AWS führt granulare Kostenzuordnung für Amazon Bedrock nach IAM-Principals ein

Amazon Web Services hat am 17. April 2026 eine neue Funktion für Amazon Bedrock veröffentlicht, die eines der wichtigsten Enterprise-Probleme bei der Nutzung gehosteter LLM-Dienste löst: wer wie viel verbraucht hat. Die Autoren Ba’Carri Johnson, Ajit Mahareddy, Sofian Hamiti und Vadim Omeltchenko decken vier architektonische Szenarien ab, in denen die Funktion Mehrwert bietet.

Problem: eine API, viele Nutzer

Ein typisches Enterprise-Bedrock-Deployment hat Dutzende von Teams und Hunderte von Anwendungen, die dieselben Modelle aufrufen. Das klassische AWS-Billing zeigt Gesamtkosten, aber nicht, wer sie verursacht — was bedeutet, dass der CFO nicht entscheiden kann, wer was bezahlt.

Die neue Funktion löst dies durch die Verfolgung des IAM-Principals — des spezifischen IAM-Nutzers, der Rolle oder der föderalen Identität, die jeden Inferenzaufruf initiiert hat.

Wie es funktioniert

Die Spalte line_item_iam_principal in CUR 2.0 (Cost and Usage Reports) zeigt den Identitäts-ARN. Die Daten fließen direkt in den AWS Cost Explorer, wo sie gefiltert, gruppiert und visualisiert werden können.

Die gesamte Lösung funktioniert ohne Mehrkosten und ohne zusätzliche Infrastruktur — sie nutzt bestehende IAM-Mechanismen.

Optionales Tagging

Für die Aggregation auf einer höheren Ebene können Organisationen Kostenverteilungs-Tags zu IAM-Ressourcen hinzufügen:

• Principal-Tags — dauerhaft Nutzern oder Rollen zugewiesen
• Session-Tags — dynamisch während AssumeRole oder aus dem Assertion eines Identity Providers übergeben

Markierte Daten fließen mit dem Präfix iamPrincipal/ in den Cost Explorer, was die Gruppierung nach Team, Projekt, Kostenstelle oder benutzerdefinierten Dimensionen ermöglicht.

Vier Enterprise-Szenarien

Szenario 1 — Direkter IAM-Zugriff

Einzelne Entwickler verwenden IAM-Anmeldeinformationen oder API-Schlüssel. Die Zuordnung ist direkt. Teams versehen Nutzer mit Metadaten-Tags (Abteilung, Kostenstelle) für abteilungsübergreifendes Chargeback.

Szenario 2 — Anwendungszugriff

Jeder Dienst, der auf AWS-Infrastruktur läuft (Lambda, EC2, ECS), übernimmt seine eigene IAM-Rolle. Der Assumed-Role-ARN erfasst automatisch Kosten pro Anwendung, mit optionalen Tags für das Projekt-Rollup.

Szenario 3 — Föderale Authentifizierung

Nutzer authentifizieren sich über Corporate-Identity-Provider (Okta, Azure AD, Auth0) und übernehmen eine einzelne gemeinsame IAM-Rolle. Session-Namen im ARN identifizieren einzelne Nutzer. Session-Tags vom IdP bringen Team-/Kostenstelleninformationen ohne Verwaltung von IAM-Ressourcen pro Nutzer.

Szenario 4 — LLM-Gateway-Proxy

Das Komplexeste. Wenn ein API-Gateway zwischen Nutzern und Bedrock sitzt, erfordert die Sichtbarkeit auf Nutzerebene, dass das Gateway AssumeRole für jeden Nutzer mit einem eindeutigen Session-Namen und Tags aufruft. Dies ermöglicht die Kostenisolation auf Mandanten- oder Nutzerebene in mandantenfähigen SaaS-Deployments.

Dies ist das Muster, das SaaS-Entwickler tatsächlich benötigen — und bisher musste es mit benutzerdefinierten Lösungen gelöst werden.

Implementierungsschritte

AWS dokumentiert einen klaren Fünf-Schritte-Prozess:

1. Architektonisches Muster identifizieren (Szenarien 1–4)
2. IAM-Principal-Daten in der CUR-2.0-Konfiguration aktivieren
3. Tags auf IAM-Ressourcen anwenden oder IdP-Session-Tag-Weitergabe konfigurieren
4. Kostenverteilungs-Tags in der AWS-Billing-Konsole aktivieren
5. Kosten im Cost Explorer innerhalb von 24 bis 48 Stunden überprüfen

Wesentliche Merkmale

• Keine zusätzliche Infrastruktur — funktioniert mit bestehenden IAM-Mechanismen
• Multi-Modell-Unterstützung — Claude, Nova und andere Bedrock-Modelle
• Granularität auf Token-Ebene — separate Input- und Output-Token-Kosten pro Aufrufer
• SaaS-bereit — mandantenfähig durch sitzungsbasierte Identität

In allen kommerziellen AWS-Regionen ohne zusätzliche Gebühren verfügbar.

Kontext

Die Enterprise-Adoption von LLMs ist grundlegend an der Frage „wer zahlt für welche Aufrufe” ins Stocken geraten. Wenn der vollständige Finanzfluss nicht messbar ist, lassen sich KI-Projekte gegenüber Finanzabteilungen schwer rechtfertigen. AWS beseitigt damit einen der wesentlichen nicht-technischen Hindernisse — was ein nützlicherer Schritt ist als die meisten neuen Modellveröffentlichungen.