Em resumo
- Somente leitura. O CloudPeek lê o CloudWatch e pode chamar um modelo no Amazon Bedrock. Ele nunca muda nada na sua conta da AWS.
- Um login próprio. Dê a ele um usuário do IAM ou um conjunto de permissões do IAM Identity Center exclusivo, só com as permissões abaixo.
- As credenciais ficam no dispositivo, no Porta-chaves do iOS ou, no Android, criptografadas com uma chave no Android Keystore, e só são usadas para assinar solicitações à AWS.
- Nenhum servidor do CloudPeek. O app se comunica direto com a AWS, e com a Anthropic só se você escolhê-la para os widgets de IA. Ele não tem código de análise, de relatório de falhas nem de publicidade.
Permissões
Estas são as ações da política do CloudPeek e para que serve cada uma:
| Ação | Usada para | Sem ela |
|---|---|---|
cloudwatch:ListDashboards | Listar os painéis de uma conta e verificar, no login, se o login pode ler o CloudWatch. | O login falha: “…, mas essa identidade não tem permissão para ler painéis do CloudWatch.” |
cloudwatch:GetDashboard | Ler os widgets de um painel quando você o navega e sempre que um dos widgets dele é atualizado. | Os widgets de painel mostram “Acesso negado”. |
cloudwatch:GetMetricData | Os dados de todos os gráficos, números, medidores, barras, pizzas e tabelas. | Os widgets de métricas mostram “Acesso negado”. |
cloudwatch:DescribeAlarms | Os widgets de alarmes e as predefinições de alarmes, inclusive as que mostram só os alarmes cujo nome começa com um texto. | Os widgets de alarmes mostram “Acesso negado”. |
cloudwatch:ListMetrics | Sugerir as predefinições que vão mostrar dados e dizer onde estão os recursos de uma conta. Dizer por que um widget está vazio, como “Sem filas do SQS em eu-west-1.” Listar os recursos de uma predefinição para escolher em Mostrar. Deixar o modelo de IA encontrar os nomes reais das suas métricas. Opcional. | As predefinições aparecem sem sugestões, Mostrar não oferece Escolher…, um widget vazio diz apenas “Sem dados para este intervalo de tempo.” (ou, para gastos, que é preciso ativar os alertas de faturamento), e o modelo escreve a partir dos nomes padrão das métricas da AWS, o que funciona com menos frequência. |
bedrock:InvokeModel | Escrever widgets de IA no Amazon Bedrock. Opcional. | Use a API da Anthropic para os widgets de IA. |
organizations:ListAccounts | Mostrar o nome de cada conta nas cobranças por conta, na conta de gerenciamento de uma organização. Distinguir a conta de gerenciamento de uma organização das outras contas dela, cujos gastos ficam na conta de gerenciamento. Opcional. | As contas recebem o nome do IAM Identity Center ou da sua aba Contas, ou aparecem pelo ID. Consulte Gastos por conta. Um widget de gastos vazio em uma conta conectada com o IAM Identity Center diz que os gastos dela ficam na conta de gerenciamento. |
- A verificação de uma chave de acesso usa
sts:GetCallerIdentity, que não precisa de permissão. O login com o IAM Identity Center não precisa de nada além do conjunto de permissões atribuído a você. - Recurso
"*": as ações de leitura do CloudWatch eorganizations:ListAccountsnão aceitam permissões no nível do recurso para este uso. Para permitir só o modelo do CloudPeek no Bedrock, consulte Widgets de IA. - Política gerenciada pela AWS:
CloudWatchReadOnlyAccessinclui as ações do CloudWatch, mas não as do Bedrock nem as do AWS Organizations. - As políticas de controle de serviço do AWS Organizations também se aplicam. Uma que negue o Bedrock impede os widgets de IA no Bedrock, independentemente do que diga a política do usuário.
Onde suas credenciais ficam guardadas
- Logins da AWS: a chave de acesso de cada conta, ou os tokens e as credenciais de perfil que o IAM Identity Center emite, fica guardada em um item próprio no Porta-chaves do iOS, compartilhado só entre o CloudPeek e os widgets dele.
- Disponível após o primeiro desbloqueio, só neste dispositivo: os widgets podem ser atualizados enquanto o iPhone está bloqueado, mas não entre uma reinicialização e o primeiro desbloqueio. Os itens nunca são sincronizados com as Chaves do iCloud nem restaurados em outro dispositivo.
- As sessões do Identity Center são renovadas pelo app e pelos widgets dele, até o limite de sessão da sua organização.
