Tokens On Me

Connecter une clé API Amazon Bedrock

Les budgets Claude et GPT peuvent utiliser votre compte AWS via Amazon Bedrock. Tokens On Me utilise une clé API Bedrock longue durée, associée à un utilisateur IAM dont vous choisissez les autorisations. Elle fonctionne uniquement dans sa région AWS de création.

Essayez vous-même chaque modèle une fois

La première requête à un modèle AWS Marketplace abonne votre compte et accepte sa licence. Cela concerne les modèles Anthropic et OpenAI. Claude demande aussi de remplir une fois un formulaire d’utilisation. Effectuez vous-même ces étapes avant de connecter la clé.

  1. Dans la console Amazon Bedrock, ouvrez Model catalog.
  2. Pour chaque modèle prévu, ouvrez le playground et envoyez un message. Pour Claude, remplissez d’abord le formulaire demandé.

Votre compte doit disposer d’un moyen de paiement accepté par AWS Marketplace. Guide AWS : accès aux modèles.

Choisir la région

Une clé fonctionne uniquement dans sa région de création. Choisissez une région proposée dans l’écran des clés. Tokens On Me utilise les profils d’inférence globaux de Bedrock : AWS peut donc exécuter les requêtes dans une autre région, au tarif standard.

Toutes les régions proposées prennent en charge Claude. GPT-6 Astra est disponible dans moins de régions : les modèles indisponibles dans la région de votre clé sont grisés lors de l’attribution.

Créer la clé

  1. Dans la console Bedrock, sélectionnez cette région, ouvrez API keys, puis l’onglet Long-term API keys et choisissez Generate long-term API keys.
  2. Choisissez sa date d’expiration. Une durée courte est plus sûre : vous pouvez connecter une nouvelle clé à tout moment.
  3. Générez-la et copiez-la : elle commence par ABSK et AWS ne l’affiche qu’une seule fois.

Une clé temporaire dure douze heures au maximum : l’écran des clés la refuse.

Limiter les autorisations de la clé

AWS crée un utilisateur IAM associé à la clé et lui attribue AmazonBedrockLimitedAccess, qui autorise bien plus que l’appel de modèles. Remplacez cette politique par une autorisant uniquement les modèles que vous souhaitez proposer.

  1. Dans la console IAM, ouvrez Users puis l’utilisateur créé par AWS avec la clé.
  2. Dans Permissions, retirez AmazonBedrockLimitedAccess.
  3. Ajoutez une politique intégrée avec le contenu ci-dessous dans l’éditeur JSON. Remplacez REGION par la région de la clé (par exemple eu-west-3), ACCOUNT_ID par les douze chiffres de votre compte et retirez les lignes des modèles non proposés dans chaque instruction.
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GlobalProfiles",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:REGION:ACCOUNT_ID:inference-profile/global.anthropic.claude-fable-5-1",
        "arn:aws:bedrock:REGION:ACCOUNT_ID:inference-profile/global.anthropic.claude-opus-5-5",
        "arn:aws:bedrock:REGION:ACCOUNT_ID:inference-profile/global.anthropic.claude-sonnet-5-5",
        "arn:aws:bedrock:REGION:ACCOUNT_ID:inference-profile/global.anthropic.claude-haiku-5-5",
        "arn:aws:bedrock:REGION:ACCOUNT_ID:inference-profile/global.openai.gpt-6-astra"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": "REGION"
        }
      }
    },
    {
      "Sid": "ModelsInTheKeysRegion",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:REGION::foundation-model/anthropic.claude-fable-5-1",
        "arn:aws:bedrock:REGION::foundation-model/anthropic.claude-opus-5-5",
        "arn:aws:bedrock:REGION::foundation-model/anthropic.claude-sonnet-5-5",
        "arn:aws:bedrock:REGION::foundation-model/anthropic.claude-haiku-5-5",
        "arn:aws:bedrock:REGION::foundation-model/openai.gpt-6-astra"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": "REGION"
        },
        "StringLike": {
          "bedrock:InferenceProfileArn": "arn:aws:bedrock:REGION:ACCOUNT_ID:inference-profile/global.*"
        }
      }
    },
    {
      "Sid": "ModelsWorldwide",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:::foundation-model/anthropic.claude-fable-5-1",
        "arn:aws:bedrock:::foundation-model/anthropic.claude-opus-5-5",
        "arn:aws:bedrock:::foundation-model/anthropic.claude-sonnet-5-5",
        "arn:aws:bedrock:::foundation-model/anthropic.claude-haiku-5-5",
        "arn:aws:bedrock:::foundation-model/openai.gpt-6-astra"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestedRegion": "unspecified"
        },
        "StringLike": {
          "bedrock:InferenceProfileArn": "arn:aws:bedrock:REGION:ACCOUNT_ID:inference-profile/global.*"
        }
      }
    },
    {
      "Sid": "ResponsesDefaultProject",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:REGION:ACCOUNT_ID:project/default"
      ]
    }
  ]
}
Les trois premières instructions
Les autorisations requises pour un profil d’inférence global : le profil dans votre région, le modèle dans votre région et le modèle là où AWS l’exécute, accessible uniquement via vos profils.
ResponsesDefaultProject
Uniquement pour GPT : l’API Responses de Bedrock, utilisée par Codex, vérifie aussi le projet par défaut du compte. Retirez cette instruction si vous ne proposez aucun modèle GPT.

Guide AWS : inférence globale entre régions.

Configurer une alerte de budget

AWS ne propose pas de plafond bloquant les requêtes en temps réel : les budgets sont actualisés au moins une fois par jour, une alerte peut donc arriver plusieurs heures après la dépense. Tokens On Me réserve un montant sur chaque budget avant chaque requête et vérifie que le solde peut couvrir cette réservation.

  1. Dans AWS Budgets, créez un budget mensuel avec une alerte e-mail pour suivre vos dépenses.

Connecter la clé

  1. Connectez-vous, ouvrez Clés fournisseur, collez la clé sous Amazon Bedrock, choisissez sa région de création et enregistrez.
  2. Créez un budget dans Budgets et choisissez cette clé fournisseur.

Couper l’accès

Dans la console IAM, ouvrez l’utilisateur associé et désactivez ou supprimez la clé : Bedrock refusera ensuite toute requête l’utilisant. La déconnecter dans l’écran des clés bloque aussi les nouvelles requêtes via ce service.

Tous les guides