AWS Credits 查询与只读 IAM 密钥接入教程

在 Quota Monitor 中接入 AWS / Amazon Bedrock（全球商业区）

1. 01

   确认要查的是全球商业区 Credits

   用您已有的管理身份登录 AWS 全球站，在 Billing and Cost Management（账单与成本管理）左侧找到 Credits（抵扣金）。确认是美元 Credits，并查看每笔额度的 Amount remaining、适用服务和到期日；不要拿信用卡额度、账单应付额或 Bedrock 调用费用比较。

   完成后检查：不是中国区或 GovCloud；您能找到目标 Credits 所属账号。没有 Credits 的后付费账号也可能正常使用 AWS，无需为测试而充值或兑换。

   打开 AWS 账单与成本管理（在新标签页打开）
2. 02

   记录 Credits 所属的 12 位账号 ID

   展开控制台右上角账号菜单，复制 Account ID 的 12 位数字，去掉分隔符。它不是账号别名、IAM 用户名、组织 ID（o- 开头）或 ARN。后续专用 IAM 用户必须创建在这个账号内；组织管理账号不要误填成员账号。

   完成后检查：账号 ID 是 12 位数字，且与第一步所查 Credits 的所属账号一致。无需把账号 ID 或密钥发给客服、Agent 或聊天。

3. 03

   新建只读 Credits 策略并粘贴 JSON

   仍使用您已有的管理身份，打开 IAM → Policies（策略）→ Create policy（创建策略）→ JSON。删除编辑器原内容，复制下方完整 JSON 后粘贴，点击 Next。将策略命名为 QuotaMonitorCreditsReadOnly，检查后点击 Create policy。

   完成后检查：策略只允许 billing:GetCredits，Resource 为 *（这个动作不支持按资源 ARN 限定），没有 billing:* 或 AdministratorAccess。创建策略不等于已授权，下一步还要绑定到用户。

   QuotaMonitorCreditsReadOnly · Credits 读取权限

   复制 JSON

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "billing:GetCredits"
         ],
         "Resource": [
           "*"
         ]
       }
     ]
   }

   复制的是完整 JSON，不含密钥或账号信息。

   打开 AWS IAM（在新标签页打开）
4. 04

   创建专用 IAM 用户并绑定策略

   在 IAM 左侧 Users（用户）→ Create user，填写 quota-monitor-credits。不要勾选 Provide user access to the AWS Management Console（控制台访问），无需给这个机器用户设置登录密码。下一步权限选择 Attach policies directly（直接附加策略），搜索并勾选 QuotaMonitorCreditsReadOnly，继续检查并创建用户。

   完成后检查：新用户详情的 Permissions（权限）中能看到这条策略；不要复制现有管理员权限或加入管理员组。若此前已创建专用用户，在其权限页 Add permissions → Attach policies directly 补绑这条策略，再核对绑定结果。

5. 05

   为专用用户创建一组访问密钥

   进入刚创建的 IAM 用户详情，打开 Security credentials（安全凭证），在 Access keys 区域点击 Create access key。阅读长期密钥的替代方案；本版本暂不支持角色接入，接受此限制后选择 Other（其他），Next，描述可填 Quota Monitor Credits，再点击 Create access key。

   完成后检查：密钥在专用 IAM 用户下面，不是在根用户安全凭证页面。若已有两把密钥，请先核实用途；不要为了腾位置直接删除正在运行的业务密钥。

6. 06

   保存同一组 AK/SK，勿发送给 Agent

   在 Retrieve access keys 页面保存同一组 Access key ID 和 Secret access key。Secret 只在创建时显示，可下载 CSV 到安全位置；看不到完整 Secret 时不能靠掩码还原。密钥遗失应由管理员新建替代密钥，确认切换后再停用旧密钥。

   完成后检查：Access Key ID 为 AKIA 开头的 20 位值，Secret Access Key 为 40 位；不是 ASIA 临时凭据、Session Token 或 Bedrock API Key。两项都不要放在截图、代码库、URL 或 AI 对话里。

7. 07

   在 Quota Monitor 项目内安全添加

   打开目标项目 → 添加连接 → 添加新连接，选择 AWS / Bedrock（全球商业区·美元 Credits）。填写连接名称、12 位 AWS 账号 ID、Access Key ID 和配套 Secret Access Key，检查只读与账期提示后点击「保存并接入项目」。金额固定为 USD，无需填写 AWS Region、项目 ID 或自定义接口地址。

   完成后检查：连接已关联到当前项目，进入等待首次同步状态。通过 MCP 生成的安全录入链接使用同样的三项密码框；不要直接把密钥粘贴到 MCP 对话。

8. 08

   刷新后逐笔核对账面 Credits

   点击「查询最新余额」，等成功查询时间更新。展开「余额说明」，核对查询起止时间、每笔剩余额度、是否计入、适用服务、到期日和共享配置；在 AWS Credits 页面比较相同账号和额度的 Amount remaining，不拿 Estimated amount remaining 比较。

