Manage private pricing offers for Amazon Bedrock with managed entitlements

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

Amazon Bedrock의 managed entitlements는 중앙 계정에서 구독한 서드파티 AI 모델의 접근 권한을 조직에 배포하며, 일회성 스크립트 또는 CDK 기반 자동화로 권한을 활성화해 협상 가격 적용을 지원한다.

📌 핵심 요약

• AWS Marketplace Private Pricing Offers(MPPOs)를 통해 Amazon Bedrock 서드파티 모델의 가격을 협상할 수 있다. 적격 비공개 제안을 수락하면 AWS License Manager에 라이선스가 생성되며, 모든 기능이 활성화된 AWS Organizations에서는 조직 수준 grant가 자동 수락되지만 Disabled 상태로 남아 별도 활성화가 필요하다.
• 경량 스크립트는 관리 계정의 모든 수신 라이선스를 나열하고 기본적으로 dry run 계획을 출력한다. 판매자 허용 목록이 없으므로 모든 수신 라이선스를 신뢰할 때만 사용하며, 발급자와 계정 범위를 검토한 뒤 동일한 관리 계정에서 --apply --confirm-account-id로 실행하면 조직 전체 grant를 생성하고 활성화한다.
• CDK 자동화는 us-east-1의 AWS Marketplace 계약 이벤트를 Amazon EventBridge로 받아 AWS Lambda에서 판매자 허용 목록을 확인하고, 라이선스 검색과 분산 grant 생성·활성화를 처리한다. 적용 대상은 조직 전체, 선택한 조직 단위(OU), 특정 계정으로 설정할 수 있으며, 처리 지연 시 활성화를 재시도하고 결과를 Amazon CloudWatch Logs에 기록한다.
• CDK 경로에는 모든 기능이 활성화된 AWS Organizations의 관리 계정, Python 3.12+, AWS CLI, AWS CDK v2가 필요하다. License Manager 기반 Bedrock 모델만 대상이며 SaaS 제품은 제외된다. Amazon DynamoDB의 판매자 허용 목록은 보안 경계이므로 수락한 비공개 제안이나 수신 라이선스와 판매자 계정 ID를 대조해야 한다.
• 협상 가격은 grant가 ACTIVE 또는 WORKFLOW_COMPLETED에 도달한 뒤 적용된다. 활성화와 청구 내역 확인에는 수 시간 또는 수일이 걸릴 수 있으므로 AWS License Manager에서 상태를 확인하고, 청구 데이터가 나타난 뒤 AWS Cost Explorer에서 해당 Amazon Bedrock 사용량의 실제 요금을 검증한다.

🧩 주요 포인트

1. 중앙 구독과 grant 활성화는 별개 단계이므로, 관리 계정의 구독 완료만으로 여러 계정에 협상 가격이 적용된다고 볼 수 없다.
2. 일회성 스크립트와 CDK 자동화는 운영 빈도와 신뢰 검증 방식에 따라 선택한다. 전자는 모든 수신 라이선스에 대한 사전 신뢰와 dry run 검토가 필요하고, 후자는 판매자 허용 목록과 대상 범위 설정으로 지속적인 처리를 통제한다.
3. ACTIVE 또는 WORKFLOW_COMPLETED 상태와 AWS Cost Explorer의 실제 요금은 서로 다른 검증 지점이다. 활성화·청구 지연을 고려해 권한 처리 성공과 협상 가격 적용 여부를 순차적으로 확인해야 한다.

🧠 상세 정리

1. 다중 계정의 구독 부담과 grant 활성화 문제

수십 또는 수백 개의 AWS 계정에서 AI 모델을 이용할 때 각 워크로드 계정이 개별적으로 구독하고 AWS Marketplace Private Pricing Offers(MPPOs)를 수락하면 운영 부담이 커진다. Amazon Bedrock의 managed entitlements는 중앙 계정에서 한 번 구독한 뒤 조직에 접근 권한을 배포할 수 있도록 이 과정을 단순화한다. 적격 비공개 제안을 수락하면 AWS Marketplace가 AWS License Manager에 라이선스를 생성하며, 모든 기능이 활성화된 AWS Organizations에서는 조직 수준 grant가 자동 수락된다. 그러나 자동 수락된 grant도 Disabled 상태로 남기 때문에 협상 가격을 적용하려면 별도의 활성화가 필요하다. 콘솔에서 수동으로 확인하고 활성화할 수 있지만 누락되기 쉽고, 새로운 모델 도입이나 계약 갱신 때 같은 작업이 반복되므로 글은 이를 처리하는 두 가지 경로를 제시한다.

