管理された権限付与により、Amazon Bedrock モデルへのマルチアカウントアクセスを簡素化

数十、あるいは数百の AWS アカウントにわたる AI モデルへのアクセスを管理することは、ジレンマを生み出します。広範な [AWS Marketplace](https://docs.aws.amazon.com/marketplace/) 権限を付与すればガバナンス上のリスクが生じる一方、各アカウントで手動でサブスクリプションを有効化すれば運用オーバーヘッドが発生します。Anthropic Claude や Cohere のようなサードパーティ製モデルを利用する組織にとって、この運用負荷は AI の導入を遅らせる要因となります。 本稿では、[Amazon Bedrock](https://docs.aws.amazon.com/bedrock/latest/userguide/model-access.html) の管理権限（managed entitlements）を使用して、中央アカウントから一度サブスクリプションを実行し、組織全体にモデルへのアクセスを配布する方法をご紹介します。このアプローチにより、ワークロードアカウントにおける AWS Marketplace 権限の必要性がなくなります。管理権限は、チームが必要なモデルにアクセスできるようにしつつ、集中的なガバナンスを維持することで、モデル評価やガードレールといった他の Amazon Bedrock の機能と相補的な役割を果たします。 本稿では、組織にとって管理権限が適切な解決策となるタイミングについて説明し、4 つのステップからなるワークフローを追跡し、実世界のシナリオを実演するとともに、プライベートオファーやリージョンごとの動作に関する重要な考慮事項を取り上げます。 異なるモデルがどのように配布されるかを理解することは、管理権限が必要となるタイミングを知る上で鍵となります。以下の表は 3 つのカテゴリを示しています： **モデルカテゴリ** **例** **アクセス方法** Amazon モデル Amazon Nova Amazon Bedrock の権限を介して即座に利用可能 Amazon が販売するモデル Meta, Mistral, DeepSeek Amazon Bedrock の権限を介して即座に利用可能 AWS Marketplace のモデル Anthropic Claude, Cohere, Stability AI AWS Marketplace の購読が必要 Amazon モデルおよび Amazon が販売するモデルの両方について、最近導入された [簡素化されたアクセス](https://aws.amazon.com/blogs/security/simplified-amazon-bedrock-model-access/) により、追加の設定を必要とせずに即座に呼び出しを開始できるようになりました。AWS Marketplace を通じて配布されるサードパーティ製モデルは異なるアプローチを採用しています。これらのモデルを呼び出すには各アカウントで事前に購読が必要であり、つまり各アカウントに AWS Marketplace の権限が必要です。多数のアカウントを管理する組織にとっては、これが運用上のオーバーヘッドとなります。広範な AWS Marketplace 権限を付与するか、あるいは誰かが各アカウントで手動でモデルを有効化するかのどちらかです。 Amazon Bedrock 向けの「マネージドエンタイトルメント」は、このギャップを埋めます。中央のアカウントから一度だけ購読し、[AWS License Manager](https://docs.aws.amazon.com/license-manager/) を使用して組織全体にアクセス権を配布します。メンバーアカウントには AWS Marketplace の権限は不要です。 ## マネージドエンタイルメントが必要となるのはいつか マネージドエンタイルメントは、複数の AWS アカウントにわたってワークロードを実行する組織や、ワークロードアカウントに対して AWS Marketplace の権限を付与したくない場合、交渉済みのプライベートオファ価格を維持し、アカウント間で一貫した料率を実現したい場合、または組織全体におけるモデルアクセスの中央集権的な可視性を必要とする場合に設計されています。これは、Anthropic Claude、AI21 Labs、Cohere、Stability AI などのサードパーティ製 AWS Marketplace モデルのみを使用する場合に適用されます。 Amazon およびパートナーモデル（Amazon Titan、Llama、Mistral、DeepSeek など）のみを使用している場合、単一の AWS アカウント内で運用している場合、あるいは各アカウントチームがすでに各自の AWS Marketplace サブスクリプションを独立して管理している場合は、マネージドエンタイルメントは不要な場合があります。 ## 前提条件 マネージドエンタイルメントを実装する前に、以下の要件が整っていることを確認してください： - AWS Organizations で全機能を有効化すること：Managed Entitlements を利用するには、AWS Organizations のすべての機能が有効になっている必要があります。 - マネージメントアカウントへのアクセス：AWS Marketplace および AWS License Manager に対する権限を持つ、マネージメントアカウントへのアクセスが必要です。 - メンバーアカウント：モデルへのアクセスを配布したいアカウントです。 - サービスリンクドロール (SLRs)：AWS サービスに直接紐付けられた、事前に定義された AWS Identity and Access Management (IAM) ロールです。Managed Entitlements では、AWS License Manager と AWS Marketplace の両方に対して SLR を作成する必要があります。