Gerencie ofertas de preços privados no Amazon Bedrock com entitlements gerenciados

O problema: gerenciar acesso a modelos de IA em dezenas de contas AWS

Quem trabalha com organizações AWS de médio e grande porte conhece bem o atrito operacional de gerenciar assinaturas de modelos de IA de terceiros. Quando cada conta de workload precisa individualmente assinar e aceitar as Ofertas de Preços Privados do AWS Marketplace (MPPO — AWS Marketplace Private Pricing Offers), o processo vira um gargalo manual que escala mal conforme a organização cresce.

Para resolver isso, a AWS publicou um guia técnico detalhando como o Amazon Bedrock com entitlements gerenciados simplifica o acesso multi-conta a modelos de IA de terceiros. A ideia central é simples: assine uma vez a partir de uma conta central e distribua o acesso para toda a organização — sem precisar repetir o processo em cada conta.

Por que automatizar a ativação de grants?

Com as Ofertas de Preços Privados do AWS Marketplace, é possível negociar tarifas customizadas para modelos de terceiros no Amazon Bedrock. Após uma oferta privada elegível ser aceita, o AWS Marketplace cria automaticamente uma licença no AWS License Manager.

Em organizações que utilizam o AWS Organizations com todos os recursos habilitados, os grants no nível da organização são aceitos automaticamente — mas permanecem com status Desabilitado até que alguém os ative. O fluxo manual típico envolve acessar o console do AWS License Manager e ativar os grants um a um. Funciona, mas gera esforço desnecessário e é fácil de esquecer. Enquanto o grant não é ativado, o preço negociado simplesmente não é aplicado. O mesmo problema reaparece sempre que a equipe adota novos modelos ou renova contratos.

Visão geral da solução

O repositório de exemplo disponibilizado pela AWS oferece dois caminhos distintos:

• Caminho 1 — Script leve (ativação pontual): um script standalone que lista as licenças recebidas e exibe um plano em modo de simulação (dry-run). Cria e ativa grants em nível organizacional apenas quando executado com as flags --apply --confirm-account-id. Por não ter uma lista de permissão de vendedores, deve ser usado somente quando você confia em todas as licenças recebidas na conta de gerenciamento.
• Caminho 2 — Automação CDK (ativação contínua orientada a eventos): utiliza o Kit de Desenvolvimento em Nuvem da AWS (CDK — AWS Cloud Development Kit) para implantar automação contínua na conta de gerenciamento do AWS Organizations. Verifica vendedores, cria grants distribuídos e tenta a ativação com lógica de retentativa.

Caminho 1: Script leve para ativação pontual

Este caminho é indicado quando você precisa de uma ativação única sem precisar implantar infraestrutura adicional. O script lista todas as licenças recebidas na conta de gerenciamento — por isso, o modo de simulação funciona como uma etapa de revisão antes de qualquer alteração ser aplicada.

Os passos são os seguintes:

Clone o repositório de exemplo e acesse o diretório do projeto:

git clone https://github.com/aws-samples/sample-bedrock-managed-entitlements.git
cd sample-bedrock-managed-entitlements

Execute o script em modo de simulação:

python3 lightweight/distribute_licenses.py

Revise cada licença listada e confirme que o emissor do Parceiro ISV (Independent Software Vendor) e o escopo da conta correspondem à oferta privada esperada. Em seguida, aplique o plano revisado a partir da conta de gerenciamento do AWS Organizations:

python3 lightweight/distribute_licenses.py --apply --confirm-account-id ACCOUNT_ID

Após o grant estar ativo, valide o caminho de cobrança antes de usar a oferta privada em produção. Os dados de faturamento no AWS Cost Explorer podem ter atraso, então use-o para comparar a cobrança efetiva para o uso coberto do Amazon Bedrock depois que os lançamentos aparecerem. Para uma verificação repetível, adapte o utilitário scripts/bedrock_discount_check.py para corresponder ao seu emissor Parceiro ISV e confirmar o caminho de desconto esperado.

Caminho 2: Automação CDK para ativação contínua

Este caminho é recomendado quando você quer que novos acordos de preços privados sejam processados automaticamente, sem intervenção manual. A stack CDK escuta eventos elegíveis do AWS Marketplace, verifica a lista de permissão de vendedores, cria grants distribuídos e tenta a ativação com retentativas quando o License Manager precisa de mais tempo para processar.

Componentes da solução

• Regra do Amazon EventBridge: a stack escuta eventos de acordos do AWS Marketplace no barramento de eventos padrão na região us-east-1. A regra filtra pela origem aws.agreement-marketplace e pelo tipo de detalhe Purchase Agreement Created – Acceptor, acionando então a função AWS Lambda.
• Função AWS Lambda: recebe o evento de acordo do AWS Marketplace, verifica a lista de permissão de vendedores, descobre a licença, cria o grant distribuído e solicita a ativação via CreateGrantVersion(Status=ACTIVE). O resultado é registrado no Amazon CloudWatch Logs para fins de auditoria.
• Entitlements do AWS License Manager: o grant pode ser direcionado para toda a organização, para Unidades Organizacionais (OUs) específicas ou para contas individuais. O preço negociado só passa a valer depois que o grant é ativado e atinge o status ACTIVE ou WORKFLOW_COMPLETED.

Principais benefícios desta abordagem

• Menor tempo até o preço negociado entrar em vigor: a tarifa negociada é aplicada assim que o grant distribuído atinge o status ACTIVE ou WORKFLOW_COMPLETED, sem depender de uma verificação manual no console.
• Tratamento consistente entre contas: a mesma função Lambda e o mesmo padrão de regra do EventBridge podem ser implantados para cada organização que recebe grants de modelos de terceiros, eliminando variações operacionais.
• Trilha de auditoria integrada: cada tentativa de ativação ou decisão de ignorar um grant é registrada no CloudWatch Logs, fornecendo um histórico de quando cada grant foi ativado, adiado ou descartado.