2. 경량 스크립트로 신뢰하는 라이선스를 일회성 활성화

첫 번째 경로는 CDK 인프라를 배포하지 않고 이미 신뢰하는 수신 라이선스를 한 번 활성화하려는 경우에 적합하다. sample-bedrock-managed-entitlements 저장소를 복제한 뒤 python3 lightweight/distribute_licenses.py를 실행하면 관리 계정의 모든 수신 라이선스를 나열하고 변경 전 dry run 계획을 출력한다. 사용자는 표시된 각 라이선스의 ISV Partner 발급자와 계정 범위가 예상한 비공개 제안과 일치하는지 검토해야 하며, 이 검토가 실제 적용 전 확인 단계가 된다. 검토한 계획은 같은 AWS Organizations 관리 계정에서 --apply --confirm-account-id ACCOUNT_ID 옵션으로 다시 실행할 때 조직 전체 grant 생성과 활성화로 이어진다. 이 스크립트에는 판매자 허용 목록이 없으므로 관리 계정의 모든 수신 라이선스를 신뢰하는 경우에만 사용하고, 활성화 후에는 청구 데이터가 나타나는 시점에 할인 적용 경로도 검증해야 한다.

3. 계약 이벤트에서 시작되는 CDK 자동화 흐름

두 번째 경로는 새로운 비공개 가격 계약을 지속적으로 처리하기 위해 AWS 관리 계정에 CDK 기반 자동화를 배포하는 방식이다. Amazon EventBridge 규칙은 us-east-1의 기본 이벤트 버스에서 source가 aws.agreement-marketplace이고 detail type이 Purchase Agreement Created - Acceptor인 이벤트를 받아 AWS Lambda 함수를 호출한다. Lambda는 판매자 허용 목록을 확인하고 수신 라이선스를 찾은 뒤 분산 grant를 생성하며, CreateGrantVersion(Status=ACTIVE)로 활성화를 요청한다. grant의 대상은 조직 전체, 선택한 조직 단위(OU), 특정 AWS 계정으로 지정할 수 있고, License Manager가 처리 시간을 더 필요로 하면 활성화를 재시도한다. 처리 결과는 Amazon CloudWatch Logs에 기록되며, 협상 가격은 활성화를 요청한 시점이 아니라 grant가 ACTIVE 또는 WORKFLOW_COMPLETED 상태에 도달한 뒤 적용된다.

4. 자동화의 효과와 배포 전제조건

이벤트 기반 경로는 수동 콘솔 확인을 기다리는 시간을 줄여 grant가 필요한 상태에 도달한 뒤 협상 가격이 적용되도록 돕는다. 서드파티 모델 grant를 받는 각 조직에 같은 Lambda와 EventBridge 규칙 패턴을 배포할 수 있어 운영자에 따라 활성화 로직이 달라지는 문제도 줄일 수 있다. 또한 활성화 시도와 건너뛰기 판단을 CloudWatch Logs에 남기므로 grant가 활성화되거나 보류되거나 무시된 시점을 확인할 수 있다. 배포에는 us-east-1에서 사용하는 AWS Organizations 관리 계정과 Python 3.12 이상, AWS CLI, AWS CDK v2 설정이 필요하다. AWS Organizations의 모든 기능이 활성화되어 있어야 하며 비공개 제안이 License Manager 기반 Bedrock 모델을 대상으로 해야 하므로, SaaS 제품은 이 자동화의 적용 범위에 포함되지 않는다.

5. 조직 전제조건 확인과 배포 설정

CDK 경로도 샘플 저장소를 복제하는 것으로 시작하며, scripts/bootstrap_prereqs.py를 --check --region us-east-1로 실행해 조직 전제조건을 먼저 확인한다. 검사 결과에서 APPLY 또는 MANUAL로 표시된 항목은 변경 전에 검토하고, 실제 적용에는 --apply와 --confirm-account-id ACCOUNT_ID 옵션을 사용한다. 이 스크립트는 License Manager 조직 통합, License Manager 신뢰할 수 있는 액세스, AWS Marketplace 라이선스 관리용 신뢰할 수 있는 액세스, 필요한 서비스 연결 역할을 활성화할 수 있다. 다음으로 scripts/setup_config.py를 실행하고 config/sellers.json에서 Organization ID, 판매자 허용 목록, 알림, 선택적인 grant 대상을 검토한다. 기본 대상은 조직 전체이므로 일부 OU나 AWS 계정으로 배포 범위를 제한하려면 grantTargets를 설정해야 하며, 이 설정은 이후 자동화가 권한을 생성하고 활성화할 범위를 결정한다.

6. 스택 배포와 판매자 허용 목록의 보안 역할

설정을 마치면 cdk 디렉터리에서 의존성을 설치하고 cdk bootstrap aws://ACCOUNT_ID/us-east-1과 cdk deploy를 실행해 스택을 배포한다. 이어 scripts/seed_sellers.py에 config/sellers.json을 전달해 Amazon DynamoDB의 판매자 허용 목록을 채우면 적격 AWS Marketplace 계약 이벤트를 처리할 준비가 된다. 원문은 이 허용 목록을 보안 경계로 다루며, 각 판매자 계정 ID를 수락한 AWS Marketplace 비공개 제안이나 수신한 License Manager 라이선스와 대조하도록 강조한다. 허용 목록에 일치하는 판매자는 설정된 대상 전체에 grant 생성과 활성화를 유발할 수 있으므로, 범위가 지나치게 넓거나 검증되지 않은 항목을 추가해서는 안 된다. 배포와 목록 입력이 끝나도 모든 이벤트가 무조건 처리되는 것은 아니며, 검증된 판매자에 대해서만 grant를 생성·활성화하고 License Manager의 워크플로 처리가 끝날 때까지 활성화가 보류될 수 있다.

