As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Atribuição principal do IAM

O Amazon Bedrock captura automaticamente a identidade principal do IAM (usuários do IAM e funções do IAM) para cada solicitação de inferência. Opcionalmente, você pode anexar etiquetas aos seus diretores para obter dimensões de custo adicionais, como equipe, departamento ou centro de custos. Isso oferece visibilidade de custo por usuário e por função, sem alterações no código ou recursos adicionais.

A atribuição principal do IAM atualmente funciona com as APIs do Amazon Bedrock (bedrock-runtimeAPI/Converse InvokeModel API/Chat Completions API). Support para bedrock-mantle APIs estará disponível em breve.

Como funciona

Quando um usuário ou função do IAM faz uma solicitação de inferência, o Amazon Bedrock registra a identidade do chamador. Essas informações fluem para o AWS Cost Explorer e o AWS Cost and Usage Reports (CUR 2.0), onde você pode filtrar e agrupar os custos por identidade. Nenhuma alteração em suas chamadas de API do Amazon Bedrock é necessária. A atribuição é baseada em quem fez a chamada, não nos parâmetros da API.

Opcionalmente, você pode anexar tags aos seus diretores do IAM para adicionar dimensões organizacionais (equipe, departamento, centro de custos) aos seus dados de faturamento. As tags não são necessárias para atribuição em nível de identidade. A identidade do chamador é sempre capturada.

Tipos principais

O Amazon Bedrock captura a identidade de qualquer tipo principal do IAM. Os dois mais comuns são usuários do IAM e funções do IAM.

Os usuários do IAM ligam diretamente para o Amazon Bedrock usando chaves de acesso de longa duração. O nome de usuário do IAM e todas as tags anexadas ao usuário são registrados no AWS Faturamento.

As funções do IAM são assumidas por usuários, aplicativos ou identidades federadas por meio de. AWS STS Quando um diretor ligasts:AssumeRole, as credenciais temporárias resultantes carregam a identidade da função. As tags podem vir de duas fontes:

A maioria das organizações usa funções em vez de usuários do IAM para acessar o Amazon Bedrock. Se vários usuários compartilham a mesma função, as tags de sessão são como você os distingue no faturamento.

Configurando a atribuição principal do IAM

Identity-level a atribuição (o ARN do usuário do IAM ou da função do chamador) é capturada automaticamente para cada solicitação do Amazon Bedrock. Para adicionar dimensões organizacionais, como equipe ou centro de custos, aos seus dados de faturamento, siga estas etapas para marcar seus diretores e ativar as tags no AWS Faturamento.

Etapa 1: aplicar tags aos seus diretores do IAM (opcional)

As tags fluem para seus dados de faturamento de duas maneiras:

As tags principais são anexadas diretamente aos usuários ou funções do IAM. Defina-os uma vez e eles se aplicam a todas as solicitações desse diretor. Isso é ideal para marcar desenvolvedores individuais (usuários do IAM) ou aplicativos (funções do IAM). Você pode aplicar as tags principais usando o console do IAM, a AWS CLI (aws iam tag-role,aws iam tag-user) ou a API do IAM (TagRole,TagUser).

Para saber mais sobre a marcação e as melhores práticas do IAM, consulte Tags para recursos do IAM.

As tags de sessão são passadas dinamicamente ao assumir uma função do IAM via. AWS STS Eles são ideais para usuários federados (autenticados por meio de um provedor de identidade como Okta, Auth0 ou Entra) e gateways LLM que fazem solicitações por proxy em nome de vários usuários ou locatários. As tags de sessão podem ser passadas de três maneiras:

A política de confiança da função do IAM deve permitir que sts:TagSession as tags de sessão fluam. Para saber mais, consulte Passar tags de sessão em AWS STS.

Tanto as tags principais quanto as tags de sessão aparecem no CUR 2.0 com o iamPrincipal/ prefixo.

Etapa 2: ativar etiquetas da alocação de custos

Para fazer com que suas tags principais do IAM apareçam no AWS Cost Explorer e no CUR 2.0, você deve ativá-las como tags de alocação de custos:

Etapa 3: criar uma exportação de dados CUR 2.0 com IAM-level dados

Para ver os detalhamentos dos custos em nível de identidade, crie uma exportação de dados CUR 2.0 que inclua a identidade do chamador:

Para obter mais informações, consulte Criação de relatórios no Guia do usuário de relatórios de AWS custo e uso.

Dimensões de marcação

Você pode usar qualquer chave de tag que represente sua estrutura organizacional. As dimensões comuns incluem:

Você pode aplicar até 50 tags principais ou de sessão por usuário ou função do IAM.

Acesso federado e tags de sessão

Para organizações que usam provedores de identidade federados (AWS IAM Identity Center, Okta, Entra, Ping), as tags de sessão permitem que você transmita atributos de usuário do seu IdP para o. AWS Quando um usuário federado assume uma função AWS STS, o IdP pode transmitir atributos como e-mail do usuário, equipe e centro de custos como tags de sessão. Essas tags são capturadas junto com a solicitação do Amazon Bedrock e fluem para o AWS CUR 2.0 e o AWS Cost Explorer.

Para configurar isso:

Para obter mais informações, consulte Passar tags de sessão no AWS STS.

Padrões de invocação

A atribuição principal do IAM funciona independentemente de como seu aplicativo chama o Amazon Bedrock:

Se você usa um gateway LLM ou um gateway de API e não vê a identidade em nível de usuário no AWS Faturamento, confirme se o gateway está transmitindo tags de sessão com cada solicitação.

Visualizando custos

Depois de ativar suas tags de alocação de custos, você pode analisar os custos do Amazon Bedrock por princípio nas seguintes ferramentas:

Os dados de custo podem levar até 24 horas para aparecer no AWS Cost Explorer e no CUR 2.0 após a solicitação ser feita.

Usando a atribuição principal do IAM com outros métodos

A atribuição principal do IAM pode ser usada junto com projetos e perfis de inferência de aplicativos. Isso oferece visibilidade de custos multidimensional.

Recomendamos usar projetos para atribuição em nível de aplicativo e atribuição principal do IAM para atribuição em nível de usuário na mesma conta.