요약
- 읽기 전용. CloudPeek은 CloudWatch를 읽으며, Amazon Bedrock의 모델 하나를 호출할 수 있습니다. AWS 계정의 어떤 것도 변경하지 않습니다.
- 전용 로그인 정보. 아래 권한만 있는 전용 IAM 사용자 또는 IAM Identity Center 권한 세트를 부여하세요.
- 자격 증명은 기기에 보관되며, iOS에서는 키체인에, Android에서는 Android Keystore의 키로 암호화되어 저장되고, AWS에 대한 요청에 서명하는 데만 사용됩니다.
- CloudPeek 서버 없음. 앱은 AWS와 직접 통신하며, AI 위젯에 Anthropic을 선택한 경우에만 Anthropic과 통신합니다. 분석, 충돌 보고, 광고 코드가 없습니다.
권한
CloudPeek 정책에 있는 작업과 각 작업의 용도는 다음과 같습니다.
| 작업 | 용도 | 없으면 |
|---|---|---|
cloudwatch:ListDashboards | 계정의 대시보드 나열, 그리고 로그인할 때 해당 로그인 정보로 CloudWatch를 읽을 수 있는지 확인. | 로그인 실패: “… CloudWatch 대시보드를 읽을 권한이 없습니다.” |
cloudwatch:GetDashboard | 대시보드를 탐색할 때와 대시보드의 위젯이 새로고침될 때마다 대시보드의 위젯 읽기. | 대시보드 위젯에 “액세스 거부됨”이 표시됩니다. |
cloudwatch:GetMetricData | 모든 그래프, 숫자, 게이지, 막대, 파이, 표의 데이터. | 지표 위젯에 “액세스 거부됨”이 표시됩니다. |
cloudwatch:DescribeAlarms | 경보 위젯과 경보 프리셋(이름이 특정 텍스트로 시작하는 경보만 표시하는 프리셋 포함). | 경보 위젯에 “액세스 거부됨”이 표시됩니다. |
cloudwatch:ListMetrics | 데이터를 표시할 프리셋 추천 및 계정의 리소스 위치 안내. “eu-west-1에 SQS 대기열이(가) 없습니다.”처럼 위젯이 비어 있는 이유 안내. 표시에서 선택할 프리셋 리소스 나열. AI 모델이 지표의 실제 이름을 찾도록 허용. 선택 사항. | 프리셋이 추천 없이 나열되고, 표시에서 선택…이 제공되지 않으며, 비어 있는 위젯에는 “이 시간 범위에 대한 데이터가 없습니다.”만 표시되고(지출의 경우 결제 알림을 켜라는 안내), 모델이 표준 AWS 지표 이름으로 위젯을 작성하므로 제대로 작동하는 경우가 줄어듭니다. |
bedrock:InvokeModel | Amazon Bedrock에서 AI 위젯 작성. 선택 사항. | 대신 AI 위젯에 Anthropic API를 사용하세요. |
organizations:ListAccounts | 조직의 관리 계정에서 계정별 요금에 각 계정 이름 표시. 조직의 관리 계정과, 지출이 관리 계정에 있는 다른 계정 구분. 선택 사항. | 계정 이름은 IAM Identity Center나 계정 탭에서 가져오거나 ID로 표시됩니다. 계정별 지출을 참조하세요. IAM Identity Center로 로그인한 계정의 비어 있는 지출 위젯에는 지출이 관리 계정에 있다고 표시됩니다. |
- 액세스 키 확인에는 권한이 필요 없는
sts:GetCallerIdentity를 사용합니다. IAM Identity Center 로그인에는 할당된 권한 세트 외에 필요한 것이 없습니다. - 리소스
"*": CloudWatch 읽기 작업과organizations:ListAccounts는 이 용도에 대해 리소스 수준 권한을 지원하지 않습니다. Bedrock에서 CloudPeek의 모델만 허용하려면 AI 위젯을 참조하세요. - AWS 관리형 정책:
CloudWatchReadOnlyAccess에는 CloudWatch 작업이 포함되지만 Bedrock이나 AWS Organizations 작업은 포함되지 않습니다. - AWS Organizations의 서비스 제어 정책도 적용됩니다. Bedrock을 거부하는 정책이 있으면 사용자 정책과 관계없이 Bedrock에서 AI 위젯을 사용할 수 없습니다.
자격 증명이 보관되는 위치
- AWS 로그인 정보: 각 계정의 액세스 키, 또는 IAM Identity Center가 발급하는 토큰과 역할 자격 증명은 iOS 키체인의 개별 항목에 보관되며, CloudPeek과 그 위젯 사이에서만 공유됩니다.
- 처음 잠금 해제 후 사용 가능, 이 기기에서만: iPhone이 잠겨 있는 동안에도 위젯을 새로고침할 수 있지만, 재시동한 후 처음 잠금을 해제하기 전에는 새로고침할 수 없습니다. 이 항목은 iCloud 키체인에 동기화되거나 다른 기기로 복원되지 않습니다.
- Identity Center 세션은 조직의 세션 한도까지 앱과 위젯이 갱신합니다.
