Autorisations et sécurité · Documentation CloudPeek

En bref

Lecture seule. CloudPeek lit CloudWatch et peut appeler un modèle dans Amazon Bedrock. Il ne modifie jamais rien dans votre compte AWS.
Un accès dédié. Donnez-lui un utilisateur IAM ou un ensemble d’autorisations IAM Identity Center dédié, avec uniquement les autorisations ci-dessous.
Les informations d’identification restent sur l’appareil, dans le trousseau d’iOS ou, sur Android, chiffrées avec une clé de l’Android Keystore, et ne servent qu’à signer les requêtes envoyées à AWS.
Aucun serveur CloudPeek. L’app communique directement avec AWS, et avec Anthropic uniquement si vous le choisissez pour les widgets IA. Elle ne contient aucun code d’analyse, de rapport de plantage ou de publicité.

Autorisations

Voici les actions de la politique de CloudPeek, et l’utilité de chacune :

Action	Utilisée pour	Sans elle
`cloudwatch:ListDashboards`	Lister les tableaux de bord d’un compte, et vérifier à la connexion que l’accès peut lire CloudWatch.	La connexion échoue : « … mais cette identité n’est pas autorisée à lire les tableaux de bord CloudWatch. »
`cloudwatch:GetDashboard`	Lire les widgets d’un tableau de bord, quand vous le parcourez et chaque fois que l’un de ses widgets s’actualise.	Les widgets de tableau de bord affichent « Accès refusé ».
`cloudwatch:GetMetricData`	Les données de chaque graphique, nombre, jauge, graphique à barres ou à secteurs et tableau.	Les widgets de métriques affichent « Accès refusé ».
`cloudwatch:DescribeAlarms`	Les widgets d’alarmes et les préréglages d’alarmes, y compris ceux qui n’affichent que les alarmes dont le nom commence par un certain texte.	Les widgets d’alarmes affichent « Accès refusé ».
`cloudwatch:ListMetrics`	Suggérer les préréglages qui afficheront des données, et indiquer où se trouvent les ressources d’un compte. Expliquer pourquoi un widget est vide, par exemple « Aucune file d’attente SQS dans eu-west-1. » Lister les ressources d’un préréglage à choisir sous Afficher. Permettre au modèle d’IA de trouver les vrais noms de vos métriques. Facultative.	Les préréglages sont listés sans suggestions, Afficher ne propose pas Choisir…, un widget vide affiche seulement « Aucune donnée pour cette plage de temps. » (ou, pour les dépenses, invite à activer les alertes de facturation), et le modèle écrit à partir des noms de métriques AWS standard, ce qui fonctionne moins souvent.
`bedrock:InvokeModel`	Écrire des widgets IA dans Amazon Bedrock. Facultative.	Utilisez plutôt l’API Anthropic pour les widgets IA.
`organizations:ListAccounts`	Afficher le nom de chaque compte dans les frais par compte, dans le compte de gestion d’une organisation. Distinguer le compte de gestion d’une organisation de ses autres comptes, dont les dépenses se trouvent dans le compte de gestion. Facultative.	Les comptes sont nommés d’après IAM Identity Center ou votre onglet Comptes, ou affichés par leur ID. Voir Dépenses par compte. Un widget de dépenses vide dans un compte connecté avec IAM Identity Center indique que ses dépenses se trouvent dans le compte de gestion.

La vérification d’une clé d’accès utilise sts:GetCallerIdentity, qui ne nécessite aucune autorisation. La connexion avec IAM Identity Center ne nécessite rien de plus que l’ensemble d’autorisations qui vous est attribué.
Ressource "*" : les actions de lecture CloudWatch et organizations:ListAccounts ne prennent pas en charge les autorisations au niveau des ressources pour cet usage. Pour n’autoriser que le modèle de CloudPeek dans Bedrock, voir Widgets IA.
Politique gérée par AWS : CloudWatchReadOnlyAccess inclut les actions CloudWatch, mais pas Bedrock ni AWS Organizations.
Les politiques de contrôle des services d’AWS Organizations s’appliquent aussi. Une politique qui refuse Bedrock bloque les widgets IA dans Bedrock, quelle que soit la politique de l’utilisateur.

Où sont conservées vos informations d’identification

Accès AWS : la clé d’accès de chaque compte, ou les jetons et les informations d’identification de rôle émis par IAM Identity Center, sont conservés dans un élément distinct du trousseau d’iOS, partagé uniquement entre CloudPeek et ses widgets.
Disponibles après le premier déverrouillage, sur cet appareil uniquement : les widgets peuvent s’actualiser pendant que votre iPhone est verrouillé, mais pas entre un redémarrage et le premier déverrouillage. Les éléments ne sont jamais synchronisés avec le trousseau iCloud ni restaurés sur un autre appareil.
Les sessions Identity Center sont renouvelées par l’app et par ses widgets, jusqu’à la limite de session de votre organisation.
Votre clé API Anthropic, si vous en ajoutez une, est conservée dans le trousseau de cet appareil, lisible uniquement lorsqu’il est déverrouillé, et n’est jamais envoyée qu’à Anthropic.
Les widgets et leurs dernières données sont conservés dans un stockage partagé uniquement entre CloudPeek et ses widgets, tout comme les noms de comptes listés pour les frais par compte.

