AWS Bedrock 与 IAM role

Bedrock 让模型推理由自己的 AWS 账号计费。官方推荐 IAM role，配置入口在 Cursor dashboard，不在 IDE；IDE 也可用 access key/secret key。请求仍经 Cursor prompt-building 后端，不能把 Bedrock 当作全部请求只在客户 AWS 内完成。

IAM 权限

Role trust 允许 arn:aws:iam::289469326074:role/roleAssumer 执行 sts:AssumeRole，并以 StringEquals 限制 sts:ExternalId。权限策略需要 bedrock:InvokeModel 与 bedrock:InvokeModelWithResponseStream，Resource 按获准模型和区域缩小。

External ID 从 dashboard 配置验证后生成并复制回 trust policy。官方步骤先引用该值、后说明生成时机；如果首次验证流程无法取得 ID，按实际 dashboard 指引处理，不为绕过验证而擅自移除 ExternalId 条件。

在 Bedrock 启用模型。旧 console 用 Model access > Manage model access；新 console 可能改为 Model catalog，按官方说明由具备 Marketplace 权限的账号在 Playground 首次调用激活。

验证与用户开关

Dashboard > Settings > Bedrock IAM Role 填 Role ARN、AWS Region、Test Model ID，Validate & Save。团队 role 验证成功不会自动切换全员请求。

每个用户还需在 Cursor Settings > Models > AWS Bedrock 打开默认关闭的 toggle，并明确选择 raw Bedrock model ID，例如 us.anthropic.claude-sonnet-5。非美国区域可显示 eu./apac./ca. 前缀，按实际 picker 选择。

普通显示名与 Auto 不应当作 Bedrock 路由保证。官方同页也提示 toggle 开启时选不受支持模型可能报 not supported by bedrock；需回 Cursor-hosted 时关 toggle，验证实际选项与请求归类。

排障

Access denied 时核对 role ARN、Cursor principal、External ID 和模型启用状态；model not found 时检查地区前缀、目标 ARN 与区域资格。团队配置未刷新时重启客户端。

两套账单

Bedrock 用量在 Cursor 中归 User API Key，模型成本接近零，因为 AWS 另行收费。适用套餐仍有 cursorTokenFee，chargedCents 可非零；Cursor 对账汇总该字段，AWS inference 费用用 AWS billing/Cost Explorer。

自带 key 不受 Cursor ZDR 保证覆盖，具体数据政策和地区按实际 AWS 配置核实。