本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

IAM 主体归因

Amazon Bedrock 会自动捕获每个推理请求的 IA M 委托人身份（IAM 用户和 IAM 角色）。您可以选择为负责人附加标签，以获取其他成本维度，例如团队、部门或成本中心。这使您可以了解每个用户和每个角色的成本，而无需更改代码或增加资源。

IAM 主体归因目前适用于亚马逊 Bedrock bedrock-runtime API（API/C onverse InvokeModel API /Chat Completions API）。对 bedrock-mantle API 的支持即将推出。

工作原理

当 IAM 用户或角色提出推理请求时，Amazon Bedrock 会记录调用者的身份。这些信息流入 AWS Cost Explorer 和 “ AWS 成本和使用情况报告” (CUR 2.0)，您可以在其中按身份筛选和分组成本。无需更改您的 Amazon Bedrock API 调用。归因取决于谁拨打了电话，而不是 API 参数。

或者，您可以向 IAM 委托人附加标签，以便在账单数据中添加组织维度（团队、部门、成本中心）。身份级归因不需要标签。始终会捕获来电者身份。

主要类型

Amazon Bedrock 可以捕获任何 IAM 委托人类型的身份。最常见的两个角色是 IAM 用户和 IAM 角色。

IAM 用户使用长效访问密钥直接致电 Amazon Bedrock。IAM 用户名和附加到该用户的所有标签都记录在 AWS 账单中。

IAM 角色由用户、应用程序或联合身份通过担任 AWS STS。当委托人调用时sts:AssumeRole，生成的临时证书带有该角色的身份。标签可以来自两个来源：

大多数组织使用角色而不是 IAM 用户来访问 Amazon Bedrock。如果多个用户共享同一个角色，则可以在计费中区分会话标签。

设置 IAM 委托人归因

Identity-level 系统会自动捕获每个 Amazon Bedrock 请求的归因（来电者的 IAM 用户或角色 ARN）。要在账单数据中添加团队或成本中心等组织维度，请按照以下步骤标记您的委托人并激活 AWS 账单中的标签。

第 1 步：为您的 IAM 委托人应用标签（可选）

标签通过两种方式流向您的账单数据：

委托人标签直接附加到 IAM 用户或角色。设置一次即可应用于该委托人的每个请求。这非常适合标记个人开发人员（IAM 用户）或应用程序（IAM 角色）。您可以使用 IAM 控制台、 AWS CLI (,) 或 IAM API (aws iam tag-roleTagRole, aws iam tag-userTagUser) 来应用委托人标签。

要了解有关 IAM 标签和最佳实践的更多信息，请参阅 IAM 资源的标签。

通过担任 IAM 角色时，会话标签会动态传递 AWS STS。它们非常适合联合用户（通过 Okta、Auth0 或 Entra 等身份提供商进行身份验证）和代表多个用户或租户代理请求的 LLM 网关。会话标签可以通过三种方式传递：

IAM 角色的信任策略必须允许sts:TagSession会话标签通过。要了解更多信息，请参阅中的传递会话标签 AWS STS。

主标记和会话标记都显示在 CUR 2.0 中，前缀为iamPrincipal/前缀。

第 2 步：激活成本分配标签

要使您的 IAM 委托人标签显示在 C AWS ost Explorer 和 CUR 2.0 中，您必须将其激活为成本分配标签：

步骤 3：使用数据创建 CUR 2.0 数据导出 IAM-level

要查看身份级别的费用明细，请创建包含来电者身份的 CUR 2.0 数据导出：

有关更多信息，请参阅《 AWS 成本和使用情况报告用户指南》中的创建报告。

为维度加标签

您可以使用任何代表您的组织结构的标签密钥。常见尺寸包括：

每个 IAM 用户或角色最多可以应用 50 个委托人或会话标签。

联合访问和会话标签

对于使用联合身份提供商（AWS IAM Identity Center、Okta、Entra、Ping）的组织，会话标签允许您将用户属性从 IdP 传递到。 AWS当联合用户通过担任角色时 AWS STS，IdP 可以将用户电子邮件、团队和成本中心等属性作为会话标签传递。这些标签与亚马逊 Bedrock 请求一起捕获，并流向 C AWS UR 2.0 和 Cost Explorer AWS 。

要进行此设置，请执行以下操作：

有关更多信息，请参阅在 AWS STS中传递会话标签。

以下 Python 示例显示了一个网关为特定用户扮演 Amazon Bedrock 角色，将该用户作为 aRoleSessionName（出现在您的调用日志identity.arn中）和会话标签（在 Cost Explorer 和 CUR 2.0 中显示为 AWS 成本分配数据）传递。该角色的信任策略必须允许sts:TagSession。在会话生命周期内缓存返回的凭证，而不是AssumeRole在每个请求时都调用。

import boto3

sts = boto3.client("sts")

creds = sts.assume_role(
    RoleArn="arn:aws:iam::123456789012:role/BedrockGatewayRole",
    RoleSessionName="alice",                       # appears in identity.arn
    Tags=[
        {"Key": "user", "Value": "alice@example.com"},
        {"Key": "team", "Value": "growth"},
    ],                                             # session tags, surface as cost allocation data
)["Credentials"]

bedrock = boto3.client(
    "bedrock-runtime",
    aws_access_key_id=creds["AccessKeyId"],
    aws_secret_access_key=creds["SecretAccessKey"],
    aws_session_token=creds["SessionToken"],
)
# Every call made with this client is attributed to alice in billing
# and carries her identity ARN in invocation logs.

调用模式

无论您的应用程序如何调用 Amazon Bedrock，IAM 主体归因都会起作用：

如果您使用 LLM 网关或 API 网关，但在 “ AWS 账单” 中看不到用户级身份，请确认网关在每个请求中都传递了会话标签。

查看费用

激活成本分配标签后，您可以在以下工具中按本金分析 Amazon Bedrock 成本：

提出请求后，成本数据最多可能需要 24 小时才会显示在 C AWS ost Explorer 和 CUR 2.0 中。

将 IAM 委托人归因与其他方法一起使用

IAM 委托人归因可以与项目和应用程序推理配置文件一起使用。这为您提供了多维的成本可见性。

我们建议在同一账户中使用 Projects 进行应用程序级归因，将 IAM 委托人归因用于用户级归因。