Việc quản lý quyền truy cập các mô hình AI của bên thứ ba như Anthropic Claude hay Cohere trên hàng trăm tài khoản AWS là một thách thức lớn, thường làm chậm quá trình ứng dụng AI trong doanh nghiệp. Các tổ chức phải lựa chọn giữa việc cấp quyền AWS Marketplace rộng rãi, gây rủi ro về quản trị, hoặc thực hiện đăng ký thủ công cho từng tài khoản, tốn kém thời gian và công sức.
Để giải quyết vấn đề này, AWS đã giới thiệu tính năng Managed Entitlements cho Amazon Bedrock. Giải pháp này cho phép doanh nghiệp đăng ký model một lần từ một tài khoản trung tâm và phân phối quyền truy cập trên toàn tổ chức. Cách tiếp cận này giúp loại bỏ sự phức tạp, tăng cường quản trị tập trung và đẩy nhanh tốc độ đổi mới AI.
Khi nào doanh nghiệp cần Managed Entitlements?
Managed Entitlements được thiết kế cho các tổ chức sử dụng mô hình AI của bên thứ ba (như Anthropic Claude, AI21 Labs, Cohere, Stability AI) và có các đặc điểm sau:
- Vận hành workload trên nhiều tài khoản AWS.
- Muốn tránh cấp quyền AWS Marketplace cho các tài khoản workload để đảm bảo an toàn.
- Đã đàm phán các gói giá riêng (private offer) và muốn áp dụng mức giá nhất quán trên tất cả các tài khoản.
- Cần một cơ chế quản lý và theo dõi tập trung việc truy cập model trong toàn tổ chức.
Ngược lại, doanh nghiệp có thể không cần tính năng này nếu chỉ sử dụng các model của Amazon (như Amazon Titan) và các đối tác như Llama, Mistral, hoặc chỉ hoạt động trên một tài khoản AWS duy nhất.
Cơ chế hoạt động
Để triển khai Managed Entitlements, doanh nghiệp cần có sẵn một số điều kiện tiên quyết như: AWS Organizations đã kích hoạt tất cả tính năng, quyền truy cập vào tài khoản quản lý (management account) và các vai trò liên kết dịch vụ (Service-Linked Roles) cho AWS License Manager và AWS Marketplace.
Quy trình hoạt động có thể hình dung như sau: license là quyền của tổ chức để sử dụng một model, và grant là cơ chế để chia sẻ quyền đó với các tài khoản cụ thể. Một license có thể có nhiều grant, cho phép phân phối quyền truy cập đến nhiều tài khoản từ một lần đăng ký duy nhất.
Luồng công việc của Managed Entitlements bao gồm bốn bước chính, được minh họa trong sơ đồ sau:
- Đăng ký model: Từ tài khoản quản lý, bạn đăng ký một model của bên thứ ba trên Amazon Bedrock thông qua AWS Marketplace, có thể qua console hoặc chấp nhận một gói giá riêng.
- Xác minh license: AWS License Manager sẽ tự động tạo một license cho gói đăng ký của bạn. License này đại diện cho quyền sử dụng model.
- Tạo grant: Sử dụng AWS License Manager, bạn tạo các grant để chia sẻ license với các tài khoản thành viên (member accounts) cụ thể trong AWS Organizations của mình.
- Kích hoạt và sử dụng: Các tài khoản thành viên nhận được thông báo về grant. Sau khi kích hoạt, họ có thể bắt đầu gọi model ngay lập tức mà không cần quyền AWS Marketplace hay đăng ký bổ sung.
Các kịch bản ứng dụng thực tế
Kịch bản 1: Kích hoạt model cho toàn bộ tổ chức
Tình huống: Các nhóm của bạn cần truy cập một model Anthropic Claude mới trên 50 tài khoản workload. Bạn không muốn cấp quyền aws-marketplace:Subscribe cho từng tài khoản.
Giải pháp: Từ tài khoản quản lý, bạn đăng ký model. AWS License Manager tự động tạo license. Sau đó, bạn tạo và phân phối grant cho 50 tài khoản workload. Các nhóm có thể sử dụng model ngay mà không cần quyền truy cập Marketplace.
Kịch bản 2: Triển khai theo giai đoạn
Tình huống: Bạn muốn thử nghiệm một model mới với một vài nhóm trước khi triển khai rộng rãi.
Giải pháp: Đăng ký từ tài khoản quản lý, sau đó chỉ tạo grant cho các tài khoản trong nhóm thí điểm. Khi thử nghiệm thành công, bạn có thể mở rộng grant cho các tài khoản khác. AWS License Manager cung cấp khả năng hiển thị trạng thái grant trên toàn tổ chức.
Kịch bản 3: Phân phối gói giá riêng (Private Offer)
Tình huống: Bạn đã đàm phán giá tùy chỉnh với nhà cung cấp model qua AWS Marketplace và cần đảm bảo mọi tài khoản đều sử dụng mức giá này.
Giải pháp: Yêu cầu nhà cung cấp gửi gói giá riêng (private offer) đến tài khoản quản lý. Sau khi chấp nhận, license được tạo ra sẽ phản ánh các điều khoản đã đàm phán. Phân phối quyền truy cập qua grant để đảm bảo tất cả việc sử dụng đều tuân theo thỏa thuận.
Kịch bản 4: Triển khai nhanh toàn bộ tổ chức
Tình huống: Tổ chức của bạn đã chuẩn hóa một model AI cho các workload. Bạn muốn mọi tài khoản trong AWS Organizations đều có quyền truy cập ngay lập tức.
Giải pháp: Đăng ký từ tài khoản quản lý, sau đó phân phối grant cho toàn bộ AWS Organizations thay vì các tài khoản riêng lẻ. Các tài khoản mới được thêm vào tổ chức cũng sẽ tự động kế thừa quyền truy cập.
Những điểm cần lưu ý
- Phân bổ chi phí: Chi phí sử dụng model sẽ được tính cho tài khoản quản lý. Doanh nghiệp nên sử dụng AWS Cost Allocation Tags để theo dõi chi phí theo từng tài khoản thành viên hoặc nhóm.
- Gói giá riêng (Private Offers): Quy trình vẫn tương tự. Các điều khoản tùy chỉnh về giá cả, thanh toán sẽ được áp dụng cho toàn bộ tổ chức, bất kể tài khoản thành viên nào gọi model.
- Hành vi theo Region: Mặc dù bạn có thể gọi model ở các AWS Region được hỗ trợ, AWS License Manager tạo và quản lý license và grant tại
us-east-1.
Kết luận
Managed Entitlements cho Amazon Bedrock là một cải tiến đáng kể, giúp các tổ chức đơn giản hóa việc quản lý truy cập các model AI của bên thứ ba ở quy mô lớn. Bằng cách tập trung hóa việc đăng ký và loại bỏ nhu cầu cấp quyền AWS Marketplace cho từng tài khoản, doanh nghiệp có thể tập trung vào việc xây dựng các ứng dụng AI thay vì quản lý hạ tầng truy cập, từ đó duy trì sự kiểm soát quản trị và đẩy nhanh tiến độ đổi mới.
