ניהול הגישה ב-Amazon Bedrock מעביר את צוואר הבקבוק לחשבון המרכזי
יכולת Managed Entitlements של Amazon Bedrock מוצגת כשיפור בהרשאות, אבל הערך האמיתי שלה נמצא במקום פחות טכני: היא הופכת רכישת מודלים לתשתית ארגונית מרכזית. זה גם הסיכון שלה. אם הארגון מפיץ זכאות ל-100 חשבונות בלי לחבר אליה עלות, בעלים עסקי, מדיניות ביטול ובקרת שימוש, הוא אינו פותר את התפזרות המודלים אלא מעביר אותה לחשבון הניהול. ממשל AI אינו נוצר מעצם קיומו של רישיון מרכזי.
הרשאות מודלים ב-Amazon Bedrock פועלות בשתי שכבות שונות
חשבון הניהול נרשם למודל דרך AWS Marketplace ומקבל גם הצעה פרטית, אם סוכם מחיר ארגוני. שירות AWS License Manager יוצר רישיון שמייצג את הזכאות המסחרית, ומנהל המערכת מעניק אותו לחשבונות נבחרים, ליחידה ארגונית או לארגון כולו. החשבון המקבל מפעיל את ההענקה ואז יכול לקרוא למודל דרך Bedrock, בלי הרשאות Marketplace עצמאיות. החיוב מצטבר בחשבון שמחזיק במנוי, בעוד שהעומס יכול לרוץ באזור אחר. ניהול הרישיון עצמו מתבצע באזור us-east-1, פרט תפעולי שקל לפספס בתכנון אזורי.
זהו מנגנון זכאות, ולא מנגנון הרשאה מלא. הרישיון קובע שהחשבון רשאי לצרוך את המודל תחת תנאי ההתקשרות, אבל מדיניות IAM עדיין קובעת מי יכול להפעיל אותו ובאילו פעולות. בקרות ארגוניות צריכות גם להגביל אזורים, סוגי מודלים וחשבונות יעד. לכן הפצה מרכזית שאינה מלווה במדיניות IAM ובגבולות SCP עלולה להרחיב שימוש מהר יותר מכפי שהארגון מסוגל לבקר.
הריכוז מקטין סיכון רכש ומגדיל סיכון חיוב
חברת ביטוח עם 100 חשבונות AWS רוצה להפעיל את Claude בתהליך טיפול בתביעות. צוות המוצר זקוק לחשבונות ניסוי, פיתוח, בדיקות וייצור, בעוד שצוות אבטחת המידע מסרב לפתוח הרשאות Marketplace בכל אחד מהם. במבנה הישן, כל חשבון דורש טיפול נפרד או הרשאה רחבה מדי. לאחר מנוי מרכזי, החברה יכולה להקצות זכאות רק ליחידה שמפעילה את התהליך ולשמור מחיר אחיד. הצוות עדיין חייב למדוד צריכה לפי חשבון ותהליך, אחרת עלייה בנפח המסמכים או בלולאות הסוכן תופיע כחשבון מרכזי אחד בלי כתובת עסקית ברורה.
אפשר לטעון שהיכולת רק חוסכת פעולות אדמיניסטרטיביות ואינה מצדיקה שינוי בתכנון הממשל. הטענה הוגנת בארגון קטן שמפעיל מודל אחד מחשבון יחיד. אך בארגון רב-חשבונות, המנוי קובע מחיר, אחריות חוזית ויכולת ביטול עבור שימוש רחב. נקודת השליטה הזו משפיעה ישירות על קצב ההתרחבות ועל היכולת להבחין בין ניסוי זול לתהליך ייצור שמייצר התחייבות כספית מתמשכת.
הטמעת AWS License Manager צריכה להתחיל בפיילוט זכאות מוגבל
הקמה אחראית של Managed Entitlements דורשת ארבע החלטות ייעודיות. ראשית, קבלו את ההצעה הפרטית רק בחשבון הניהול והגדירו בעלים עסקי לכל מודל. שנית, הפיצו את הרישיון ליחידת פיילוט למשך 30 ימים לפני הרחבה ארגונית. שלישית, חברו את דוח העלויות לחשבון הצורך, למוצר ולבעל התקציב, במקום להסתפק בחשבונית של החשבון המרכזי. רביעית, הגדירו תהליך ביטול זכאות ובעל תפקיד שמנהל את AWS License Manager באזור us-east-1. צוות מקצועי צריך לבדוק במקביל את איכות המודל ואת התאמתו לתהליך, משום שהרישיון מאשר צריכה אך אינו מעיד על ביצועים. בלי המבנה הזה, נוחות הרכש תאפשר להתפשטות העלויות להקדים את הלמידה הארגונית.
