untuk muncul di AWS Cost Explorer dan CUR 2.0 setelah permintaan dibuat.

Menggunakan atribusi utama IAM dengan metode lain

Atribusi utama IAM dapat digunakan bersama Proyek dan profil inferensi aplikasi. Ini memberi Anda visibilitas biaya multi-dimensi.

Sebaiknya gunakan Proyek untuk atribusi tingkat aplikasi dan atribusi utama IAM untuk atribusi tingkat pengguna dalam akun yang sama.