Journalisation Bedrock: Claude en Europe

TL;DR

La journalisation des invocations Bedrock écrit prompts et réponses de Claude dans votre compte AWS. Elle reste éteinte jusqu’à activation dans la région source, Paris ou Francfort. Elle ne couvre que bedrock-runtime. Les corps jusqu’à 100 Ko sont en ligne. Le profil UE décide où tourne l’inférence. Fixez la rétention avant le premier prompt.

Qu’est-ce que la journalisation des invocations Bedrock, et qu’est-ce qu’elle n’est pas ?

La journalisation des invocations Bedrock est un interrupteur par région dans votre compte. Une fois actif, il collecte requête, réponse et métadonnées des appels pris en charge. Les destinations sont CloudWatch Logs, S3 ou les deux, toujours dans le même compte et la même région. Rétention du modèle, DPA et résidence restent des leviers séparés.

Le guide AWS est net. La fonction est éteinte par défaut. Une fois activée, les journaux restent jusqu’à la suppression de la configuration. Elle enregistre Converse, ConverseStream, InvokeModel et InvokeModelWithResponseStream, y compris les API Responses et Chat Completions compatibles OpenAI sur bedrock-runtime. Les appels via bedrock-mantle n’apparaissent pas.

Ce n’est pas la piste d’audit des applications Claude. L’API Compliance Claude ne voit pas Bedrock. CloudTrail note l’appelant, pas le prompt. Les couches d’observation sont dans observabilité LLM pour Claude. La plateforme elle-même est dans Amazon Bedrock en Europe.

Nous recommandons de l’activer dès que les prompts de production peuvent porter des données personnelles. Sans cet interrupteur, vous avez les métriques et CloudTrail, pas le contenu.

Comment l’activer depuis Paris ?

Créez un groupe de journaux dans eu-west-3, fixez la rétention, donnez à Bedrock un rôle IAM, puis appelez PutModelInvocationLoggingConfiguration. Le réglage ne vaut que pour cette région. Si des applications appellent le profil UE depuis Francfort ou Dublin, recommencez là-bas. Activez le texte. Laissez image, embedding, vidéo et audio éteints tant que vous n’en avez pas besoin.

Le chemin console est Settings, puis Model invocation logging. Vous choisissez les modalités et la destination. L’API expose les mêmes champs plus audioDataDeliveryEnabled. La CLI exige un nom de groupe de 1 à 512 caractères et un ARN de rôle jusqu’à 2048 caractères. Un bucket S3 fait 3 à 63 caractères. Le préfixe tient dans 1024.

1. Ouvrez CloudWatch dans eu-west-3 et créez /bedrock/invocations. On ne renomme pas un groupe ensuite.
2. Fixez la rétention à 30 jours. La référence put-retention-policy n’accepte que 1, 3, 5, 7, 14, 30, 60, 90, 120, 150, 180, 365, 400, 545, 731, 1096, 1827, 2192, 2557, 2922, 3288 ou 3653. Sans politique, les journaux n’expirent pas.
3. Créez un rôle IAM que bedrock.amazonaws.com peut assumer, avec logs:CreateLogStream et logs:PutLogEvents sur aws/bedrock/modelinvocations. Limitez la confiance à votre compte et à eu-west-3.
4. Option : un bucket S3 à Paris pour les corps de plus de 100 Ko. Désactivez l’ACL du bucket. Pour SSE-KMS, accordez kms:GenerateDataKey à bedrock.amazonaws.com.
5. Activez la journalisation et relisez la configuration.
6. Envoyez un appel de test avec eu.anthropic.claude-sonnet-5-5.

aws logs create-log-group --log-group-name /bedrock/invocations --region eu-west-3
aws logs put-retention-policy --log-group-name /bedrock/invocations --retention-in-days 30 --region eu-west-3
aws bedrock put-model-invocation-logging-configuration --region eu-west-3 --logging-config '{
  "cloudWatchConfig": {
    "logGroupName": "/bedrock/invocations",
    "roleArn": "arn:aws:iam::123456789012:role/BedrockInvocationLogging",
    "largeDataDeliveryS3Config": {"bucketName": "example-bedrock-logs-eu", "keyPrefix": "large"}
  },
  "textDataDeliveryEnabled": true,
  "imageDataDeliveryEnabled": false,
  "embeddingDataDeliveryEnabled": false,
  "videoDataDeliveryEnabled": false,
  "audioDataDeliveryEnabled": false
}'
aws bedrock get-model-invocation-logging-configuration --region eu-west-3

La fiche Sonnet 5.5 donne l’identifiant géographique eu.anthropic.claude-sonnet-5-5. L’in-region sur bedrock-runtime est N/A. Depuis Paris, les destinations sont Francfort, Stockholm, Milan, l’Espagne, l’Irlande et Paris. L’inférence géographique reste dans la géographie. Les prompts peuvent quitter la région source. Le stockage de détection d’abus est dans la région de destination. Votre journal d’invocation reste dans la région source où vous avez posé la configuration.

