> ## Documentation Index
> Fetch the complete documentation index at: https://docs.abbyy.com/llms.txt
> Use this file to discover all available pages before exploring further.

# IAM und Abrechnung

Über AWS Marketplace wird FineParser Enterprise pro Worker-Pod-Stunde zum im Angebot ausgewiesenen Tarif abgerechnet. Jeder Worker registriert sich beim Start bei AWS Marketplace, und seine Nutzung wird erfasst, bis er gestoppt wird. Orchestrator und Ingest-Service werden nicht abgerechnet, sodass für einen auf null skalierten Pool keine Softwaregebühren anfallen. Worker, die aufgrund von `scaling.minWorkers` weiterlaufen, werden abgerechnet – unabhängig davon, ob sie Aufgaben bearbeiten oder nicht.

Worker registrieren sich über IAM-Rollen für Dienstkonten (IRSA) mit einer IAM-Rolle in Ihrem Konto. EKS Pod Identity, Knotenrollen und Zugriffsschlüssel werden nicht unterstützt. Ein Worker, der sich nicht registrieren kann, wird beendet, ohne Aufgaben zu übernehmen.

## Rolle und Dienstkonto erstellen

Die Rolle benötigt die von AWS verwaltete Richtlinie `AWSMarketplaceMeteringRegisterUsage` und muss dem Dienstkonto vertrauen, unter dem das Release ausgeführt wird.

> [!WARNING]
>
> `AWSMarketplaceMeteringFullAccess` gewährt trotz des Namens keine Berechtigung für `RegisterUsage`. Worker, die damit signieren, werden abgewiesen.

> [tab] Eigenes Dienstkonto
>
> `eksctl` erstellt die Rolle und ein annotiertes Dienstkonto in einem Schritt:
>
> ```bash theme={null}
> eksctl create iamserviceaccount \
>   --cluster <cluster> --region <region> \
>   --namespace fineparser --name fineparser \
>   --role-name FineParserMetering \
>   --attach-policy-arn arn:aws:iam::aws:policy/AWSMarketplaceMeteringRegisterUsage \
>   --approve
> ```
>
> ```yaml fineparser-values.yaml theme={null}
> serviceAccount:
>   create: false
>   name: fineparser
> ```
>
> Die Startanweisungen von AWS Marketplace füllen `serviceAccount.name` möglicherweise vorab aus. Der Wert muss auf ein Dienstkonto verweisen, das auf diese Weise eingerichtet wurde.

> [tab] Vom Chart erstelltes Dienstkonto
>
> Bei einem Release mit dem Namen `fineparser` erhält das Dienstkonto des Charts den Namen `fineparser-orchestrator`. Erstellen Sie eine Rolle, die diesem Namen vertraut, und versehen Sie das Konto des Charts anschließend mit einer entsprechenden Annotation:
>
> ```bash theme={null}
> eksctl create iamserviceaccount \
>   --cluster <cluster> --region <region> \
>   --namespace fineparser --name fineparser-orchestrator \
>   --role-name FineParserMetering --role-only \
>   --attach-policy-arn arn:aws:iam::aws:policy/AWSMarketplaceMeteringRegisterUsage \
>   --approve
> ```
>
> ```yaml fineparser-values.yaml theme={null}
> serviceAccount:
>   annotations:
>     eks.amazonaws.com/role-arn: arn:aws:iam::<account>:role/FineParserMetering
> ```

Wenn Sie die Rolle auf andere Weise erstellen, muss ihre Vertrauensrichtlinie `sts:AssumeRoleWithWebIdentity` für den OIDC-Provider des Clusters zulassen, wobei `sub` auf `system:serviceaccount:<namespace>:<service-account>` und `aud` auf `sts.amazonaws.com` gesetzt sein muss.

## Region

Worker registrieren sich in der Region, die vom EKS Pod Identity Webhook injiziert wird. Legen Sie `awsMarketplace.region` nur dann fest, wenn Ihr Cluster `AWS_REGION` nicht injiziert.

## Abrechnung überprüfen

Sobald ein Job einen Worker gestartet hat:

```bash theme={null}
kubectl -n fineparser logs deploy/fineparser-worker | grep billing
# billing: bei AWS Marketplace registriert; dieser Pod wird stündlich abgerechnet
```

Jede andere Ausgabe nennt das Problem. Siehe [Fehlerbehebung](https://docs.abbyy.com/de/fine-parser/enterprise/reference/troubleshooting.md#workers-exit-at-startup).