Permisos y seguridad · Documentación de CloudPeek

En resumen

Solo lectura. CloudPeek lee CloudWatch y puede llamar a un modelo en Amazon Bedrock. Nunca cambia nada en tu cuenta de AWS.
Su propio acceso. Dale un usuario de IAM o un conjunto de permisos de IAM Identity Center exclusivo, solo con los permisos que se indican más abajo.
Las credenciales se quedan en el dispositivo, en el llavero de iOS o, en Android, cifradas con una clave del Android Keystore, y solo se usan para firmar las solicitudes a AWS.
Sin servidores de CloudPeek. La app se comunica directamente con AWS, y con Anthropic solo si lo eliges para los widgets de IA. No tiene código de analítica, de informes de fallos ni de publicidad.

Permisos

Estas son las acciones de la política de CloudPeek y para qué sirve cada una:

Acción	Se usa para	Sin ella
`cloudwatch:ListDashboards`	Listar los paneles de una cuenta y comprobar, al iniciar sesión, que el acceso puede leer CloudWatch.	El inicio de sesión falla: «… pero no tiene permiso para leer paneles de CloudWatch.»
`cloudwatch:GetDashboard`	Leer los widgets de un panel, cuando lo exploras y cada vez que se actualiza uno de sus widgets.	Los widgets de panel muestran «Acceso denegado».
`cloudwatch:GetMetricData`	Los datos de todos los gráficos, números, indicadores, barras, gráficos circulares y tablas.	Los widgets de métricas muestran «Acceso denegado».
`cloudwatch:DescribeAlarms`	Los widgets de alarmas y las plantillas de alarmas, incluidas las que solo muestran las alarmas cuyo nombre empieza por un texto.	Los widgets de alarmas muestran «Acceso denegado».
`cloudwatch:ListMetrics`	Sugerir las plantillas que mostrarán datos e indicar dónde están los recursos de una cuenta. Indicar por qué un widget está vacío, como «No hay colas de SQS en eu-west-1.» Listar los recursos de una plantilla entre los que elegir en Mostrar. Permitir que el modelo de IA encuentre los nombres reales de tus métricas. Opcional.	Las plantillas aparecen sin sugerencias, Mostrar no ofrece Elegir…, un widget vacío solo indica «Sin datos en este intervalo.» (o, para el gasto, que actives las alertas de facturación) y el modelo escribe a partir de los nombres de métricas estándar de AWS, lo que funciona menos a menudo.
`bedrock:InvokeModel`	Escribir widgets de IA en Amazon Bedrock. Opcional.	Usa Anthropic API para los widgets de IA en su lugar.
`organizations:ListAccounts`	Mostrar el nombre de cada cuenta en los cargos por cuenta, en la cuenta de administración de una organización. Distinguir la cuenta de administración de una organización de sus demás cuentas, cuyo gasto está en la cuenta de administración. Opcional.	Las cuentas toman el nombre de IAM Identity Center o de tu pestaña Cuentas, o se muestran por su ID. Consulta Gasto por cuenta. Un widget de gasto vacío en una cuenta con sesión iniciada mediante IAM Identity Center indica que su gasto está en la cuenta de administración.

Comprobar una clave de acceso usa sts:GetCallerIdentity, que no necesita ningún permiso. El inicio de sesión con IAM Identity Center no necesita nada más que el conjunto de permisos que tienes asignado.
Recurso "*": las acciones de lectura de CloudWatch y organizations:ListAccounts no admiten permisos de nivel de recurso para este uso. Para permitir solo el modelo de CloudPeek en Bedrock, consulta Widgets de IA.
Política administrada de AWS: CloudWatchReadOnlyAccess incluye las acciones de CloudWatch, pero no Bedrock ni AWS Organizations.
Las políticas de control de servicios de AWS Organizations también se aplican. Una que deniegue Bedrock impide los widgets de IA en Bedrock, diga lo que diga la política del usuario.

Dónde se guardan tus credenciales

Accesos de AWS: la clave de acceso de cada cuenta, o los tokens y las credenciales de rol que emite IAM Identity Center, se guardan en su propio elemento del llavero de iOS, compartido solo entre CloudPeek y sus widgets.
Disponibles tras el primer desbloqueo, solo en este dispositivo: los widgets pueden actualizarse mientras el iPhone está bloqueado, pero no entre un reinicio y el primer desbloqueo. Los elementos nunca se sincronizan con el Llavero de iCloud ni se restauran en otro dispositivo.
Las sesiones de Identity Center las renuevan la app y sus widgets, hasta el límite de sesión de tu organización.
Tu clave de API de Anthropic, si añades una, se guarda en el llavero de este dispositivo, solo se puede leer mientras está desbloqueado y solo se envía a Anthropic.
Los widgets y sus últimos datos se guardan en un almacenamiento compartido solo entre CloudPeek y sus widgets, igual que los nombres de cuenta que se muestran en los cargos por cuenta.

