Bedrock Invocation Logging: Claude in Frankfurt

TL;DR

Bedrock Invocation Logging schreibt Prompts und Antworten von Claude in Ihr Konto, nicht zu Anthropic. In Frankfurt bleibt es aus, bis Sie es einschalten. Es gilt nur für bedrock-runtime, Bodies bis 100 KB stehen inline, der Rest landet in S3. Residenz setzt weiter das EU-Profil. Setzen Sie die Aufbewahrung, bevor der erste Prompt reinkommt.

Was ist Bedrock Invocation Logging und was ist es nicht?

Bedrock Invocation Logging ist ein Regionsschalter in Ihrem AWS-Konto. Eingeschaltet sammelt er Anfrage, Antwort und Metadaten aller unterstützten Aufrufe in dieser Region. Ziele sind CloudWatch Logs, S3 oder beide, immer im selben Konto und in derselben Region. Residenz, Retention des Modells und der AVV bleiben eigene Schalter.

Die Übersichtsseite ist eindeutig. Der Schalter ist standardmäßig aus. Sobald er an ist, bleiben die Logs liegen, bis Sie die Konfiguration löschen. Erfasst werden Converse, ConverseStream, InvokeModel und InvokeModelWithResponseStream. Dazu zählen die OpenAI-kompatiblen Responses- und Chat-Completions-APIs auf demselben bedrock-runtime-Endpunkt. Aufrufe über bedrock-mantle fehlen.

Das Logging ist kein Audit-Trail der Claude-Apps. Die Claude Compliance API sieht Bedrock nicht. CloudTrail schreibt, wer aufgerufen hat, nicht den Prompt. Der Vergleich der Beobachtungsschichten steht in LLM Observability für Claude. Die Plattform selbst erklärt Amazon Bedrock erklärt.

Wir empfehlen Invocation Logging als Default, sobald Claude in Produktion Prompts mit Personenbezug verarbeitet. Ohne diesen Schalter haben Sie Metriken und CloudTrail, aber keinen Inhalt.

Wie schalten Sie es in Frankfurt ein?

Sie legen in eu-central-1 eine Log-Gruppe an, setzen die Aufbewahrung, geben Bedrock eine IAM-Rolle und rufen PutModelInvocationLoggingConfiguration auf. Die Konfiguration gilt nur für diese Region. Rufen Sie mit dem EU-Profil aus Irland oder Paris auf, wiederholen Sie die Schritte dort. Text einschalten, Bild, Embedding, Video und Audio aus, bis Sie sie brauchen.

Die Konsole liegt unter Settings, Model invocation logging. Sie wählen Modalitäten und das Ziel. Die API setzt dieselben Felder plus audioDataDeliveryEnabled. Die CLI verlangt eine Log-Gruppe zwischen 1 und 512 Zeichen und eine Rollen-ARN bis 2048 Zeichen. Ein S3-Bucket heißt 3 bis 63 Zeichen, das Prefix höchstens 1024.

1. Öffnen Sie CloudWatch in eu-central-1 und legen Sie die Log-Gruppe /bedrock/invocations an. Umbenennen geht später nicht.
2. Setzen Sie die Aufbewahrung auf 30 Tage. Die Referenz erlaubt nur feste Werte: 1, 3, 5, 7, 14, 30, 60, 90, 120, 150, 180, 365, 400, 545, 731, 1096, 1827, 2192, 2557, 2922, 3288 oder 3653. Standard ohne Policy ist unbegrenzt.
3. Erstellen Sie eine IAM-Rolle, die bedrock.amazonaws.com übernehmen darf, mit logs:CreateLogStream und logs:PutLogEvents auf dem Stream aws/bedrock/modelinvocations. Die Trust Policy bindet aws:SourceAccount und aws:SourceArn an Ihr Konto und eu-central-1.
4. Optional: ein S3-Bucket in Frankfurt für Bodies über 100 KB. Die Bucket-ACL muss aus sein. Bei SSE-KMS braucht bedrock.amazonaws.com kms:GenerateDataKey.
5. Aktivieren Sie das Logging und lesen Sie die Konfiguration zurück.
6. Senden Sie einen Testaufruf mit eu.anthropic.claude-sonnet-5-5.

aws logs create-log-group --log-group-name /bedrock/invocations --region eu-central-1
aws logs put-retention-policy --log-group-name /bedrock/invocations --retention-in-days 30 --region eu-central-1
aws bedrock put-model-invocation-logging-configuration --region eu-central-1 --logging-config '{
  "cloudWatchConfig": {
    "logGroupName": "/bedrock/invocations",
    "roleArn": "arn:aws:iam::123456789012:role/BedrockInvocationLogging",
    "largeDataDeliveryS3Config": {"bucketName": "example-bedrock-logs-eu", "keyPrefix": "large"}
  },
  "textDataDeliveryEnabled": true,
  "imageDataDeliveryEnabled": false,
  "embeddingDataDeliveryEnabled": false,
  "videoDataDeliveryEnabled": false,
  "audioDataDeliveryEnabled": false
}'
aws bedrock get-model-invocation-logging-configuration --region eu-central-1

Die Modellkarte nennt für Sonnet 5.5 das Geo-ID eu.anthropic.claude-sonnet-5-5. In-Region auf bedrock-runtime ist N/A. Von Frankfurt aus sind Ziele Frankfurt, Stockholm, Mailand, Spanien, Irland und Paris. Das Geographic-CRIS-Dokument sagt: die Anfrage bleibt in der Geografie, Prompts können die Quellregion verlassen, Missbrauchsdaten liegen in der Zielregion. Ihr Invocation Log bleibt in der Quellregion, in der Sie die Konfiguration gesetzt haben.

Welche IDs und der erste Aufruf stehen in Claude auf AWS Bedrock in Frankfurt. Vertex als zweiter Weg ist Claude auf Vertex AI in Europa.

Was steht im Log und was fehlt?

Jeder Eintrag ist JSON mit schemaType ModelInvocationLog und schemaVersion 1.0. Automatisch kommen Zeitstempel, Konto, Region, requestId, Operation, modelId, identity.arn und Tokenzahlen. Bodies bis 100 KB stehen inline. Größere JSON-Bodies und Binärdaten liegen als eigene S3-Objekte unter dem Data-Prefix. requestMetadata ist das einzige Feld, das Sie selbst setzen.

Die Feldtabelle reicht für Kosten und Audit. Gruppieren Sie in Logs Insights nach identity.arn, dann sehen Sie Tokens pro Rolle ohne extra Tool. Bilder und Dokumente in der Converse API landen in S3, wenn Sie Image-Logging und S3-Delivery eingeschaltet haben. S3 liefert gzippte JSON-Batches. CloudWatch liefert einzelne Ereignisse.

Feld	Quelle	Inhalt
identity.arn	automatisch	IAM-Rolle und Session
modelId	automatisch	Modell oder Inference-Profil, etwa eu.anthropic.claude-sonnet-5-5
input.inputBodyJson	automatisch	Prompt bis 100 KB
output.outputBodyJson	automatisch	Antwort bis 100 KB
input.inputTokenCount / output.outputTokenCount	automatisch	Token pro Seite
requestMetadata	Aufrufer	optionale Schlüssel, etwa Team oder Ticket

Drei Lücken zählen für EU-Teams. Erstens: bedrock-mantle fehlt. Wer Sonnet 5.5 in einer einzelnen Region über Mantle fährt, hat CloudTrail und Metriken, kein Invocation Log. Zweitens: die Konfiguration gilt pro Region, nicht pro Profil. Drittens: CloudWatch löscht abgelaufene Ereignisse nicht sofort. Die Log-Gruppen-Doku nennt bis zu 72 Stunden, selten länger. PutLogEvents lehnt Ereignisse ab, die mehr als 14 Tage in der Vergangenheit oder mehr als 2 Stunden in der Zukunft liegen.

Wir empfehlen requestMetadata mit Team und Umgebung an jedem produktiven Aufruf. Ohne diese Tags bleibt nur die IAM-ARN als Achse.

Was kostet das Logging neben Claude?

Das Logging ist ein Speicherpreis, kein Modellpreis. Claude Sonnet 5.5 kostet 2 US-Dollar pro Million Input-Tokens und 10 US-Dollar pro Million Output-Tokens. Cache-Treffer liegen bei 0,10 US-Dollar. Regionale und Multi-Region-Endpunkte ab Sonnet 4.5 schlagen 10 Prozent auf. Batch halbiert auf 1 und 5 US-Dollar. CloudWatch rechnet die Log-Gigabyte getrennt.

Die Preisseite von Anthropic gilt für die Token. Ein CCU kostet 0,01 US-Dollar, 100 CCU sind 1 US-Dollar. US-only liegt bei 1,1fach. Die CloudWatch-Preisseite nennt ein Free Tier von 5 GB für Aufnahme, Archiv und Logs-Insights-Scan. Die Rechenbeispiele dort nutzen 0,50 US-Dollar pro GB Aufnahme, 0,03 US-Dollar pro GB Archiv und 0,12 US-Dollar pro GB Data Protection. Die Preise hängen von der Region ab. Ein Prompt mit Personenbezug macht jeden Gigabyte zum personenbezogenen Bestand.

Posten	Zahl	Quelle
Sonnet 5.5 Input / Output	2 / 10 USD je 1 Mio. Tokens	Anthropic Pricing
Cache-Treffer Sonnet 5.5	0,10 USD je 1 Mio. Tokens (0,05fach)	Anthropic Pricing
Regionalaufschlag ab Sonnet 4.5	10 Prozent	Anthropic Pricing
Batch Sonnet 5.5	1 / 5 USD	Anthropic Pricing
CloudWatch Free Tier	5 GB Aufnahme, Archiv, Scan	CloudWatch Pricing
Beispiel Aufnahme / Archiv / Maskierung	0,50 / 0,03 / 0,12 USD je GB	CloudWatch-Beispiele

Ein Rechenbeispiel ohne Wechselkurs: 200.000 Aufrufe im Monat, je 2.000 Input- und 500 Output-Tokens auf Sonnet 5.5, ergibt 400 Millionen Input und 100 Millionen Output. Das sind 800 plus 1.000, also 1.800 US-Dollar nur für Tokens. Liegt jeder Logeintrag bei 8 KB, sind das rund 1,6 GB. Unter dem Free Tier von 5 GB bleibt die Aufnahme bei null, sobald Sie das Archiv klein halten. Der teure Teil ist Claude, nicht CloudWatch. Trotzdem setzen Sie 30 Tage, sonst wächst das Archiv unbegrenzt.

Die Tokenpreise im Vergleich der Clouds stehen in Claude API Kosten EU. Foundry rechnet ebenfalls in CCU, hat aber keine EU-Datenzone. Das steht in Azure AI Foundry erklärt.

CloudWatch, S3, Vertex oder Foundry?

Nehmen Sie CloudWatch plus 30 Tage, wenn Sicherheit und FinOps im selben Konto bleiben sollen. Nehmen Sie S3, wenn Athena oder ein SIEM die Dateien lesen soll. Nehmen Sie beide, wenn Bodies über 100 KB anfallen. Vertex schreibt Stichproben nach BigQuery und ist Preview. Foundry hat Diagnose-Logs und keine EU-Datenzone.

Weg	Ziel	EU-Ort	Prompt-Inhalt	Standard	Grenze
Bedrock Invocation Logging	CloudWatch, S3 oder beide	Ihre Quellregion, etwa Frankfurt	Ja, bis 100 KB inline	Aus	nur bedrock-runtime
Vertex Request-Response-Logging	BigQuery	Dataset, das Sie anlegen	Ja, Stichprobe 0 bis 1	Aus, Preview	Paare über 10 MB fallen weg, Anthropic nur per REST
Foundry Diagnostic Settings	Storage oder Log Analytics	Ihre Azure-Geografie	Request-and-Response-Logs, bis zu 2 Stunden Verzug	Aus	Global Standard oder Data Zone Standard (US), keine EU-Zone

Google beschreibt das Request-Response-Logging als Preview. Claude läuft über rawPredict und streamrawPredict. Die Konfiguration für Anthropic geht nur per REST. samplingRate liegt zwischen 0 und 1. Paare über dem BigQuery-Limit von 10 MB werden nicht gespeichert. Für Claude Mythos Preview, Mythos 5 und Fable 5 kann Vertex Logs in Echtzeit mit Anthropic teilen, sobald dataSharingEnabledProvider auf ANTHROPIC steht. Das ist eine zweite Empfängerin.

Microsoft listet für Foundry Diagnostic Settings: Audit Logs, Request and Response Logs, Azure OpenAI Request Usage, AllMetrics. Daten können bis zu zwei Stunden brauchen. Der Hosting-Vergleich bleibt klar: Anthropic ist Verkäuferin und Auftragsverarbeiterin. Verfügbar sind Global Standard und Data Zone Standard (US). Eine EU-Datenzone fehlt.

Wir empfehlen Bedrock Invocation Logging in Frankfurt als Default für europäische Teams, die Claude schon über das EU-Profil beziehen. Vertex nur, wenn die Anwendung schon auf Google Cloud liegt und Sie das Dataset in einer EU-Location anlegen. Foundry nicht, wenn Residenz in Mitgliedstaaten die Anforderung ist.

FAQ

Ist Bedrock Invocation Logging in Frankfurt standardmäßig an?

Nein. AWS stellt den Schalter aus. Nach dem Einschalten bleiben die Logs liegen, bis Sie die Konfiguration löschen. Die Aufbewahrung der Log-Gruppe setzen Sie getrennt. Ohne Policy hält CloudWatch unbegrenzt.

Was kostet Bedrock Invocation Logging neben Claude?

Die Tokens zahlen Sie nach der Anthropic-Liste: Sonnet 5.5 kostet 2 und 10 US-Dollar je Million Tokens, Cache-Treffer 0,10 US-Dollar, Batch die Hälfte. CloudWatch rechnet die Gigabyte. Das Free Tier umfasst 5 GB. Die Beispiele auf der Preisseite nutzen 0,50 US-Dollar Aufnahme und 0,03 US-Dollar Archiv. Der teure Posten bleibt Claude.

Bedrock Invocation Logging oder CloudTrail: was brauchen Sie?

CloudTrail sagt, wer wann welches Modell aufgerufen hat, ohne Prompt. Invocation Logging sagt, was im Prompt und in der Antwort stand. Für FinOps nach IAM-Rolle reicht oft CloudTrail plus Metriken. Für DSGVO-Rechenschaft und Vorfallanalyse brauchen Sie den Inhalt, also Invocation Logging mit kurzer Frist.

Erfasst das Logging Aufrufe über bedrock-mantle?

Nein. Nur bedrock-runtime, einschließlich der OpenAI-kompatiblen APIs auf diesem Endpunkt. Mantle in Irland oder Stockholm braucht ein eigenes Anwendungslog. Die Modellkarte führt Invocation Logs unter den unterstützten bedrock-runtime-Features, nicht unter Mantle.

Bleiben die Logs in der EU, wenn Sie das EU-Profil nutzen?

Das Log liegt in der Quellregion, in der Sie die Konfiguration gesetzt haben, etwa Frankfurt. Das EU-Profil entscheidet, wo die Inferenz läuft. Von Frankfurt aus sind das Frankfurt, Stockholm, Mailand, Spanien, Irland und Paris. Prompts können die Quellregion verlassen. Missbrauchsdaten liegen in der Zielregion. Das ist kein Residenzschalter.

Reicht Vertex Request-Response-Logging als Ersatz?

Nur wenn Ihre Anwendung schon auf Google Cloud liegt. Das Feature ist Preview, für Anthropic nur per REST konfigurierbar, schreibt Stichproben nach BigQuery und verwirft Paare über 10 MB. Für Mythos und Fable 5 kann Google Logs mit Anthropic teilen. Bedrock schreibt in Ihr Konto und in Ihre Region, ohne diesen Share-Schalter.

Quellen

1. AWS Bedrock: Model invocation logging (27. Oktober 2026)
2. AWS Bedrock API: PutModelInvocationLoggingConfiguration (27. Oktober 2026)
3. AWS CLI: put-model-invocation-logging-configuration (27. Oktober 2026)
4. AWS CLI: put-retention-policy (27. Oktober 2026)
5. AWS: CloudWatch Logs log groups (27. Oktober 2026)
6. Amazon CloudWatch pricing (27. Oktober 2026)
7. AWS Bedrock: Claude Sonnet 5.5 model card (27. Oktober 2026)
8. AWS Bedrock: Geographic cross-Region inference (27. Oktober 2026)
9. Anthropic: Pricing (27. Oktober 2026)
10. Google Cloud: Request-response logging (27. Oktober 2026)
11. Microsoft Learn: Claude hosting comparison (27. Oktober 2026)
12. Microsoft Learn: Foundry diagnostic logging (27. Oktober 2026)