要点
- 読み取り専用。CloudPeekはCloudWatchを読み取り、Amazon Bedrockの1つのモデルを呼び出すことがあります。AWSアカウント内のものを変更することは一切ありません。
- 専用のサインイン。以下のアクセス許可だけを持つ、専用のIAMユーザーまたはIAM Identity Centerの許可セットを用意します。
- 認証情報はデバイス上に保存され、iOSではiOSキーチェーンに、AndroidではAndroid Keystoreの鍵で暗号化して保存されます。AWSへのリクエストの署名にのみ使われます。
- CloudPeekのサーバはありません。アプリはAWSと直接通信し、AIウィジェットにAnthropicを選んだ場合に限りAnthropicとも通信します。分析、クラッシュレポート、広告のコードは含まれていません。
アクセス許可
CloudPeekのポリシーに含まれるアクションと、それぞれの用途は次のとおりです：
| アクション | 用途 | ない場合 |
|---|---|---|
cloudwatch:ListDashboards | アカウントのダッシュボードの一覧表示と、サインイン時にそのサインインでCloudWatchを読み取れるかどうかの確認。 | サインインに失敗します：「…CloudWatchダッシュボードを読み取る許可がありません。」 |
cloudwatch:GetDashboard | ダッシュボードのウィジェットの読み取り（ダッシュボードの閲覧時と、そのウィジェットの更新時）。 | ダッシュボードウィジェットに「アクセス拒否」と表示されます。 |
cloudwatch:GetMetricData | すべてのグラフ、数値、ゲージ、棒グラフ、円グラフ、表のデータ。 | メトリクスウィジェットに「アクセス拒否」と表示されます。 |
cloudwatch:DescribeAlarms | アラームのウィジェットとアラームのプリセット（名前が特定の文字列で始まるアラームだけを表示するものも含む）。 | アラームのウィジェットに「アクセス拒否」と表示されます。 |
cloudwatch:ListMetrics | データが表示されるプリセットのおすすめと、アカウントのリソースの場所の表示。「eu-west-1にSQSキューはありません。」のような、ウィジェットが空である理由の表示。表示で選ぶプリセットのリソースの一覧表示。AIモデルによるメトリクスの実際の名前の検索。任意。 | プリセットはおすすめなしで一覧表示され、表示に選択…が表示されず、空のウィジェットには「この時間範囲のデータはありません。」とだけ表示されます（支出の場合は、請求アラートを有効にするよう表示されます）。また、モデルは標準のAWSメトリクス名からウィジェットを作成するため、うまくいかないことが多くなります。 |
bedrock:InvokeModel | Amazon BedrockでのAIウィジェットの作成。任意。 | 代わりにAnthropic APIでAIウィジェットを作成します。 |
organizations:ListAccounts | 組織の管理アカウントでの、アカウント別の料金への各アカウント名の表示。組織の管理アカウントと、支出が管理アカウントにあるそれ以外のアカウントとの区別。任意。 | アカウント名は、IAM Identity Centerまたはアカウントタブから取得されるか、IDで表示されます。アカウント別の支出を参照してください。IAM Identity Centerでサインインしたアカウントでは、空の支出ウィジェットに、支出は管理アカウントにあると表示されます。 |
- アクセスキーの確認には
sts:GetCallerIdentityを使いますが、これにアクセス許可は不要です。IAM Identity Centerでのサインインには、割り当てられた許可セット以外に必要なものはありません。 - リソース
"*"：CloudWatchの読み取りアクションとorganizations:ListAccountsは、この用途ではリソースレベルのアクセス許可に対応していません。BedrockでCloudPeekのモデルだけを許可するには、AIウィジェットを参照してください。 - AWS管理ポリシー：
CloudWatchReadOnlyAccessにはCloudWatchのアクションが含まれますが、BedrockとAWS Organizationsのアクションは含まれません。 - AWS Organizationsのサービスコントロールポリシーも適用されます。Bedrockを拒否するポリシーがあると、ユーザーのポリシーにかかわらず、BedrockでのAIウィジェットは使えません。
認証情報の保管場所
- AWSのサインイン：各アカウントのアクセスキー、またはIAM Identity Centerが発行するトークンとロールの認証情報は、iOSキーチェーンのアカウントごとの項目に保存され、CloudPeekとそのウィジェットの間でのみ共有されます。
- 最初のロック解除後に利用可能、このデバイスのみ：iPhoneがロックされている間もウィジェットは更新できますが、再起動してから最初にロックを解除するまでは更新できません。これらの項目がiCloudキーチェーンに同期されたり、別のデバイスに復元されたりすることはありません。
- Identity Centerのセッションは、組織のセッション上限に達するまで、アプリとそのウィジェットによって更新されます。
- Anthropic APIキーを追加した場合は、このデバイスのキーチェーンに保存され、ロックが解除されている間だけ読み取れます。送信先はAnthropicだけです。
- ウィジェットとその最新のデータは、アカウント別の料金に表示するアカウント名と同じく、CloudPeekとそのウィジェットの間でのみ共有されるストレージに保存されます。
- AWSのサインイン：各アカウントのアクセスキー、またはIAM Identity Centerが発行するトークンとロールの認証情報は、CloudPeekのプライベートストレージにアカウントごとのファイルとして、AES-256-GCMで暗号化して保存されます。鍵はAndroid Keystoreで生成され、その外に出ることはありません。
- スマートフォンのロック中も利用可能、このデバイスのみ：鍵の使用にスマートフォンのロック解除は不要なため、ロック中もウィジェットを更新できます。CloudPeekが保存するデータは新しいスマートフォンでは読み取れないため、バックアップされたり新しいスマートフォンにコピーされたりすることはありません。新しいスマートフォンでは、アカウントをもう一度追加してください。
- Identity Centerのセッションは、組織のセッション上限に達するまで、アプリとそのウィジェットによって更新されます。ブラウザで承認中のサインインは、同じ方法で暗号化して最大15分間保持されるため、その間にAndroidがアプリを閉じてもサインインを完了できます。
- Anthropic APIキーを追加した場合は、専用の鍵を使って同じ方法で暗号化されます。送信先はAnthropicだけです。
- ウィジェットとその最新のデータは、アカウント別の料金に表示するアカウント名と同じく、アプリとそのウィジェットだけが読み取れるCloudPeekのプライベートストレージに保存されます。
デバイスから送信されるデータ
リクエストは、スマートフォンやタブレットから次のサービスに直接送信され、それぞれデバイス上のアカウントの認証情報で署名されます：
| サービス | アドレス | タイミング |
|---|---|---|
| Amazon CloudWatch | monitoring.<region>.amazonaws.com | ダッシュボードの一覧表示、ウィジェットの更新、データが表示されるプリセットやウィジェットが空である理由の確認、AIウィジェット用のメトリクスの検索 |
| AWS STS | sts.<region>.amazonaws.com | サインインの確認 |
| IAM Identity Center | oidc.<region>.amazonaws.com, portal.sso.<region>.amazonaws.com | SSOでのサインイン、セッションの更新、アカウント別の料金でのアカウント名の表示 |
| AWS Organizations | organizations.us-east-1.amazonaws.com | アカウント別の料金でのアカウント名の表示と、空の支出ウィジェットの支出が管理アカウントにあるかどうかの確認（最大1日1回） |
| Amazon Bedrock | bedrock-runtime.<region>.amazonaws.com | AIウィジェットの作成（Bedrockを使う場合） |
| Anthropic | api.anthropic.com | AIウィジェットの作成（Anthropic APIを選んだ場合のみ） |
AWS中国リージョンでは、AWSのアドレスは.amazonaws.com.cnで終わり、AWS Organizationsはcn-northwest-1にあります。IAM Identity Centerでサインインする場合は、ブラウザでAWS自身のWebサイトにアクセスしてサインインを承認します。
AIモデルに送信されるものと、決して送信されないものは、AIウィジェット › モデルが参照する情報に記載しています。アプリとこのWebサイトの詳細は、プライバシーポリシーで説明しています。
CloudPeekのアクセス権を取り消す
デバイスで：
- アカウントの画面の一番下にあるアカウントを削除で、そのアカウントの認証情報と、そのアカウントでしか更新できないウィジェットが削除されます。設定のすべてのアカウントを削除で、すべてのアカウントが削除されます。
- 設定 › AIウィジェットのAPIキーを削除で、Anthropic APIキーが削除されます。
- iPhoneとiPadでは、アプリを削除してもiOSがキーチェーンの項目を保持することがあるため、CloudPeekを削除する前にアカウントを削除してください。Androidでは、CloudPeekをアンインストールすると、Android Keystoreの鍵も含め、保存されていたものがすべて削除されます。
AWSで、認証情報がどこにあっても使えないようにします：
- アクセスキー：IAMコンソールでユーザーを開き、セキュリティ認証情報でキーを無効化または削除します。不要になったら、ユーザーと
CloudPeekポリシーも削除します（CLI、CloudFormation、Terraformでの方法は削除するを参照）。 - IAM Identity Center：アカウントからCloudPeek許可セットの割り当てを削除するか、許可セットを削除します。
- Anthropic APIキー：Anthropic Consoleで無効にします。