Appearance
Kiro CLI Enterprise Concepts 用于理解团队订阅和治理的基础术语。管理员需要区分 IAM Identity Center、Kiro profile、AWS Region、group subscription、enterprise user、credits 和 subscription tier，才能正确配置企业级 Kiro。
Kiro CLI Enterprise Concepts：IAM Identity Center、Profile 和 Credits
企业版 Kiro 不只是“给团队买订阅”。管理员需要理解 Kiro 如何和 AWS account、IAM Identity Center、Region、profile 和 subscription tier 绑定，否则很容易在用户管理、账单和治理策略上混淆。
这篇先解释 Kiro CLI 企业管理中的核心概念。
AWS IAM Identity Center
AWS IAM Identity Center 是 AWS 用来集中管理用户身份的服务。Kiro 企业订阅会通过它管理用户身份，并让用户通过 IAM Identity Center、Okta 或 Microsoft Entra ID 等方式访问 Kiro。
如果团队已经使用企业 IdP，Kiro 的用户接入会围绕这个身份体系展开。
AWS Region
AWS Region 是 AWS 数据中心集群所在的地理区域。对 Kiro 管理员来说，至少有两个 Region 需要区分：
- IAM Identity Center 启用所在 Region：用户身份和订阅存储的位置。
- Kiro profile 创建所在 Region：Kiro 数据存储的位置，可能和 IAM Identity Center Region 不同。
如果同一用户在不同 Region 的 profile 中被订阅，账单可能会重复计算。
Group
Group 是 IAM Identity Center 中的一组用户。把某个 group 订阅到 Kiro 时，真正被订阅的是 group 里的每个用户。
也就是说，Kiro 没有“group subscription”这个独立概念，group 只是批量管理用户订阅的入口。
Kiro console
Kiro console 是 AWS Console 中的 Kiro 管理入口。管理员可以在这里：
- 创建和管理 Kiro subscriptions。
- 控制团队设置。
- 配置治理策略。
- 管理 users 和 groups。
在 AWS services 下拉列表中，它显示为 Kiro。
Kiro credits
Kiro credits 是衡量 AI-powered features 使用量的单位。用户与 Kiro 的 AI 能力交互时会消耗 credits，订阅 tier 会决定 credits 额度。
复杂任务、长上下文、自动化流程通常比短 prompt 消耗更多 credits。
Kiro enterprise user
Kiro enterprise user 指通过 AWS console 添加并订阅到某个 Kiro tier 的用户。
这些用户可以通过 IAM Identity Center、Okta 或 Microsoft Entra ID 等方式访问 Kiro。
Kiro profile
Kiro profile 是企业管理抽象，用来定义和执行某个 AWS account + Region 下的 admin settings 和 subscriptions。
关键点：
- 一个 Kiro profile 对应一个 AWS account 和一个 Region 的组合。
- 同一个 AWS account 在同一 Region 只能有一个 profile。
- profile 通过 Kiro console 创建。
- subscriptions 和 governance settings 都围绕 profile 生效。
理解 profile 很重要，因为它决定了订阅、数据位置和治理策略的边界。
Kiro subscription tier
Kiro subscription tier 是带有固定 credits 额度的定价计划，例如 Pro、Pro+、Power。
团队管理时，tier 决定用户当月可使用的 credits 上限，也影响 overage 和账单策略。
常见问题
Q: Kiro 的 group subscription 是按组收费吗？
A: 不是。订阅 group 时，Kiro 会把组内用户逐个订阅；计费仍按用户计算。
Q: Kiro profile 和 AWS account 有什么关系？
A: Kiro profile 对应某个 AWS account 和 Region 的组合，同一 account 在同一 Region 只能有一个 profile。
Q: IAM Identity Center Region 和 Kiro profile Region 必须一样吗？
A: 不一定。IAM Identity Center 管用户身份和订阅，Kiro profile Region 管 Kiro 数据位置，两者可能不同。