これらのロールには、サービスが代わりに他の AWS サービスを呼び出すために必要なすべての権限が含まれています。 ## 仕組みについて ライセンスは、組織がモデルを使用する権利（エンタイトルメント）とみなし、グラントはその権利を特定のアカウントに共有するためのメカニズムです。1 つのライセンスには複数のグラントを含めることができるため、単一のサブスクリプションから多数のアカウントへのアクセスを配布できます。 Managed Entitlements のワークフローは、以下の図に示すように 4 つの主要なステップで構成されています： ![image](https://d2908q01vomqb2.cloudfront.net/f1f836cb4ea6efb2a0b1b99f41ad8b103eff4b59/2026/06/18/ML-20435-1.png) **Managed Entitlements を実装するには：** - モデルの購読：管理アカウントから、AWS Marketplace を通じてサードパーティ製の Amazon Bedrock モデルに購読します。これは AWS Marketplace 上でモデルへの購読を行う際に行われます。AWS Marketplace コンソールを通じて購読するか、プライベートオファーを受諾することで購読できます。購読が完了すると、AWS License Manager が自動的にライセンスを作成します。 - ライセンス作成の確認：AWS License Manager は、購読に対して自動的にライセンスを作成します。このライセンスは、モデルを使用する権限を表し、他のアカウントへの配布の基礎となります。 - グラントの作成：AWS License Manager を使用して、グラント（権限付与）を作成し、AWS Organizations 内の特定のメンバーアカウントとライセンスを共有します。どのアカウントが各モデルにアクセスできるかを完全に制御できます。 - アクティベーションと利用：メンバーアカウントはグラントの通知を受信します。グラントをアクティブ化すると、すぐにモデルの呼び出しを開始できます。AWS Marketplace の権限や追加の購読は不要です。 メンバーアカウントは、プライベートオファーへの購読やアクティブなグラントがなくてもモデルを呼び出すことは可能ですが、その場合はパブリック価格で課金されます。 ## 実世界のシナリオ ## シナリオ 1：組織全体でのモデル有効化 **状況:** チームが 50 のワークロードアカウント全体で新しい Anthropic Claude モデルへのアクセスを必要としています。各アカウントに aws-marketplace:Subscribe 権限を付与したくありませんし、手動でアカウントごとにモデルを有効化することも避けたいと考えています。 **解決策:** AWS Marketplace 権限を持つ管理アカウントから、AWS Marketplace プライベートオファーを購読します。AWS License Manager が自動的にライセンスを作成します。50 のワークロードアカウントに対してグラント（付与）を作成し、個別のアカウント、組織全体、または組織単位 (OU) に配布します。各アカウントは個別にグラントを有効化することもできますし、組織レベルで一括して有効化することも可能です。その後、チームは各アカウント内の AWS Marketplace 権限なしでモデルを呼び出すことができます。 **結果:** 中央集約型の購読、分散されたアクセス、ワークロードアカウント内での AWS Marketplace 権限の不要化。 ## シナリオ 2：段階的なモデル展開 **状況:** 組織全体での利用開始前に、特定のチームを対象に新しいモデルのパイロット運用を行いたいと考えています。誰がどのモデルを使用しているかの可視性と、アクセスを段階的に拡大する機能が必要です。 **解決策:** 管理アカウントから購読し、パイロット対象のアカウントに対してのみグラントを作成します。パイロットが成功すれば、追加のアカウントへグラントを拡張していきます。AWS License Manager を使用することで、組織全体におけるグラントステータスの可視性が得られます。 **結果:** アクセス権限を持つアカウントとその有効化時期を明確に監査できる、統制されたロールアウト。 ## シナリオ 3: プライベートオファーの配布 **状況:** AWS Marketplace を通じてモデルプロバイダーとカスタム価格交渉が完了しました。各アカウントで個別にサブスクリプションを作成するのではなく、この交渉済み価格を利用する必要があります。 **解決策:** プロバイダーに対して管理アカウントへプライベートオファーを拡張するよう依頼してください。管理アカウントからそのプライベートオファーを受諾します。作成されるライセンスには、交渉された条件が反映されます。メンバーアカウント間での使用量が契約フローに流れることを確認するため、付与権限（grants）を通じてアクセス権を配布します。 **結果:** 組織全体で価格の一貫性が保たれ、コスト配分が簡素化されます。 ## シナリオ 4: 組織全体の迅速な展開 **状況:** AI ワークロードに対して特定のモデルに標準化が進んでいます。AWS Organizations に属するすべてのアカウントに即座にアクセス権限を付与したいと考えています。 **解決策:** 管理アカウントからサブスクリプションを行い、ターゲットとして個別のアカウントではなく AWS Organizations 全体に対して付与権限（grant）を配布することで、組織全体への展開を一括で行います。 これで完了です。メンバーアカウントは自動的に付与権限を受け取ります。すべての機能が有効化されている組織の場合、組織は付与権限を自動的に受諾しますが、アカウント管理者が明示的にアクティブ化するまで状態は *無効（Disabled）* として表示されます。これにより、モデルの使用開始前に最終的な制御ポイントを提供します。 **結果:** 組織内のすべてのアカウントは、単一の付与によってモデルへのアクセス権を取得します。