Les identifiants et le premier appel sont dans Claude sur AWS Bedrock en Europe. Le second cloud est Claude sur Vertex AI en Europe.

Que contient le journal, et que manque-t-il ?

Chaque enregistrement est un JSON schemaType ModelInvocationLog, version 1.0. Bedrock remplit l’horodatage, le compte, la région, requestId, l’opération, modelId, identity.arn et les comptes de tokens. Les corps jusqu’à 100 Ko sont en ligne. Le JSON plus large et le binaire partent dans S3 sous le préfixe data. requestMetadata est le seul champ que vous fournissez.

La table des champs suffit pour le coût et l’incident. Groupez par identity.arn dans Logs Insights pour voir les tokens par rôle. Les images et documents Converse vont dans S3 si le journal d’image et la livraison S3 sont actifs. S3 écrit des lots JSON gzippés. CloudWatch écrit un événement par appel.

Champ	Qui le pose	Contenu
identity.arn	automatique	Rôle IAM et session
modelId	automatique	Modèle ou profil, par exemple eu.anthropic.claude-sonnet-5-5
input.inputBodyJson	automatique	Prompt jusqu’à 100 Ko
output.outputBodyJson	automatique	Réponse jusqu’à 100 Ko
Comptes de tokens	automatique	Entrée et sortie
requestMetadata	appelant	Clés optionnelles, équipe ou ticket

Trois trous comptent pour une équipe UE. Premier : bedrock-mantle est absent. Un chemin mantle mono-région donne CloudTrail et des métriques, pas ce journal. Deuxième : la configuration est par région, pas par profil. Troisième : l’expiration n’est pas instantanée. Le guide des groupes parle de 72 heures. PutLogEvents refuse un événement de plus de 14 jours dans le passé ou de plus de 2 heures dans le futur.

Nous recommandons requestMetadata avec l’équipe et l’environnement sur chaque appel de production. Sans ces balises, le seul axe reste l’ARN IAM.

Combien coûte la journalisation à côté de Claude ?

La journalisation est une facture de stockage, pas de modèle. Sonnet 5.5 coûte 2 USD par million de tokens d’entrée et 10 USD en sortie. Un hit de cache vaut 0,10 USD. Les points régionaux dès Sonnet 4.5 ajoutent 10 pour cent. Le batch divise par deux. CloudWatch facture les gigaoctets à part.

Les tarifs Anthropic couvrent les tokens. Un CCU vaut 0,01 USD. Cent CCU font 1 USD. L’inférence US-only est à 1,1 fois. La page CloudWatch inclut 5 Go gratuits pour l’ingestion, l’archive et le scan Logs Insights. Les exemples chiffrés utilisent 0,50 USD par Go d’ingestion, 0,03 USD par Go d’archive et 0,12 USD par Go de protection. Les prix varient selon la région. Un prompt avec des données personnelles transforme chaque gigaoctet stocké en registre RGPD.

Poste	Chiffre	Source
Sonnet 5.5 entrée / sortie	2 / 10 USD par million de tokens	Tarifs Anthropic
Hit de cache Sonnet 5.5	0,10 USD par million de tokens (0,05x)	Tarifs Anthropic
Prime régionale dès Sonnet 4.5	10 pour cent	Tarifs Anthropic
Batch Sonnet 5.5	1 / 5 USD	Tarifs Anthropic
Offre gratuite CloudWatch	5 Go ingestion, archive, scan	Tarifs CloudWatch
Exemple ingestion / archive / masquage	0,50 / 0,03 / 0,12 USD par Go	Exemples CloudWatch

Ordre de grandeur : 200 000 appels par mois, 2 000 tokens d’entrée et 500 de sortie sur Sonnet 5.5, soit 400 millions d’entrée et 100 millions de sortie. Cela fait 800 plus 1 000, donc 1 800 USD de tokens. Si chaque événement pèse 8 Ko, vous stockez environ 1,6 Go. Sous les 5 Go gratuits, l’ingestion reste à zéro si l’archive reste courte. Claude est la ligne chère. Fixez 30 jours quand même, sinon l’archive grossit sans plafond.

Les tarifs tokens entre clouds sont dans prix de l’API Claude en Europe. Foundry facture aussi en CCU et n’a pas de zone de données UE. Ce constat est dans Azure AI Foundry en Europe.

CloudWatch, S3, Vertex ou Foundry ?

Prenez CloudWatch avec 30 jours quand la sécurité et le FinOps restent dans le même compte. Prenez S3 quand Athena ou un SIEM doivent lire des fichiers. Prenez les deux dès que les corps dépassent 100 Ko. Vertex écrit des échantillons dans BigQuery et reste en Preview. Foundry a des journaux de diagnostic et aucune zone de données UE.