- Anthropic API 키를 추가하면 이 기기의 키체인에 보관되며, 기기가 잠금 해제된 동안에만 읽을 수 있고, Anthropic에만 전송됩니다.
- 위젯과 위젯의 최신 데이터는 계정별 요금에 표시되는 계정 이름과 마찬가지로 CloudPeek과 그 위젯 사이에서만 공유되는 저장소에 보관됩니다.
- AWS 로그인 정보: 각 계정의 액세스 키, 또는 IAM Identity Center가 발급하는 토큰과 역할 자격 증명은 CloudPeek 전용 저장소의 개별 파일에 AES-256-GCM으로 암호화되어 보관됩니다. 키는 Android Keystore에서 생성되며 Keystore 밖으로 나가지 않습니다.
- 휴대폰이 잠겨 있는 동안에도 사용 가능, 이 기기에서만: 키를 사용하는 데 휴대폰 잠금 해제가 필요하지 않으므로 휴대폰이 잠겨 있는 동안에도 위젯을 새로고침할 수 있습니다. CloudPeek이 저장하는 데이터는 새 휴대폰에서 읽을 수 없으므로 백업되거나 새 휴대폰으로 복사되지 않습니다. 새 휴대폰에서는 계정을 다시 추가하세요.
- Identity Center 세션은 조직의 세션 한도까지 앱과 위젯이 갱신합니다. 브라우저에서 승인 중인 로그인은 같은 방식으로 암호화되어 최대 15분 동안 보관되므로, 그 사이 Android가 앱을 닫더라도 로그인을 완료할 수 있습니다.
- Anthropic API 키를 추가하면 별도의 키를 사용하여 같은 방식으로 암호화되며, Anthropic에만 전송됩니다.
- 위젯과 위젯의 최신 데이터는 계정별 요금에 표시되는 계정 이름과 마찬가지로 앱과 그 위젯만 읽을 수 있는 CloudPeek 전용 저장소에 보관됩니다.
기기 밖으로 전송되는 정보
요청은 휴대폰이나 태블릿에서 다음 서비스로 직접 전송되며, 각 요청은 기기에 있는 계정의 자격 증명으로 서명됩니다.
| 서비스 | 주소 | 전송 시점 |
|---|---|---|
| Amazon CloudWatch | monitoring.<region>.amazonaws.com | 대시보드 나열, 위젯 새로고침, 데이터를 표시할 프리셋과 위젯이 비어 있는 이유 확인, AI 위젯용 지표 찾기 |
| AWS STS | sts.<region>.amazonaws.com | 로그인 정보 확인 |
| IAM Identity Center | oidc.<region>.amazonaws.com, portal.sso.<region>.amazonaws.com | SSO로 로그인, 세션 갱신, 계정별 요금에 계정 이름 표시 |
| AWS Organizations | organizations.us-east-1.amazonaws.com | 계정별 요금에 계정 이름 표시, 비어 있는 지출 위젯의 지출이 관리 계정에 있는지 확인(최대 하루에 한 번) |
| Amazon Bedrock | bedrock-runtime.<region>.amazonaws.com | Bedrock을 사용하는 경우 AI 위젯 작성 |
| Anthropic | api.anthropic.com | Anthropic API를 선택한 경우에만 AI 위젯 작성 |
AWS 중국에서는 AWS 주소가 .amazonaws.com.cn으로 끝나며, AWS Organizations는 cn-northwest-1에 있습니다. IAM Identity Center로 로그인할 때는 브라우저에서 AWS 자체 웹사이트를 통해 로그인을 승인합니다.
AI 모델에 전송되는 정보와 절대 전송되지 않는 정보는 AI 위젯 › 모델이 보는 정보에 나와 있습니다. 개인정보 처리방침에서 앱과 이 웹사이트를 모두 자세히 다룹니다.
CloudPeek의 액세스 권한 회수
기기에서:
- 계정 화면 하단의 계정 제거를 탭하면 해당 계정의 자격 증명과 그 계정으로만 새로고침할 수 있는 위젯이 삭제됩니다. 설정의 모든 계정 제거를 탭하면 모든 계정이 삭제됩니다.
- 설정 › AI 위젯의 API 키 제거를 탭하면 Anthropic API 키가 삭제됩니다.
- iPhone 및 iPad에서는 앱을 삭제한 후에도 iOS가 키체인 항목을 보관할 수 있으므로, CloudPeek을 삭제하기 전에 계정을 제거하세요. Android에서는 CloudPeek을 제거하면 Android Keystore 키를 포함하여 CloudPeek이 저장한 모든 것이 삭제됩니다.
자격 증명이 어디에 있든 작동하지 않도록 AWS에서:
- 액세스 키: IAM 콘솔에서 사용자를 열고 보안 자격 증명으로 이동한 다음 키를 비활성화하거나 삭제하세요. 더 이상 필요하지 않으면 사용자와
CloudPeek정책을 삭제하세요(CLI, CloudFormation, Terraform의 경우 제거 참조). - IAM Identity Center: 계정에서 CloudPeek 권한 세트 할당을 제거하거나 권한 세트를 삭제하세요.
- Anthropic API 키: Anthropic Console에서 키를 취소하세요.