Claude Code pour plus de 120 ingénieurs, avec la maîtrise des coûts par équipe sur Amazon Bedrock

Omar El Hachimi a conçu et construit la plateforme AWS qui permet aux ingénieurs d'AXA d'utiliser Claude Code via Amazon Bedrock : connexion avec le compte de l'entreprise, consommation suivie par personne, budget par équipe avec plafond strict, et coûts refacturés aux centres de coûts. Plus de 120 ingénieurs dans 9 équipes l'utilisent, et les chiffres de la plateforme correspondent à la facture AWS à 0,3 % près.

Rôle Responsable technique, plateforme AWS

120+ingénieurs dans 9 équipes (oct. 2026)

340 000+requêtes suivies (sept. 2026)

0,3 %d'écart entre coûts suivis et facture AWS

1 lignede configuration pour ajouter une équipe

Contexte

Les ingénieurs d'AXA voulaient Claude Code. Trois groupes devaient dire oui avant qu'un pilote puisse démarrer.

La sécurité exigeait la connexion avec le compte de l'entreprise, des données gardées dans une région de l'UE et une liste blanche de serveurs MCP. La finance exigeait que chaque euro soit rattaché à une personne et à une équipe, avec une limite stricte par équipe. L'ingénierie voulait l'outil sans friction.

Fonctionnement

ConnexionL'ingénieur se connecte avec son compte d'entreprise.
UtilisationLes requêtes vont à Claude sur Amazon Bedrock, dans une région de l'UE.
SuiviChaque requête est valorisée et enregistrée pour la personne et l'équipe.
ContrôleAlertes à l'approche du budget ; accès bloqué au plafond.
BilanLes coûts sont refacturés ; chaque équipe voit ses dépenses.

Ce que j'ai construit

Connexion et accès. Un lanceur sur le poste échange la connexion SAML de l'entreprise contre des identifiants AWS temporaires. Chaque équipe a son propre rôle IAM et des profils d'inférence étiquetés pour les coûts, par gamme de modèles, dans une région de l'UE.
Mesure. Les journaux d'appels Bedrock passent par CloudWatch et Kinesis jusqu'à une fonction Lambda qui valorise chaque requête par type de jeton et l'attribue à un utilisateur et à une équipe.
Quotas. Les dépenses et les limites sont stockées dans DynamoDB. Des alertes partent quand une équipe approche de son budget, l'accès est bloqué au plafond, et si une limite ne peut pas être lue, l'accès est refusé. Les budgets repartent à zéro chaque mois.
Refacturation et libre-service. Les coûts sont refacturés au bon centre de coûts. Un outil en ligne de commande et des tableaux de bord permettent à chaque utilisateur et à chaque équipe de voir leurs propres dépenses.
Usine à équipes. Une ligne dans un fichier de configuration crée les rôles, les profils d'inférence, le budget et le tableau de bord d'une équipe avec CloudFormation. Les réglages gérés et la liste blanche MCP arrivent sur les postes par la gestion des appareils.
Le pilote lui-même. Intégration des utilisateurs, support, sessions avec les utilisateurs avancés et comparaison des modes d'accès, puis la revue technique et le dossier de décision go/no-go pour les sponsors du programme.

Choix de conception

Commencer par ceux qui doivent dire oui

La sécurité et la finance décident si un pilote démarre. L'identité, la résidence des données dans l'UE et les budgets par équipe ont été construits avant tout le reste, pour que le pilote démarre avec leur accord.

Refuser par défaut

Si une limite ne peut pas être lue, l'accès est refusé. Un système de quotas qui laisse passer en cas de panne, c'est une facture que personne n'a approuvée.

Vérifier les chiffres face au réel

Les coûts suivis sont rapprochés de la facture AWS. C'est ce qui permet à la finance de refacturer les coûts aux centres de coûts en confiance.

Technologies

Amazon Bedrock · Claude Code · AWS Lambda (Python) · Kinesis · DynamoDB · CloudWatch · SNS · EventBridge · IAM, STS, SAML · CloudFormation · GitHub Actions

Questions

Comment maîtriser les coûts de Claude Code sur Amazon Bedrock ?

Donner à chaque équipe son propre rôle IAM et des profils d'inférence étiquetés pour les coûts, envoyer les journaux d'appels Bedrock vers une fonction qui valorise chaque requête par type de jeton (lectures et écritures de cache comprises), stocker les dépenses et les limites par équipe et par utilisateur, alerter avant la limite, bloquer l'accès au plafond et refacturer les coûts aux centres de coûts. Omar El Hachimi a construit ce dispositif pour le pilote Claude Code d'AXA ; ses chiffres correspondent à la facture AWS à 0,3 % près.

Comment les ingénieurs peuvent-ils utiliser Claude Code avec la connexion de l'entreprise ?

Un lanceur sur le poste échange la connexion SAML de l'entreprise contre des identifiants AWS temporaires et dirige Claude Code vers Amazon Bedrock : pas de clé d'API personnelle, et chaque requête est rattachée à une personne et à une équipe.