Accès AWS : la clé d’accès de chaque compte, ou les jetons et les informations d’identification de rôle émis par IAM Identity Center, sont conservés dans un fichier distinct du stockage privé de CloudPeek, chiffrés en AES-256-GCM. La clé est créée dans l’Android Keystore et n’en sort jamais.
Disponibles pendant que le téléphone est verrouillé, sur cet appareil uniquement : la clé ne nécessite pas que le téléphone soit déverrouillé, si bien que les widgets peuvent s’actualiser pendant qu’il est verrouillé. Rien de ce que CloudPeek stocke n’est sauvegardé ni copié sur un nouveau téléphone, car ces données ne pourraient pas y être lues ; sur un nouveau téléphone, ajoutez à nouveau vos comptes.
Les sessions Identity Center sont renouvelées par l’application et par ses widgets, jusqu’à la limite de session de votre organisation. Une connexion que vous êtes en train d’approuver dans le navigateur est conservée, chiffrée de la même façon, pendant 15 minutes au maximum, pour pouvoir aboutir si Android ferme l’application entre-temps.
Votre clé API Anthropic, si vous en ajoutez une, est chiffrée de la même façon, avec sa propre clé, et n’est jamais envoyée qu’à Anthropic.
Les widgets et leurs dernières données sont conservés dans le stockage privé de CloudPeek, que seuls l’application et ses widgets peuvent lire, tout comme les noms de comptes listés pour les frais par compte.

Ce qui quitte votre appareil

Les requêtes vont directement de votre téléphone ou de votre tablette vers ces services, chacune signée avec les informations d’identification du compte présentes sur l’appareil :

Service	Adresse	Quand
Amazon CloudWatch	`monitoring.<region>.amazonaws.com`	Lister les tableaux de bord, actualiser les widgets, déterminer quels préréglages affichent des données et pourquoi un widget est vide, trouver des métriques pour les widgets IA
AWS STS	`sts.<region>.amazonaws.com`	Vérifier un accès
IAM Identity Center	`oidc.<region>.amazonaws.com`, `portal.sso.<region>.amazonaws.com`	Se connecter avec SSO, renouveler la session et nommer vos comptes dans les frais par compte
AWS Organizations	`organizations.us-east-1.amazonaws.com`	Nommer vos comptes dans les frais par compte, et déterminer si les dépenses d’un widget de dépenses vide se trouvent dans votre compte de gestion, au plus une fois par jour
Amazon Bedrock	`bedrock-runtime.<region>.amazonaws.com`	Écrire un widget IA, si vous utilisez Bedrock
Anthropic	`api.anthropic.com`	Écrire un widget IA, uniquement si vous choisissez l’API Anthropic

Dans AWS Chine, les adresses AWS se terminent par .amazonaws.com.cn, et AWS Organizations se trouve dans cn-northwest-1. Quand vous vous connectez avec IAM Identity Center, vous approuvez la connexion sur le site web d’AWS lui-même, dans votre navigateur.

Ce qui est envoyé à un modèle d’IA, et ce qui ne l’est jamais, est détaillé dans Widgets IA › Ce que voit le modèle. La politique de confidentialité couvre intégralement l’app et ce site web.

Retirer l’accès de CloudPeek

Sur l’appareil :

Supprimer le compte, en bas de l’écran d’un compte, supprime ses informations d’identification et les widgets que lui seul pouvait actualiser. Supprimer tous les comptes, dans Réglages (Paramètres sur Android), les supprime tous.
Supprimer la clé API, dans Réglages › Widgets IA, supprime votre clé API Anthropic.
Sur iPhone et iPad, iOS peut conserver les éléments du trousseau après la suppression d’une app : supprimez donc vos comptes avant de supprimer CloudPeek. Sur Android, désinstaller CloudPeek supprime tout ce que l’application a stocké, y compris ses clés de l’Android Keystore.

Dans AWS, pour que les informations d’identification cessent de fonctionner où qu’elles se trouvent :

Clé d’accès : dans la console IAM, ouvrez l’utilisateur, puis Informations d’identification de sécurité, et désactivez ou supprimez la clé. Supprimez l’utilisateur et la politique CloudPeek si vous n’en avez plus besoin (voir Suppression pour l’AWS CLI, CloudFormation et Terraform).
IAM Identity Center : retirez l’attribution de l’ensemble d’autorisations CloudPeek au compte, ou supprimez l’ensemble d’autorisations.
Clé API Anthropic : révoquez-la dans la console Anthropic.