7. 이벤트 처리 검증과 실제 청구 확인

배포 후에는 scripts/e2e_validate.py에 조직 ID와 판매자 계정을 전달하고 --simulate 옵션으로 자동화를 검증할 수 있다. 적격 AWS Marketplace 계약 이벤트 이후에는 us-east-1의 /aws/lambda/mppo-grants-handler 로그를 확인하고, scripts/bedrock_discount_check.py를 이용해 할인 경로를 점검한다. 활성화와 청구 내역 확인에는 수 시간 또는 수일이 걸릴 수 있으므로, 이벤트 기반 워크플로가 grant를 수락하고 활성화한 뒤 AWS License Manager에서 실제 상태를 확인해야 한다. 이후 청구 데이터가 나타나면 AWS Cost Explorer에서 대상 Amazon Bedrock 사용량의 실제 요금을 비교해 협상 가격 적용 여부를 검증한다. 반복 가능한 확인에는 샘플 할인 검사 유틸리티를 해당 ISV Partner 발급자와 대상 연결 계정에 맞게 조정해야 하며, 경량 스크립트 경로에서도 활성화만으로 운영 적용을 확정하지 말고 같은 청구 검증을 수행하도록 안내한다.

8. 테스트 정리와 Heidi Health의 운영 사례

테스트를 위해 CDK 스택을 배포했다면 cdk destroy로 제거해 소규모로 계속 발생하는 Lambda와 Amazon EventBridge 비용을 피할 수 있다. 고객 사례로 등장하는 Heidi Health의 플랫폼 엔지니어링 책임자 Marcus Lau는 회사가 매주 수백만 건의 임상의 상담을 지원하는 AI Care Partner로서 서드파티 기반 모델을 대규모로 사용한다고 설명한다. 그는 AWS Marketplace의 비공개 가격을 통해 AWS 계정과 조직 단위별 사용량 및 가격을 세밀하게 귀속하고, 새로운 모델을 도입할 때 grant 관리를 자동화할 수 있다고 평가한다. 이는 수작업을 같은 비율로 늘리지 않으면서 비용 거버넌스를 확장한다는 고객의 설명이며, 본문에 별도의 정량적 절감률은 제시되지 않는다. 글은 신뢰하는 수신 라이선스의 일회성 활성화에는 경량 스크립트를, 새 계약의 지속적인 처리에는 CDK 자동화를 선택할 수 있으며, 두 방식 모두 분산 grant 활성화에 필요한 수작업을 줄인다고 결론짓는다.

🧾 핵심 주장 / 시사점

• managed entitlements의 운영상 핵심은 중앙 구독 이후의 활성화 공백을 해소하는 데 있다. grant가 자동 수락되어도 Disabled 상태라면 협상 가격 적용이 완료된 것은 아니다.
• 두 경로의 선택에는 실행 빈도뿐 아니라 신뢰 범위도 중요하다. 경량 스크립트는 모든 수신 라이선스에 대한 검토를 전제로 하고, CDK 자동화는 검증된 판매자와 설정된 grant 대상을 기준으로 반복 처리를 통제한다.
• 자동화 성공 여부는 이벤트 처리 기록만으로 판단하기 어렵다. License Manager의 grant 상태와 지연 후 나타나는 실제 청구를 함께 확인해야 가격 적용까지 검증할 수 있다.

✅ 액션 아이템

• 일회성 처리 여부와 모든 수신 라이선스의 신뢰 가능성을 기준으로 경량 스크립트 또는 CDK 자동화 선택.
• 경량 스크립트는 dry run에서 발급자·계정 범위를 검토하고, CDK 자동화는 판매자 계정 ID를 비공개 제안이나 수신 라이선스와 대조한 뒤 허용 목록과 grant 대상 범위 확정.
• AWS License Manager에서 ACTIVE 또는 WORKFLOW_COMPLETED 상태를 확인한 뒤, 청구 데이터가 나타나면 AWS Cost Explorer에서 Amazon Bedrock의 실제 요금 검증.

❓ 열린 질문

• 현재 필요한 처리는 신뢰하는 모든 수신 라이선스의 일회성 활성화인가, 새로운 계약을 지속적으로 처리하는 CDK 자동화인가?
• CDK 자동화의 grant 대상은 조직 전체, 선택한 조직 단위(OU), 특정 계정 중 어디로 설정해야 하는가?
• grant가 ACTIVE 또는 WORKFLOW_COMPLETED에 도달한 뒤 AWS Cost Explorer의 실제 Amazon Bedrock 요금에서 협상 가격 적용이 확인되는가?