組織に追加された新しいアカウントは、追加の付与作成を必要とせずに自動的にアクセス権を引き継ぎます。 ## 考慮事項 管理型エンタイトルメントを実装する前に、デプロイが円滑に進むように以下の点に注意してください。 ## コスト配分 モデルの使用料金は、サブスクリプションを保有する管理アカウントに対して請求されます。メンバーアカウントまたはチームごとの使用状況を追跡するには、AWS Cost Allocation Tags を使用してください。 ## プライベートオファー AWS Marketplace を通じて交渉されたプライベートオファーを扱う場合でも、管理型エンタイトルメントのワークフローは同じです。管理アカウントからプライベートオファーを受諾すると、ライセンスが自動的に作成されます。その後、付与を通じてメンバーアカウントへのアクセス権を配布できます。 プライベートオファーには、カスタム価格、支払い条件、追加サポート契約などが含まれていることがよくあります。これらの条件は、どのメンバーアカウントがモデルを呼び出すかに関わらず、組織全体のモデル使用に適用されます。受諾してアクセス権を配布する前に、オファーの条件を注意深く確認してください。 ## 既存のサブスクリプション メンバーアカウントでアクティブな Amazon Bedrock モデルがあり、支払いアカウントが同じモデルへのサブスクリプションを配布した場合、最初のサブスクリプションに対するエンタイトルメントは無効化され、新しい配布された付与に対してエンタイトルメントが付与されます。 ## リージョンごとの動作 サポート対象の AWS リージョンでモデルを呼び出すことは可能ですが、AWS License Manager は us-east-1 でライセンスを作成します。Grant の作成とアクティベーションも、ワークロードが他のリージョンで実行されている場合でも、AWS License Manager 用の us-east-1 エンドポイントを通じて行われます。 ## リソースのクリーンアップ モデルサブスクリプションが不要になった場合は、以下の手順を実行してください: - AWS License Manager でメンバーアカウントから Grant を削除します。 - マネージメントアカウントから AWS Marketplace のサブスクリプションをキャンセルします。 - メンバーアカウントにプライベートレートでの課金が停止されていることを確認します。 注: サブスクリプションのキャンセルだけでは、Grant は自動的に削除されません。プライベート価格の取り消しには、Grant を個別に削除する必要があります。 ## 結論 本記事では、Amazon Bedrock の Managed Entitlements（管理権限）を使用して、サードパーティ製モデルのサブスクリプションを一元化し、ワークロードアカウントに AWS Marketplace の権限を付与することなく、組織全体でアクセスを配布する方法について解説しました。 Amazon Bedrock 向けの Managed Entitlements は、大規模な組織におけるサードパーティ製モデルへのアクセス管理において大きな改善をもたらすものです。既存のサブスクリプションは中断されることなく機能し、新しいサブスクリプションについては、組織のガバナンス制御を維持したまま、すぐに一元化された配布ワークフローの使用を開始できます。 サブスクリプション管理を一元化し、各アカウントごとの AWS Marketplace 権限の必要性を回避することで、アクセスインフラの管理に時間を割くのではなく、AI アプリケーションの開発に集中することができます。 ## 次のステップ マネージドエンタイトルメントの実装をお考えですか？まずは以下から始めましょう： - お使いの組織が利用しているサードパーティ製モデルを特定する。 - 各アカウントにおける現在のサブスクリプションアプローチを見直す。 - 1 つのモデルを対象にマネージドエンタイトルメントを実験導入する。 - その結果に基づき、追加のモデルやアカウントへ展開する。 また、マネージドエンタイトルメントを AWS Service Catalog と組み合わせることで、チーム向けのセルフサービスモデルアクセスワークフローを構築することも可能です。 ご質問がある場合や、AWS アカウント間でのモデルアクセス管理について共有したい場合は、コメントを残してください。 ## リソース - Amazon Bedrock におけるマネージドエンタイトルメント。 - Amazon Bedrock モデルへのアクセス。 - 簡素化された Amazon Bedrock モデルアクセス（AWS Security Blog）。 ## 著者について ![image](https://d2908q01vomqb2.cloudfront.net/f1f836cb4ea6efb2a0b1b99f41ad8b103eff4b59/2026/06/18/ML-20435-2.png) ## Archana Chenchu Archana Chenchu は、テキサス州オースティンに拠点を置く AWS License Manager のシニアテクニカルプロダクトマネージャーです。AWS およびオンプレミス環境全体でソフトウェアライセンスを管理しやすくするための製品や機能を開発するため、顧客と協力しています。 ![image](https://d2908q01vomqb2.cloudfront.net/f1f836cb4ea6efb2a0b1b99f41ad8b103eff4b59/2026/06/18/ML-20435-3.png) ## Vadim Omeltchenko Vadim は、AWS の顧客がクラウド上でイノベーションを起こすのを支援することに情熱を注ぐシニア AI/ML ソリューションアーキテクトです。彼の以前の IT 経験は、主に現場での実務に集中していました。

管理された権限付与により、Amazon Bedrock モデルへのマルチアカウントアクセスを簡素化

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト