Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Attribuzione principale IAM

Amazon Bedrock acquisisce automaticamente l'identità principale IAM (utenti IAM e ruoli IAM) per ogni richiesta di inferenza. Facoltativamente, puoi allegare tag ai tuoi responsabili per dimensioni di costo aggiuntive, come team, reparto o centro di costo. Ciò offre una visibilità dei costi per utente e per ruolo senza modifiche al codice o risorse aggiuntive.

L'attribuzione principale IAM attualmente funziona con Amazon Bedrock bedrock-runtime APIs (InvokeModel API/Converse API/Chat Completions API). Il supporto per bedrock-mantle APIs sarà presto disponibile.

Come funziona

Quando un utente o un ruolo IAM effettua una richiesta di inferenza, Amazon Bedrock registra l'identità del chiamante. Queste informazioni confluiscono in AWS Cost Explorer e AWS Cost and Usage Reports (CUR 2.0), dove è possibile filtrare e raggruppare i costi per identità. Non è richiesta alcuna modifica alle chiamate API Amazon Bedrock. L'attribuzione si basa su chi ha effettuato la chiamata, non sui parametri dell'API.

Facoltativamente, puoi allegare tag ai tuoi presidi IAM per aggiungere dimensioni organizzative (team, reparto, centro di costo) ai tuoi dati di fatturazione. I tag non sono necessari per l'attribuzione a livello di identità. L'identità del chiamante viene sempre acquisita.

Tipi principali

Amazon Bedrock acquisisce l'identità da qualsiasi tipo principale IAM. I due più comuni sono gli utenti IAM e i ruoli IAM.

Gli utenti IAM chiamano Amazon Bedrock direttamente utilizzando chiavi di accesso a lunga durata. Il nome utente IAM e tutti i tag associati all'utente vengono registrati in AWS Billing.

I ruoli IAM vengono assunti da utenti, applicazioni o identità federate tramite. AWS STS Quando un principale chiamasts:AssumeRole, le credenziali temporanee risultanti riportano l'identità del ruolo. I tag possono provenire da due fonti:

La maggior parte delle organizzazioni utilizza ruoli anziché utenti IAM per l'accesso ad Amazon Bedrock. Se più utenti condividono lo stesso ruolo, i tag di sessione sono il modo in cui li distingui nella fatturazione.

Configurazione dell'attribuzione principale IAM

L'attribuzione a livello di identità (l'ARN dell'utente IAM o del ruolo del chiamante) viene acquisita automaticamente per ogni richiesta Amazon Bedrock. Per aggiungere dimensioni organizzative come team o centro di costo ai tuoi dati di fatturazione, segui questi passaggi per etichettare i tuoi responsabili e attivare i tag in Fatturazione. AWS

Fase 1: applica i tag ai tuoi presidi IAM (opzionale)

I tag arrivano ai dati di fatturazione in due modi:

I tag principali sono collegati direttamente agli utenti o ai ruoli IAM. Impostali una volta e si applicano a tutte le richieste di quel principale. È ideale per etichettare singoli sviluppatori (utenti IAM) o applicazioni (ruoli IAM). Puoi applicare i tag principali utilizzando la console IAM, la AWS CLI (aws iam tag-role,aws iam tag-user) o l'API IAM (TagRole,TagUser).

Per saperne di più sui tag e sulle best practice di IAM, consulta Tags for IAM resources.

I tag di sessione vengono passati dinamicamente quando si assume un ruolo IAM tramite. AWS STS Sono ideali per gli utenti federati (che si autenticano tramite un provider di identità come Okta, Auth0 o Entra) e per i gateway LLM che eseguono il proxy delle richieste per conto di più utenti o tenant. I tag di sessione possono essere passati in tre modi:

La policy di fiducia del ruolo IAM deve consentire il passaggio dei tag sts:TagSession di sessione. Per ulteriori informazioni, consulta Pass session tags in AWS STS.

Sia i tag principali che i tag di sessione vengono visualizzati in CUR 2.0 con il iamPrincipal/ prefisso.

Fase 2: attivare tag di allocazione dei costi

Per far apparire i tag principali IAM in AWS Cost Explorer e CUR 2.0, devi attivarli come tag di allocazione dei costi:

Fase 3: Creare un'esportazione di dati CUR 2.0 con dati a livello IAM

Per visualizzare le suddivisioni dei costi a livello di identità, create un'esportazione di dati CUR 2.0 che includa l'identità del chiamante:

Per ulteriori informazioni, consulta Creazione di report nella Guida per l'utente dei report sui AWS costi e sull'utilizzo.

Etichettatura delle dimensioni

Puoi utilizzare qualsiasi chiave di tag che rappresenti la tua struttura organizzativa. Le dimensioni comuni includono:

Puoi applicare fino a 50 tag principali o di sessione per utente o ruolo IAM.

Tag di accesso e di sessione federati

Per le organizzazioni che utilizzano provider di identità federati (AWS IAM Identity Center, Okta, Entra, Ping), i tag di sessione consentono di passare gli attributi utente dal proprio IdP a. AWS Quando un utente federato assume un ruolo AWS STS, l'IdP può passare attributi come email utente, team e centro di costo come tag di sessione. Questi tag vengono acquisiti insieme alla richiesta Amazon Bedrock e vengono trasferiti a AWS CUR 2.0 e AWS Cost Explorer.

Per configurarlo:

Per ulteriori informazioni, consulta Passare i tag di sessione in AWS STS.

Schemi di invocazione

L'attribuzione principale IAM funziona indipendentemente dal modo in cui l'applicazione chiama Amazon Bedrock:

Se utilizzi un gateway LLM o un gateway API e non vedi l'identità a livello di utente in AWS Billing, conferma che il gateway stia passando i tag di sessione a ogni richiesta.

Visualizzazione dei costi

Dopo aver attivato i tag di allocazione dei costi, puoi analizzare i costi di Amazon Bedrock per principale con i seguenti strumenti:

I dati sui costi possono richiedere fino a 24 ore per essere visualizzati in AWS Cost Explorer e CUR 2.0 dopo la richiesta.

Utilizzo dell'attribuzione principale IAM con altri metodi

L'attribuzione principale IAM può essere utilizzata insieme ai progetti e ai profili di inferenza delle applicazioni. Questo ti offre una visibilità multidimensionale dei costi.

Ti consigliamo di utilizzare Projects per l'attribuzione a livello di applicazione e l'attribuzione principale IAM per l'attribuzione a livello di utente all'interno dello stesso account.