Pré-requisitos

Antes de implantar este caminho, confirme os seguintes pré-requisitos:

• Utilize a conta de gerenciamento do AWS Organizations na região us-east-1 com Python 3.12+, Interface de Linha de Comando da AWS (AWS CLI — AWS Command Line Interface) e AWS CDK v2 configurados.
• Confirme que o AWS Organizations usa todos os recursos habilitados e que a oferta privada é para um modelo Bedrock com suporte ao License Manager. Produtos SaaS (Software as a Service) estão fora do escopo desta automação.

Passos de implementação

Clone o repositório de exemplo e acesse o diretório do projeto:

git clone https://github.com/aws-samples/sample-bedrock-managed-entitlements.git
cd sample-bedrock-managed-entitlements

Verifique ou habilite os pré-requisitos da organização:

python3 scripts/bootstrap_prereqs.py --check --region us-east-1

Revise os itens marcados como APPLY ou MANUAL antes de fazer alterações. O script de bootstrap pode habilitar a integração organizacional do License Manager, o acesso confiável do License Manager, o acesso confiável de gerenciamento de licenças do AWS Marketplace e as funções vinculadas ao serviço necessárias:

python3 scripts/bootstrap_prereqs.py --apply --region us-east-1 --confirm-account-id ACCOUNT_ID

Configure as entradas de implantação:

python3 scripts/setup_config.py

Revise o arquivo config/sellers.json. Configure o ID da Organização, a lista de permissão de vendedores, notificações e destinos opcionais de grants. Por padrão, os grants têm como alvo toda a organização. Use grantTargets para restringir os grants a OUs ou contas AWS específicas.

Implante a stack CDK:

cd cdk
pip install -r requirements.txt
cdk bootstrap aws://ACCOUNT_ID/us-east-1
cdk deploy

Alimente a lista de permissão de vendedores do Amazon DynamoDB a partir do arquivo config/sellers.json:

cd ..
python scripts/seed_sellers.py --config config/sellers.json

Trate a lista de permissão de vendedores como um limite de segurança. Verifique cada ID de conta de vendedor contra sua oferta privada aceita no AWS Marketplace ou contra a licença recebida no License Manager antes de alimentar a tabela. Não adicione entradas de vendedores amplas ou não verificadas, pois vendedores correspondentes podem acionar a criação e ativação de grants em todos os seus destinos de grant configurados.

Após a implantação e a alimentação dos vendedores, a stack está pronta para processar eventos elegíveis de acordos do AWS Marketplace. A criação e ativação de grants acontecem apenas para vendedores verificados na lista de permissão, e a ativação pode ser adiada até que o License Manager conclua o processamento do fluxo de trabalho do grant.

Para validar a automação implantada:

python scripts/e2e_validate.py --org-id o-xxxxxxxxxx --seller-account SELLER_ACCOUNT_ID --simulate

Para verificar a ativação do grant após um evento elegível do AWS Marketplace:

aws logs tail /aws/lambda/mppo-grants-handler --follow --region us-east-1
python scripts/bedrock_discount_check.py --issuer "ISV Partner"

A ativação e a visibilidade de faturamento podem levar horas ou dias. Após o fluxo de trabalho orientado a eventos aceitar e ativar os grants, confirme o estado do grant no AWS License Manager e valide o uso coberto do Amazon Bedrock no AWS Cost Explorer depois que os dados de faturamento aparecerem. Para uma verificação repetível, adapte o utilitário scripts/bedrock_discount_check.py para corresponder ao seu emissor Parceiro ISV e à conta vinculada de destino.

Limpeza do ambiente de testes

Se você implantou a stack para fins de teste, remova-a para evitar cobranças contínuas de Lambda e EventBridge:

cdk destroy

Caso de uso real: Heidi Health

A Heidi Health, plataforma de suporte clínico que processa milhões de consultas médicas por semana, é um exemplo concreto de uso desta solução. Segundo Marcus Lau, Head de Engenharia de Plataforma da empresa, os preços privados no AWS Marketplace oferecem uma forma eficiente e econômica de gerenciar o crescimento da plataforma: é possível atribuir granularmente o uso e os preços entre contas e unidades organizacionais AWS, e automatizar o gerenciamento de grants à medida que novos modelos são adotados. Isso permite que a equipe de plataforma escale a governança de custos sem escalar o trabalho manual.

Conclusão

A AWS apresentou duas abordagens complementares para ativar entitlements gerenciados em ofertas de preços privados do Amazon Bedrock. O script leve é indicado para ativação pontual de licenças recebidas confiáveis. A automação CDK é a escolha certa quando se precisa de processamento contínuo e orientado a eventos para novos acordos do AWS Marketplace. Ambas as abordagens reduzem o esforço manual e garantem que os preços negociados entrem em vigor assim que os grants distribuídos forem ativados.

Para começar, experimente o código de exemplo na sua conta de gerenciamento AWS para automatizar as assinaturas de modelos.

Recursos adicionais

• Código de exemplo: Amazon Bedrock com entitlements gerenciados (GitHub)
• Guia do usuário do AWS License Manager
• Referência da API do AWS License Manager: CreateGrantVersion
• Guia do usuário do Amazon EventBridge
• Guia do desenvolvedor do AWS CDK

Fonte

Manage private pricing offers for Amazon Bedrock with managed entitlements (https://aws.amazon.com/blogs/machine-learning/manage-private-pricing-offers-for-amazon-bedrock-with-managed-entitlements/)