Berechtigungen und Sicherheit · CloudPeek-Dokumentation

Kurz gesagt

Nur Lesezugriff. CloudPeek liest CloudWatch und kann ein Modell in Amazon Bedrock aufrufen. Es ändert nie etwas in deinem AWS-Konto.
Eine eigene Anmeldung. Gib CloudPeek einen eigenen IAM-Benutzer oder Berechtigungssatz in IAM Identity Center, nur mit den unten aufgeführten Berechtigungen.
Anmeldeinformationen bleiben auf dem Gerät, im iOS-Schlüsselbund oder unter Android verschlüsselt mit einem Schlüssel im Android Keystore, und werden nur zum Signieren von Anfragen an AWS verwendet.
Keine CloudPeek-Server. Die App kommuniziert direkt mit AWS und nur dann mit Anthropic, wenn du es für KI-Widgets wählst. Sie enthält keinen Code für Analysen, Absturzberichte oder Werbung.

Berechtigungen

Das sind die Aktionen in der Richtlinie von CloudPeek und wofür jede dient:

Aktion	Verwendet für	Ohne sie
`cloudwatch:ListDashboards`	Auflisten der Dashboards eines Kontos und bei der Anmeldung die Prüfung, ob die Anmeldung CloudWatch lesen darf.	Die Anmeldung schlägt fehl: „… darf keine CloudWatch-Dashboards lesen.“
`cloudwatch:GetDashboard`	Lesen der Widgets eines Dashboards, wenn du es durchsiehst und jedes Mal, wenn eines seiner Widgets aktualisiert wird.	Dashboard-Widgets zeigen „Zugriff verweigert“.
`cloudwatch:GetMetricData`	Die Daten für alle Diagramme, Zahlen, Messanzeigen, Balken, Kreisdiagramme und Tabellen.	Metrik-Widgets zeigen „Zugriff verweigert“.
`cloudwatch:DescribeAlarms`	Alarm-Widgets und die Alarm-Vorlagen, auch solche, die nur die Alarme zeigen, deren Namen mit einem bestimmten Text beginnen.	Alarm-Widgets zeigen „Zugriff verweigert“.
`cloudwatch:ListMetrics`	Vorschlagen der Vorlagen, die Daten zeigen werden, und Angabe, wo die Ressourcen eines Kontos sind. Angabe, warum ein Widget leer ist, etwa „Keine SQS-Warteschlangen in eu-west-1.“ Auflisten der Ressourcen einer Vorlage zur Auswahl unter Anzeigen. Ermöglicht dem KI-Modell, die tatsächlichen Namen deiner Metriken zu finden. Optional.	Vorlagen werden ohne Vorschläge aufgelistet, Anzeigen bietet Auswählen … nicht an, ein leeres Widget zeigt nur „Keine Daten für diesen Zeitbereich.“ (oder bei Ausgaben den Hinweis, die Fakturierungswarnungen zu aktivieren), und das Modell arbeitet mit den Standardnamen der AWS-Metriken, was seltener klappt.
`bedrock:InvokeModel`	Erstellen von KI-Widgets in Amazon Bedrock. Optional.	Verwende stattdessen die Anthropic API für KI-Widgets.
`organizations:ListAccounts`	Anzeige des Namens jedes Kontos bei den Gebühren pro Konto im Verwaltungskonto einer Organisation. Unterscheidung des Verwaltungskontos einer Organisation von ihren anderen Konten, deren Ausgaben im Verwaltungskonto stehen. Optional.	Konten werden nach IAM Identity Center oder deinem Tab Konten benannt oder mit ihrer ID angezeigt. Siehe Ausgaben nach Konto. Ein leeres Ausgaben-Widget in einem Konto, das mit IAM Identity Center angemeldet ist, weist darauf hin, dass seine Ausgaben im Verwaltungskonto stehen.

Das Prüfen eines Zugriffsschlüssels nutzt sts:GetCallerIdentity, wofür keine Berechtigung nötig ist. Die Anmeldung über IAM Identity Center braucht nichts über den dir zugewiesenen Berechtigungssatz hinaus.
Ressource "*": Die CloudWatch-Leseaktionen und organizations:ListAccounts unterstützen für diesen Zweck keine Berechtigungen auf Ressourcenebene. Wie du in Bedrock nur das Modell von CloudPeek erlaubst, steht unter KI-Widgets.
Von AWS verwaltete Richtlinie: CloudWatchReadOnlyAccess enthält die CloudWatch-Aktionen, aber weder Bedrock noch AWS Organizations.
Service-Kontrollrichtlinien in AWS Organizations gelten ebenfalls. Eine, die Bedrock verweigert, stoppt KI-Widgets in Bedrock, unabhängig von der Richtlinie des Benutzers.

Wo deine Anmeldeinformationen gespeichert werden

AWS-Anmeldungen: Der Zugriffsschlüssel jedes Kontos bzw. die Token und Rollen-Anmeldeinformationen, die IAM Identity Center ausstellt, werden jeweils in einem eigenen Eintrag im iOS-Schlüsselbund gespeichert, den nur CloudPeek und seine Widgets gemeinsam nutzen.
Verfügbar nach dem ersten Entsperren, nur auf diesem Gerät: Widgets können aktualisiert werden, während dein iPhone gesperrt ist, aber nicht zwischen einem Neustart und dem ersten Entsperren. Die Einträge werden nie mit dem iCloud-Schlüsselbund synchronisiert oder auf einem anderen Gerät wiederhergestellt.
Identity-Center-Sitzungen werden von der App und ihren Widgets erneuert, bis zum Sitzungslimit deiner Organisation.
Dein Anthropic-API-Schlüssel wird, falls du einen hinzufügst, im Schlüsselbund auf diesem Gerät gespeichert, ist nur lesbar, solange es entsperrt ist, und wird ausschließlich an Anthropic gesendet.
Widgets und ihre neuesten Daten werden in einem Speicher abgelegt, den nur CloudPeek und seine Widgets gemeinsam nutzen, ebenso die Kontonamen, die für Gebühren pro Konto aufgelistet werden.