- Sua chave da API da Anthropic, se você adicionar uma, fica guardada no Porta-chaves deste dispositivo, legível só enquanto ele está desbloqueado, e só é enviada para a Anthropic.
- Os widgets e os dados mais recentes deles ficam guardados em um armazenamento compartilhado só entre o CloudPeek e os widgets dele, assim como os nomes de contas listados para as cobranças por conta.
- Logins da AWS: a chave de acesso de cada conta, ou os tokens e as credenciais de perfil que o IAM Identity Center emite, fica guardada em um arquivo próprio no armazenamento privado do CloudPeek, criptografada com AES-256-GCM. A chave é criada no Android Keystore e nunca sai de lá.
- Disponível com o celular bloqueado, só neste dispositivo: a chave não precisa que o celular esteja desbloqueado, então os widgets podem ser atualizados enquanto ele está bloqueado. Nada do que o CloudPeek armazena entra no backup nem é copiado para um celular novo, já que não poderia ser lido lá; em um celular novo, adicione suas contas de novo.
- As sessões do Identity Center são renovadas pelo app e pelos widgets dele, até o limite de sessão da sua organização. Um login que você está aprovando no navegador fica guardado, criptografado da mesma forma, por até 15 minutos, para poder ser concluído se o Android fechar o app nesse meio-tempo.
- Sua chave da API da Anthropic, se você adicionar uma, é criptografada da mesma forma, com uma chave própria, e só é enviada para a Anthropic.
- Os widgets e os dados mais recentes deles ficam guardados no armazenamento privado do CloudPeek, que só o app e os widgets dele podem ler, assim como os nomes de contas listados para as cobranças por conta.
O que sai do seu dispositivo
As solicitações vão direto do seu celular ou tablet para estes serviços, cada uma assinada com as credenciais da conta no dispositivo:
| Serviço | Endereço | Quando |
|---|---|---|
| Amazon CloudWatch | monitoring.<region>.amazonaws.com | Listar painéis, atualizar widgets, descobrir quais predefinições mostram dados e por que um widget está vazio, encontrar métricas para widgets de IA |
| AWS STS | sts.<region>.amazonaws.com | Verificar um login |
| IAM Identity Center | oidc.<region>.amazonaws.com, portal.sso.<region>.amazonaws.com | Fazer login com SSO, renovar a sessão e dar nome às suas contas nas cobranças por conta |
| AWS Organizations | organizations.us-east-1.amazonaws.com | Dar nome às suas contas nas cobranças por conta e verificar se os gastos de um widget de gastos vazio ficam na sua conta de gerenciamento, no máximo uma vez por dia |
| Amazon Bedrock | bedrock-runtime.<region>.amazonaws.com | Escrever um widget de IA, se você usar o Bedrock |
| Anthropic | api.anthropic.com | Escrever um widget de IA, só se você escolher a API da Anthropic |
Na AWS China, os endereços da AWS terminam em .amazonaws.com.cn, e o AWS Organizations fica em cn-northwest-1. Quando você faz login com o IAM Identity Center, aprova o login no próprio site da AWS, no seu navegador.
O que é e o que nunca é enviado a um modelo de IA está listado em Widgets de IA › O que o modelo vê. A política de privacidade cobre o app e este site por completo.
Retirar o acesso do CloudPeek
No dispositivo:
- Remover Conta, na parte de baixo da tela de uma conta, exclui as credenciais dela e os widgets que só ela podia atualizar. Remover Todas as Contas, em Ajustes (no Android, Configurações), exclui todas.
- Remover Chave de API, em Ajustes › Widgets de IA, exclui sua chave da API da Anthropic.
- No iPhone e no iPad, o iOS pode manter itens do Porta-chaves depois que um app é apagado, então remova suas contas antes de apagar o CloudPeek. No Android, desinstalar o CloudPeek exclui tudo o que ele armazenou, inclusive as chaves dele no Android Keystore.
Na AWS, para que as credenciais parem de funcionar onde quer que estejam:
- Chave de acesso: no console do IAM, abra o usuário, depois Credenciais de segurança, e desative ou exclua a chave. Exclua o usuário e a política
CloudPeekse não precisar mais deles (consulte Remover o que você criou para a CLI, o CloudFormation e o Terraform). - IAM Identity Center: remova da conta a atribuição do conjunto de permissões CloudPeek ou exclua o conjunto de permissões.
- Chave da API da Anthropic: revogue-a no Anthropic Console.