AWS发布Amazon Bedrock托管权益方案，集中激活私有定价授权
AWS博客介绍了两种在AWS License Manager中激活AWS Marketplace私有定价优惠（MPPO）授权的路径：一次性轻量脚本与基于CDK的事件驱动自动化，用于多账户获取第三方Bedrock模型的协商定价。
AI解读：AWS在官方博客中说明，当组织内数十或数百个AWS账户各自订阅并接受AWS Marketplace私有定价优惠时会出现操作摩擦；托管权益方案让用户从中心账户订阅一次，再向组织内分发访问权限。
协商定价不会在私有优惠被接受后自动生效：AWS Marketplace创建License Manager许可证，在启用全部功能的AWS Organizations中，组织级授权会自动接受但保持Disabled状态，直到有人手动激活，否则协商价格不适用。
作者给出两条实现路径：Path 1是独立脚本，默认只列出已收到许可证并打印试运行计划，需再次以 --apply --confirm-account-id运行才会创建并激活组织级授权；该路径没有卖家白名单，仅适用于信任管理账户内所有已收许可证的场景。
Path 2使用AWS CDK在管理账户部署自动化：EventBridge规则监听us-east-1默认事件总线上来源为aws.agreement-marketplace、类型为Purchase Agreement Created - Acceptor的事件，触发Lambda校验卖家白名单、发现许可证、创建分发授权并以CreateGrantVersion(Status=ACTIVE) 请求激活，结果记入CloudWatch Logs。
博客列出的前提条件包括：使用us-east-1的AWS Organizations管理账户、Python 3.12+、AWS CLI与AWS CDK v2，且私有优惠须针对License Manager支持的Bedrock模型；SaaS产品不在该自动化范围内。
授权目标默认为整个组织，可通过grantTargets限定到特定OU或账户；协商定价只有在分发授权达到ACTIVE或WORKFLOW_COMPLETED后才生效，激活与计费可见性可能需要数小时到数天。Heidi Health平台工程负责人Marcus Lau在客户证言中表示，该公司用私有定价在AWS账户与组织单位间精细归属用量和价格。
AWS在机器学习博客发布《Manage private pricing offers for Amazon Bedrock with managed entitlements》，介绍两种在AWS License Manager中激活AWS Marketplace私有定价优惠（MPPO）授权的方式，目标是解决多账户环境下逐个接受私有优惠的操作摩擦。
手动激活授权为何成为瓶颈
博客说明，使用AWS Marketplace私有定价优惠可以为Amazon Bedrock上的第三方模型协商自定义费率。符合条件的私有优惠被接受后，AWS Marketplace会在AWS License Manager中创建许可证。在启用全部功能的AWS Organizations中，组织级授权会自动接受，但保持Disabled状态，直到被激活。
作者Daniel Wirjo写道，团队通常通过查看AWS License Manager控制台手动激活授权。手动检查可行，但增加工作量且容易遗漏；在有人激活授权之前，协商定价不会生效。团队采用新模型或续签条款时，同样的工作会重复出现。
两种实现路径
示例仓库提供两条路径。Path 1是独立脚本，列出收到的许可证并打印试运行计划，只有在以 --apply --confirm-account-id重新运行时才会创建并激活组织级授权。博客提醒，该路径没有卖家允许列表，因此仅应在信任管理账户中所有已收到许可证时使用。
Path 2使用AWS CDK在AWS管理账户部署持续自动化，面向希望新私有定价协议自动处理的场景。
- Path 1适用一次性激活、不部署CDK的场景；默认试运行作为审查关卡，应用前需人工核对ISV Partner签发方与账户范围是否与预期私有优惠一致。
- Path 2适用持续的事件驱动自动化。
CDK自动化的组件与激活条件
该CDK栈监听符合条件的AWS Marketplace协议事件，检查卖家允许列表，创建分发授权，并在License Manager需要更多时间时重试激活。博客将其拆为三个组件。
Amazon EventBridge规则监听us-east-1默认事件总线上的AWS Marketplace协议事件，匹配来源aws.agreement-marketplace和详情类型Purchase Agreement Created - Acceptor，然后调用Lambda。Lambda接收事件，校验卖家允许列表，发现许可证，创建分发授权，并以CreateGrantVersion(Status=ACTIVE) 请求激活，结果写入Amazon CloudWatch Logs以供审计。AWS License Manager授权目标可以是整个组织、选定的组织单位（OU）或特定账户；协商定价仅在授权激活并达到ACTIVE或WORKFLOW_COMPLETED后适用。
- 博客列出的好处包括：协商费率无需等待手动控制台检查、跨账户处理逻辑一致、每次激活尝试或跳过决定都记录到CloudWatch Logs。
- 部署前提：使用us-east-1的AWS Organizations管理账户，配置Python 3.12+、AWS CLI和AWS CDK v2，并确认Organizations启用全部功能且私有优惠针对License Manager支持的Bedrock模型；SaaS产品不在该自动化范围内。
部署与验证步骤
博客给出的步骤包括：克隆示例仓库，运行bootstrap_prereqs.py --check --region us-east-1并检查APPLY或MANUAL项，该引导脚本可启用License Manager组织集成、License Manager可信访问、AWS Marketplace许可证管理可信访问及所需服务关联角色；随后运行setup_config.py配置组织ID、卖家允许列表、通知和可选授权目标，默认授权目标是整个组织，可用grantTargets限定到选定OU或AWS账户。
部署CDK栈后，需要从config/sellers.json向DynamoDB卖家允许列表播种。博客强调将卖家允许列表视为安全边界：在播种前对照已接受的AWS Marketplace私有优惠或已收到的License Manager许可证逐项核实卖家账户ID，不要加入宽泛或未经验证的卖家条目，因为匹配的卖家可以在配置的授权目标上触发授权创建和激活。
- 验证方式：运行scripts/e2e_validate.py --org-id ... --seller-account ... --simulate，并用aws logs tail /aws/lambda/mppo-grants-handler --follow --region us-east-1查看日志。
- 激活和计费可见性可能需要数小时或数天；博客建议先在License Manager确认授权状态，然后等AWS Cost Explorer出现计费数据后核对覆盖的Amazon Bedrock用量。
- 测试部署可用cdk destroy清理，以避免少量持续的Lambda和EventBridge费用。
客户证言与适用范围
博客引用Heidi Health平台工程负责人Marcus Lau的说法：该公司每周支持数百万次临床医生咨询，依赖第三方基础模型，AWS Marketplace私有定价使其能在AWS账户和组织单位间精细归属用量和价格，并在采用新模型时自动化授权管理，让平台团队扩展成本治理而不必扩展手工工作。
- 该客户证言来自Heidi Health一方，属于公司自述，博客未给出独立的量化效果数据。
- 博客指出，激活与计费数据可能存在延迟，成本比较应以费用出现后的实际账单为准。