AWS-Anmeldungen: Der Zugriffsschlüssel jedes Kontos bzw. die Token und Rollen-Anmeldeinformationen, die IAM Identity Center ausstellt, werden jeweils in einer eigenen Datei im privaten Speicher von CloudPeek abgelegt, verschlüsselt mit AES-256-GCM. Der Schlüssel wird im Android Keystore erzeugt und verlässt ihn nie.
Verfügbar auch bei gesperrtem Smartphone, nur auf diesem Gerät: Der Schlüssel setzt kein entsperrtes Smartphone voraus, daher können Widgets aktualisiert werden, während es gesperrt ist. Nichts, was CloudPeek speichert, wird gesichert oder auf ein neues Smartphone kopiert, da es dort nicht lesbar wäre; füge deine Konten auf einem neuen Smartphone erneut hinzu.
Identity-Center-Sitzungen werden von der App und ihren Widgets erneuert, bis zum Sitzungslimit deiner Organisation. Eine Anmeldung, die du gerade im Browser bestätigst, wird auf dieselbe Weise verschlüsselt bis zu 15 Minuten lang aufbewahrt, damit sie abgeschlossen werden kann, falls Android die App inzwischen schließt.
Dein Anthropic-API-Schlüssel wird, falls du einen hinzufügst, auf dieselbe Weise mit einem eigenen Schlüssel verschlüsselt und ausschließlich an Anthropic gesendet.
Widgets und ihre neuesten Daten werden im privaten Speicher von CloudPeek abgelegt, den nur die App und ihre Widgets lesen können, ebenso die Kontonamen, die für Gebühren pro Konto aufgelistet werden.

Was dein Gerät verlässt

Anfragen gehen direkt von deinem Smartphone oder Tablet an diese Services, jeweils signiert mit den Anmeldeinformationen des Kontos auf dem Gerät:

Dienst	Adresse	Wann
Amazon CloudWatch	`monitoring.<region>.amazonaws.com`	Dashboards auflisten, Widgets aktualisieren, ermitteln, welche Vorlagen Daten zeigen und warum ein Widget leer ist, Metriken für KI-Widgets finden
AWS STS	`sts.<region>.amazonaws.com`	Eine Anmeldung prüfen
IAM Identity Center	`oidc.<region>.amazonaws.com`, `portal.sso.<region>.amazonaws.com`	Per SSO anmelden, die Sitzung erneuern und deine Konten bei Gebühren pro Konto benennen
AWS Organizations	`organizations.us-east-1.amazonaws.com`	Deine Konten bei Gebühren pro Konto benennen und erkennen, ob die Ausgaben eines leeren Ausgaben-Widgets in deinem Verwaltungskonto stehen, höchstens einmal pro Tag
Amazon Bedrock	`bedrock-runtime.<region>.amazonaws.com`	Ein KI-Widget erstellen, wenn du Bedrock verwendest
Anthropic	`api.anthropic.com`	Ein KI-Widget erstellen, nur wenn du die Anthropic API wählst

In AWS China enden die AWS-Adressen auf .amazonaws.com.cn, und AWS Organizations liegt in cn-northwest-1. Wenn du dich mit IAM Identity Center anmeldest, bestätigst du die Anmeldung auf der Website von AWS selbst, in deinem Browser.

Was an ein KI-Modell gesendet wird und was nie, steht unter KI-Widgets › Was das Modell sieht. Die Datenschutzerklärung deckt die App und diese Website vollständig ab.

CloudPeek den Zugriff entziehen

Auf dem Gerät:

Konto entfernen unten in der Ansicht eines Kontos löscht seine Anmeldeinformationen und die Widgets, die nur dieses Konto aktualisieren konnte. Alle Konten entfernen in den Einstellungen löscht sie alle.
API-Schlüssel entfernen in Einstellungen › KI-Widgets löscht deinen Anthropic-API-Schlüssel.
Auf iPhone und iPad kann iOS Schlüsselbundeinträge behalten, nachdem eine App gelöscht wurde; entferne deine Konten daher, bevor du CloudPeek löschst. Unter Android löscht die Deinstallation von CloudPeek alles, was es gespeichert hat, einschließlich seiner Schlüssel im Android Keystore.

In AWS, damit die Anmeldeinformationen nirgends mehr funktionieren:

Zugriffsschlüssel: Öffne in der IAM-Konsole den Benutzer, dann Sicherheitsanmeldeinformationen, und deaktiviere oder lösche den Schlüssel. Lösche den Benutzer und die Richtlinie CloudPeek, wenn du sie nicht mehr brauchst (siehe Wieder entfernen für CLI, CloudFormation und Terraform).
IAM Identity Center: Entferne die Zuweisung des Berechtigungssatzes CloudPeek vom Konto oder lösche den Berechtigungssatz.
Anthropic-API-Schlüssel: Widerrufe ihn in der Anthropic Console.