   完成后检查：主金额只汇总接口返回的启用且当前有效的 USD remainingAmount，过期、停用和未生效额度单独显示不相加。官方范围或状态不明确时会报错，而不是猜成零；没有真实核对前不能认为所有模型都可用。

9. 09

   低额度时回到 AWS 核对付款与有效期

   卡片的「前往平台」打开 AWS 账单与成本管理，选择 Credits 查看抵扣范围和到期日；按您已有的 AWS 结算方式管理付款。账面 Credits 不是实时现金，金额为零不一定要充值，尚有 Credits 也不能保证覆盖所有模型。定期检查专用密钥权限并轮换，不再使用时在 AWS 停用该专用密钥。

   完成后检查：只在官方控制台进行财务操作；本站不会代为充值、修改付款方式、开启共享或启停 Credits。

Quota Monitor 读取的 AWS / Amazon Bedrock（全球商业区） 数据范围

• AWS 将 Amount remaining 定义为上个账期后的账面剩余，通常随账期更新。刷新成功表示重新查询，不代表上游已结算到此刻；estimatedAmount 含未结算消耗估算，本站不使用它，也不从费用推算余额。
• 仅展示接口在查询区间内返回的 Credits，不宣称涵盖全部历史资金。空列表显示本查询期无 Credits，不等于现金余额为零或模型即将停服；正常后付费账号可能没有 Credits。
• 抵扣范围取决于每笔额度的适用产品、采购类型和有效期；不能保证全部 Credits 可用于 Amazon Bedrock、某个模型或 Marketplace。账号自有额度可能共享给其他账号，其他账号拥有并共享给您的额度不在本次汇总中；不要跨项目重复相加。
• 不包含信用卡可用额度、付款方式、现金预付款、欠款、Cost Explorer 费用或 Free Tier 用量。不支持 AWS 中国区、GovCloud、非美元账务、临时 ASIA 密钥或 Bedrock API Key。
• 最小权限 JSON 依据官方动作表，但真实账号授权尚待验证；Organizations 的 SCP、权限边界和显式拒绝仍可阻止查询。失败时不自动申请更高权限，不抓控制台 Cookie，也不把缺失字段当零。
• 看板展示最近一次成功查询的快照。手动刷新会重新请求供应商，但不保证上游账务没有入账延迟；失败时旧余额不能当成新结果。

AWS / Amazon Bedrock（全球商业区） 常见问题与排查

提示 AccessDenied 或没有权限？

先在该 IAM 用户权限页确认绑定了 QuotaMonitorCreditsReadOnly，动作拼写为 billing:GetCredits（不是 activate:GetCredits）。核对账号 ID，再让组织管理员检查 SCP、权限边界和显式拒绝。不要改用根用户/管理员密钥，也不要直接换成 billing:*。

只有控制台账单页进不去，需要开启 IAM Billing Access 吗？

控制台账单访问开关与 API 权限不是一回事；该开关不控制 Billing SDK/API。使用您原有有权限的身份对账，不必为只读机器用户启用控制台登录。API 失败仍应检查策略和账号，而不是把根用户密钥交给本站。

签名或凭据错误？

检查 AK/SK 是否同组、是否仍为 Active，复制时有无缺字，账号是否全球商业区。ASIA 临时凭据和 Bedrock 模型 Key 不支持。若持续出现请求时间错误，请仅提供错误码和时间，让 Quota Monitor 管理员检查服务器时钟，不提供密钥。

刷新成功但钱没减少，或和预计剩余不同？

AWS 的账面 Amount remaining 与包含本期未结算消费的 Estimated amount remaining 不同。本站只读前者；成功时间不是 AWS 结算时间。还应核对查询期、额度有效状态及账号所有权，不用当前消费估算另一笔余额。

显示零或无 Credits，是不是 Bedrock 没钱了？

不是。接口可能返回查询期内空列表，或所有返回额度已过期/停用；后付费、其他账号共享额度及查询期外资金不在本汇总中。到 AWS 核对付款和具体服务状态，不能靠这个零值判定停服。

AWS / Amazon Bedrock（全球商业区） 官方资料

• AWS 官方 GetCredits 接口、账号范围与日期限制（在新标签页打开）
• AWS 官方 CreditData 字段（在新标签页打开）
• AWS 官方 Credits 账期、适用服务与共享说明（在新标签页打开）
• AWS Billing IAM 动作与资源权限表（在新标签页打开）
• AWS 官方创建 IAM 用户与凭据建议（在新标签页打开）
• AWS 官方 JSON 策略创建步骤（在新标签页打开）
• AWS 官方管理员创建 IAM 用户访问密钥（在新标签页打开）
• AWS 官方控制台和 API 账单访问权限区别（在新标签页打开）

教程由 Quota Monitor 整理，非供应商官方教程。平台界面和权限可能变化，请以官方页面为准；实测范围以本页说明为准。