As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Atribuição principal do IAM

O Amazon Bedrock captura automaticamente a identidade principal do IAM (usuários e funções do IAM) para cada solicitação de inferência. Opcionalmente, você pode anexar etiquetas aos seus diretores para obter dimensões adicionais de custo, como equipe, departamento ou centro de custo. Isso oferece visibilidade do custo por usuário e por função sem alterações de código ou recursos adicionais.

A atribuição principal do IAM funciona com as APIs do Amazon Bedrock no bedrock-runtime endpoint (API/API InvokeModel Converse/API de conclusão de bate-papo) e no bedrock-mantle endpoint (API de respostas /API de conclusão de bate-papo). API de respostas no endpoint básico

Como funciona

Quando um usuário ou função do IAM faz uma solicitação de inferência, o Amazon Bedrock registra a identidade do chamador. Essas informações fluem para o AWS Cost Explorer e para os Relatórios de AWS Custo e Uso (CUR 2.0), nos quais você pode filtrar e agrupar os custos por identidade. Nenhuma alteração em suas chamadas de API do Amazon Bedrock é necessária. A atribuição é baseada em quem fez a chamada, não nos parâmetros da API.

Opcionalmente, você pode anexar tags aos seus diretores do IAM para adicionar dimensões organizacionais (equipe, departamento, centro de custo) aos seus dados de faturamento. As tags não são necessárias para atribuição em nível de identidade. A identidade do chamador é sempre capturada.

Tipos principais

O Amazon Bedrock captura a identidade de qualquer tipo principal de IAM. Os dois mais comuns são usuários do IAM e funções do IAM.

Os usuários do IAM ligam diretamente para o Amazon Bedrock usando chaves de acesso de longa duração. O nome de usuário do IAM e todas as tags anexadas ao usuário são registrados no AWS Faturamento.

As funções do IAM são assumidas por usuários, aplicativos ou identidades federadas por meio de. AWS STS Quando um diretor ligasts:AssumeRole, as credenciais temporárias resultantes carregam a identidade da função. As tags podem vir de duas fontes:

A maioria das organizações usa funções em vez de usuários do IAM para acessar o Amazon Bedrock. Se vários usuários compartilham a mesma função, as tags de sessão são a forma como você os distingue no faturamento.

Configurando a atribuição principal do IAM

Identity-level a atribuição (o usuário do IAM ou o ARN da função do chamador) é capturada automaticamente para cada solicitação do Amazon Bedrock. Para adicionar dimensões organizacionais, como equipe ou centro de custo, aos seus dados de faturamento, siga estas etapas para marcar seus diretores e ativar as tags no AWS Faturamento.

Etapa 1: aplicar tags aos seus diretores do IAM (opcional)

As tags fluem para seus dados de faturamento de duas maneiras:

As tags principais são anexadas diretamente aos usuários ou funções do IAM. Defina-os uma vez e eles se aplicam a todas as solicitações desse diretor. Isso é ideal para marcar desenvolvedores individuais (usuários do IAM) ou aplicativos (funções do IAM). Você pode aplicar tags principais usando o console do IAM, a AWS CLI (aws iam tag-role,aws iam tag-user) ou a API do IAM (TagRole,TagUser).

Para saber mais sobre a marcação do IAM e as melhores práticas, consulte Tags para recursos do IAM.

As tags de sessão são passadas dinamicamente ao assumir uma função do IAM. AWS STS Eles são ideais para usuários federados (autenticados por meio de um provedor de identidade como Okta, Auth0 ou Entra) e gateways LLM que fazem solicitações por proxy em nome de vários usuários ou inquilinos. As tags de sessão podem ser passadas de três maneiras:

A política de confiança da função do IAM deve permitir que sts:TagSession as tags de sessão fluam. Para saber mais, consulte Transferir tags de sessão em AWS STS.

As tags principais e as tags de sessão aparecem no CUR 2.0 com o iamPrincipal/ prefixo.

Etapa 2: ativar etiquetas da alocação de custos

Para fazer com que suas tags principais do IAM apareçam no AWS Cost Explorer e no CUR 2.0, você deve ativá-las como tags de alocação de custos:

Etapa 3: criar uma exportação de dados CUR 2.0 com IAM-level dados

Para ver os detalhamentos de custos em nível de identidade, crie uma exportação de dados CUR 2.0 que inclua a identidade do chamador:

Para obter mais informações, consulte Criação de relatórios no Guia do usuário de relatórios de AWS custo e uso.

Dimensões de marcação

Você pode usar qualquer chave de tag que represente sua estrutura organizacional. As dimensões comuns incluem:

Você pode aplicar até 50 tags principais ou de sessão por usuário ou função do IAM.

Acesso federado e tags de sessão

Para organizações que usam provedores de identidade federados (AWS IAM Identity Center, Okta, Entra, Ping), as tags de sessão permitem que você transmita atributos de usuário do seu IdP para o. AWS Quando um usuário federado assume uma função AWS STS, o IdP pode passar atributos como e-mail do usuário, equipe e centro de custo como tags de sessão. Essas tags são capturadas junto com a solicitação do Amazon Bedrock e fluem para o AWS CUR 2.0 e o AWS Cost Explorer.

Para configurar isso:

Para obter mais informações, consulte Passar tags de sessão no AWS STS.

O exemplo de Python a seguir mostra um gateway assumindo sua função Amazon Bedrock para um usuário específico, passando o usuário como um RoleSessionName (que aparece identity.arn em seus registros de invocação) e como tags de sessão (que aparecem como dados de alocação de custos no Cost Explorer e no AWS CUR 2.0). A política de confiança da função deve permitirsts:TagSession. Armazene em cache as credenciais retornadas durante a duração da sessão, em vez de chamar AssumeRole todas as solicitações.

import boto3

sts = boto3.client("sts")

creds = sts.assume_role(
    RoleArn="arn:aws:iam::123456789012:role/BedrockGatewayRole",
    RoleSessionName="alice",                       # appears in identity.arn
    Tags=[
        {"Key": "user", "Value": "alice@example.com"},
        {"Key": "team", "Value": "growth"},
    ],                                             # session tags, surface as cost allocation data
)["Credentials"]

bedrock = boto3.client(
    "bedrock-runtime",
    aws_access_key_id=creds["AccessKeyId"],
    aws_secret_access_key=creds["SecretAccessKey"],
    aws_session_token=creds["SessionToken"],
)
# Every call made with this client is attributed to alice in billing
# and carries her identity ARN in invocation logs.

Padrões de invocação

A atribuição principal do IAM funciona independentemente de como seu aplicativo chama Amazon Bedrock:

Se você usa um gateway LLM ou gateway de API e não vê a identidade em nível de usuário no AWS Billing, confirme se o gateway está passando tags de sessão com cada solicitação.

Custos de visualização

Depois de ativar suas tags de alocação de custos, você pode analisar os custos do Amazon Bedrock por princípio nas seguintes ferramentas:

Os dados de custo podem levar até 24 horas para aparecer no AWS Cost Explorer e no CUR 2.0 após a solicitação ser feita.

Usando a atribuição principal do IAM com outros métodos

A atribuição principal do IAM pode ser usada junto com projetos e perfis de inferência de aplicativos. Isso oferece visibilidade multidimensional dos custos.

Recomendamos usar projetos para atribuição em nível de aplicativo e atribuição principal do IAM para atribuição em nível de usuário na mesma conta.