Amazon Bedrock成本按人归属：AWS公布CUR 2.0与Budgets原生治理方案

AWS发布按IAM主体归属Amazon Bedrock成本的原生方案，结合成本分配标签、CUR 2.0和AWS Budgets动作。预算数据每天最多刷新三次，不能视为实时硬封顶；本文说明独立角色、共享网关、标签延迟和预算执行的适用边界。

公告时间：2026年11月13日 03:29:55（北京时间）。本文记录截至2026年11月13日05:18（北京时间）的官方信息。

Bedrock按IAM主体归属成本适合谁

方案适合需要按团队、应用或人员回答“谁用了多少”的组织。Amazon Bedrock记录请求的IAM用户或角色身份，再结合标签、账单报告和预算动作完成归属与控制。常见路径无需编写新的应用代码，但前提是身份设计能表达真实归属，而不是所有人共用同一无区分的网关角色。

独立角色与共享角色有什么差别

每人或每应用独立角色时，可利用主体标签；多人共享角色时，需要在承担角色时传递会话标签补充归属。会话标签在AssumeRole时确定，同一会话凭据发出的调用使用相同值，不是每个请求可任意变化。它们也不是直接写入模型调用日志的逐请求人员标识。

依据：官方原文

Cost Explorer与CUR 2.0怎样选择

快速团队报表可使用Cost Explorer按已启用标签分组；需要详细SQL分析时，可建立包含caller identity分配数据的CUR 2.0导出，并采用小时粒度和Athena集成。官方特别说明需要运行交付到S3的设置脚本或相应Glue定义，不能把选择Athena集成误当成目录表已经自动创建。

CUR 2.0数据为什么不能回溯补齐

现有导出若在启用身份归属前创建，不会自动补回此前身份数据，应按官方指南建立包含该选项的新导出。成本分配标签也不追溯：新标签键出现和启用后进入账单都可能有等待。CUR和CUR 2.0仍是按小时或日期等维度聚合的数据，不是每次模型请求一行的明细流水。

Budgets动作可以实时阻止超支吗

不能。官方说明预算数据每天最多刷新三次，因此预算阈值跨过后到动作执行前仍可能继续产生费用。预算动作可附加拒绝IAM策略，但目标是IAM用户、组或角色；若多人共用角色，拒绝策略会阻止整个角色，不会只影响超额的那个人。对实时逐用户控制需求，应采用适合的另一套执行方案。

方案上线前应怎样做治理验收

先核对人员与角色映射，再验证标签和报告能否正确归属；检查预算过滤器是否覆盖目标模型及使用类型，区分配置者权限与Budgets执行角色权限。用组织批准的方式验证动作范围，避免在生产共享角色上意外拒绝全部调用。本文是新指南解读，没有创建云资源；不再使用的导出、存储和查询资源应按自身流程清理。

依据：官方原文

Amazon Bedrock成本按人归属常见问题解答

共享网关角色能直接看到每个最终用户吗？

默认只能归到网关执行角色，需要设计额外归属方式，不能假定自动识别应用内用户。

Budgets是不是实时Token限流器？

不是，账单刷新和预算动作存在延迟，不能承诺零超支。