Chemin	Destination	Lieu UE	Texte du prompt	Défaut	Limite
Journalisation Bedrock	CloudWatch, S3 ou les deux	Votre région source, Paris ou Francfort	Oui, jusqu’à 100 Ko en ligne	Éteint	bedrock-runtime seulement
Journalisation Vertex	BigQuery	Le jeu de données que vous créez	Oui, taux 0 à 1	Éteint, Preview	Les paires de plus de 10 Mo tombent ; Anthropic via REST seulement
Diagnostic Foundry	Storage ou Log Analytics	Votre géographie Azure	Journaux requête-réponse, jusqu’à 2 heures de délai	Éteint	Global Standard ou Data Zone Standard (US), pas de zone UE

Google classe la journalisation requête-réponse en Preview. Claude passe par rawPredict et streamrawPredict. La configuration Anthropic est REST seulement. samplingRate va de 0 à 1. Les paires au-dessus de la limite BigQuery de 10 Mo ne sont pas enregistrées. Pour Claude Mythos Preview, Mythos 5 et Fable 5, Vertex peut partager les journaux avec Anthropic en temps réel si dataSharingEnabledProvider vaut ANTHROPIC. C’est un second destinataire.

Microsoft décrit les journaux de diagnostic : Audit Logs, Request and Response Logs, Azure OpenAI Request Usage, AllMetrics. Les données peuvent mettre jusqu’à deux heures. La comparaison d’hébergement ne change pas : Anthropic est vendeur et sous-traitant. Les types sont Global Standard et Data Zone Standard (US). Il n’existe pas de zone de données UE.

Nous recommandons la journalisation Bedrock à Paris ou à Francfort comme défaut pour les équipes européennes déjà sur le profil UE. Vertex seulement si l’application vit déjà sur Google Cloud et si le jeu de données est dans une location UE. Pas Foundry quand la résidence dans les États membres est l’exigence.

FAQ

La journalisation des invocations Bedrock est-elle activée par défaut en Europe ?

Non. AWS livre l’interrupteur éteint. Une fois activé, les journaux restent jusqu’à la suppression de la configuration. La rétention du groupe est un réglage séparé. Sans politique, CloudWatch garde les données sans limite.

Combien coûte la journalisation Bedrock à côté de Claude ?

Vous payez les tarifs liste Anthropic pour les tokens. Sonnet 5.5 vaut 2 et 10 USD par million de tokens, les hits de cache 0,10 USD, le batch la moitié. CloudWatch facture les gigaoctets. L’offre gratuite est de 5 Go. Les exemples de la page tarifaire utilisent 0,50 USD d’ingestion et 0,03 USD d’archive. Claude reste la ligne lourde.

Journalisation Bedrock ou CloudTrail : de quoi avez-vous besoin ?

CloudTrail dit qui a appelé quel modèle, sans le prompt. La journalisation des invocations dit ce que le prompt et la réponse contenaient. Le FinOps par rôle IAM peut vivre sur CloudTrail plus les métriques. La responsabilité RGPD et l’analyse d’incident ont besoin du contenu, donc de la journalisation avec une courte rétention.

La journalisation capture-t-elle les appels bedrock-mantle ?

Non. Seulement bedrock-runtime, y compris les API compatibles OpenAI sur ce point de terminaison. Mantle en Irlande ou à Stockholm exige un journal applicatif. La fiche modèle place les journaux d’invocation sous bedrock-runtime, pas sous mantle.

Les journaux restent-ils dans l’UE avec le profil UE ?

Le journal est dans la région source où vous avez posé la configuration, Paris ou Francfort. Le profil UE décide où tourne l’inférence. Depuis Paris, ce sont Francfort, Stockholm, Milan, l’Espagne, l’Irlande et Paris. Les prompts peuvent quitter la région source. Le stockage de détection d’abus est dans la région de destination. La journalisation n’est pas un interrupteur de résidence.

La journalisation Vertex remplace-t-elle Bedrock ?

Seulement si l’application tourne déjà sur Google Cloud. La fonction est Preview, REST seulement pour Anthropic, échantillonne vers BigQuery et jette les paires de plus de 10 Mo. Pour Mythos et Fable 5, Google peut partager les journaux avec Anthropic. Bedrock écrit dans votre compte et votre région, sans cet interrupteur de partage.

Sources

1. AWS Bedrock : journalisation des invocations (27 octobre 2026)
2. AWS Bedrock API : PutModelInvocationLoggingConfiguration (27 octobre 2026)
3. AWS CLI : put-model-invocation-logging-configuration (27 octobre 2026)
4. AWS CLI : put-retention-policy (27 octobre 2026)
5. AWS : groupes de journaux CloudWatch Logs (27 octobre 2026)
6. Tarifs Amazon CloudWatch (27 octobre 2026)
7. AWS Bedrock : fiche Claude Sonnet 5.5 (27 octobre 2026)
8. AWS Bedrock : inférence géographique inter-régions (27 octobre 2026)
9. Anthropic : tarifs (27 octobre 2026)
10. Google Cloud : journalisation requête-réponse (27 octobre 2026)
11. Microsoft Learn : comparaison d'hébergement Claude (27 octobre 2026)
12. Microsoft Learn : journaux de diagnostic Foundry (27 octobre 2026)