🕰️ 작성일 : 2025.06.04

Q1 : 내/외부 규제로 인하여 현재 서울 리전의 Bedrock API만을 호출 할 수 밖에 없습니다. AWS에 Account 당 Bedrock API Limit이 있기 때문에, 여러 Account에 대해 안전하게 API를 호출 하는 방법이 있을까요?

Q2 : Bedrock CRIS을 통해서 최신 LLM 모델을 Invoke하고 있지만 Throttling이 발생합니다. 이 경우 여러 Account에 대해 안전하게 API를 호출 하는 방법이 있을까요?

A : :

**** 아래의 테스트는 오직 Private Subnet으로만 구성된 VPC 환경에서 테스트했습니다.***

image.png

  1. Producer Account에서 Bedrock API 호출이 가능한 Role을 생성합니다. 그리고 Role의 신뢰 관계는 Consumer Account에 위치한 EC2가 Assume 가능하도록 신뢰 관계를 구성합니다. Consumer Account의 EC2는 Producer Account에 위치한 IAM Role을 Assume 할 수 있는 정책을 생성하여 부여합니다.
# Producer Account Role 신뢰 관계
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::961740251837:role/ec2_bedrock_client"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

# Producer Account IAM Policy 
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "statement1",
            "Effect": "Allow",
            "Action": "bedrock:InvokeModel",
            "Resource": "*"
        }
    ]
}

# Consumer Account EC2 Role의 Policy
{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": [
            "arn:aws:iam::132293766329:role/bedrock_producer",
            "arn:aws:iam::407389197493:role/bedrock_producer",
            "arn:aws:iam::456422343869:role/bedrock_producer"
        ]
    }
}
  1. Consumer Account에 위치한 EC2에서 Producer에 위치한 IAM Role을 Assume 받고, 임시 Access Key와 Secret Key를 발급받습니다. Boto3 STS Client 설정 시 Region을 명시해줘야 VPC Endpoint 기반으로 동작합니다. Region을 명시하지 않을 경우 STS에 대한 요청을 Global URL(<https://sts.amazonaws.com>)로 요청하게 됩니다. 이는 VPC Endpoint로의 요청이 아닌 Public IP 기반으로 요청하게 합니다.
sts_client = boto3.client('sts',region_name='ap-northeast-2')
  1. 여러 Account의 IAM Role을 Rotate 시켜 Bedrock Client을 생성합니다. 이를 통해 여러 AWS Accout을 대상으로 API를 호출하게 합니다.
  2. VPC Endpoint을 통해 Private Network로 다른 Account의 Bedrock을 호출합니다.

CloudTrail Log에서 로그 기록 확인하기

image.png

image.png

image.png