AWS 发布托管权限工具以自动化 Amazon Bedrock 私有定价授权的激活流程

AWS 推出托管权限（managed entitlements）功能，允许企业通过单一中心账户订阅第三方 AI 模型后，自动向组织内其他工作负载账户分发访问权限，从而解决在 AWS Marketplace Private Pricing Offers (MPPO) 场景下逐个账户接受授权带来的运营摩擦。文章提供了 GitHub 仓库中的两套解决方案：轻量级脚本用于一次性信任授权激活，CDK 自动化栈用于持续的事件驱动处理。

核心机制在于利用 AWS License Manager 和 EventBridge 构建自动化流水线。CDK 路径监听 AWS Marketplace 的购买协议创建事件，验证卖家白名单后调用 CreateGrantVersion(Status=ACTIVE) 接口强制激活授权。该方案包含三个组件：Amazon EventBridge 规则负责接收事件，AWS Lambda 函数执行逻辑校验与授权创建，以及 Amazon DynamoDB 存储卖家白名单作为安全边界。相比手动检查控制台，此方法确保谈判后的价格仅在授权状态变为 ACTIVE 或 WORKFLOW_COMPLETED 后立即生效，并生成 CloudWatch Logs 审计轨迹。

实施细节显示，该方案要求使用开启了所有功能的 AWS Organizations 管理账户，且仅适用于 License Manager 支持的 Bedrock 模型，排除了 SaaS 产品。用户需配置 sellers.json 文件定义可信卖家列表，并通过 bootstrap_prereqs.py 脚本启用必要的服务链接角色。虽然自动化解决了授权激活问题，但文中指出 Billing data in AWS Cost Explorer can lag，建议在使用前进行 dry-run 测试并在生产环境中等待数小时至数天确认计费数据更新，以验证折扣路径是否按预期生效。