Accesos de AWS: la clave de acceso de cada cuenta, o los tokens y las credenciales de rol que emite IAM Identity Center, se guardan en un archivo propio en el almacenamiento privado de CloudPeek, cifrados con AES-256-GCM. La clave se crea en el Android Keystore y nunca sale de él.
Disponibles con el teléfono bloqueado, solo en este dispositivo: la clave no necesita que el teléfono esté desbloqueado, así que los widgets pueden actualizarse mientras está bloqueado. Nada de lo que guarda CloudPeek se incluye en las copias de seguridad ni se copia a un teléfono nuevo, ya que allí no se podría leer; en un teléfono nuevo, vuelve a añadir tus cuentas.
Las sesiones de Identity Center las renuevan la app y sus widgets, hasta el límite de sesión de tu organización. Un inicio de sesión que estás aprobando en el navegador se guarda, cifrado del mismo modo, durante un máximo de 15 minutos, para que pueda completarse si Android cierra la app mientras tanto.
Tu clave de API de Anthropic, si añades una, se cifra del mismo modo, con una clave propia, y solo se envía a Anthropic.
Los widgets y sus últimos datos se guardan en el almacenamiento privado de CloudPeek, que solo pueden leer la app y sus widgets, igual que los nombres de cuenta que se muestran en los cargos por cuenta.

Qué sale de tu dispositivo

Las solicitudes van directamente desde tu teléfono o tableta a estos servicios, cada una firmada con las credenciales de la cuenta que hay en el dispositivo:

Servicio	Dirección	Cuándo
Amazon CloudWatch	`monitoring.<region>.amazonaws.com`	Al listar paneles, actualizar widgets, averiguar qué plantillas muestran datos y por qué un widget está vacío, y buscar métricas para los widgets de IA
AWS STS	`sts.<region>.amazonaws.com`	Al comprobar un acceso
IAM Identity Center	`oidc.<region>.amazonaws.com`, `portal.sso.<region>.amazonaws.com`	Al iniciar sesión con SSO, renovar la sesión y nombrar tus cuentas en los cargos por cuenta
AWS Organizations	`organizations.us-east-1.amazonaws.com`	Al nombrar tus cuentas en los cargos por cuenta y averiguar si el gasto de un widget de gasto vacío está en tu cuenta de administración, como mucho una vez al día
Amazon Bedrock	`bedrock-runtime.<region>.amazonaws.com`	Al escribir un widget de IA, si usas Bedrock
Anthropic	`api.anthropic.com`	Al escribir un widget de IA, solo si eliges Anthropic API

En AWS China, las direcciones de AWS terminan en .amazonaws.com.cn y AWS Organizations está en cn-northwest-1. Cuando inicias sesión con IAM Identity Center, apruebas el inicio de sesión en el propio sitio web de AWS, en tu navegador.

Lo que se envía a un modelo de IA, y lo que nunca se le envía, se detalla en Widgets de IA › Qué ve el modelo. La política de privacidad cubre por completo la app y este sitio web.

Retirar el acceso de CloudPeek

En el dispositivo:

Eliminar cuenta, en la parte inferior de la pantalla de una cuenta, borra sus credenciales y los widgets que solo ella podía actualizar. Eliminar todas las cuentas, en Ajustes, las borra todas.
Eliminar clave de API, en Ajustes › Widgets de IA, borra tu clave de API de Anthropic.
En el iPhone y el iPad, iOS puede conservar los elementos del llavero después de eliminar una app, así que elimina tus cuentas antes de eliminar CloudPeek. En Android, al desinstalar CloudPeek se borra todo lo que guardó, incluidas sus claves del Android Keystore.

En AWS, para que las credenciales dejen de funcionar estén donde estén:

Clave de acceso: en la consola de IAM, abre el usuario, ve a Credenciales de seguridad y desactiva o elimina la clave. Elimina el usuario y la política CloudPeek si ya no los necesitas (consulta Eliminarlo para la CLI, CloudFormation y Terraform).
IAM Identity Center: quita de la cuenta la asignación del conjunto de permisos CloudPeek o elimina el conjunto de permisos.
Clave de API de Anthropic: revócala en la Anthropic Console.