简而言之
- 只读。CloudPeek 读取 CloudWatch，并可以调用 Amazon Bedrock 中的一个模型。它绝不会更改你的 AWS 账户中的任何内容。
- 专用的登录身份。为它提供一个专用的 IAM 用户或 IAM Identity Center 权限集，并且只授予下列权限。
- 凭证保留在设备上，存储在 iOS 钥匙串中，在 Android 上则使用 Android Keystore 中的密钥加密，并且仅用于为发送到 AWS 的请求签名。
- 没有 CloudPeek 服务器。App 直接与 AWS 通信，只有在你为 AI 小组件选择 Anthropic 时才会与 Anthropic 通信。它不包含任何分析、崩溃报告或广告代码。
权限
以下是 CloudPeek 的策略中的操作及其用途：
| 操作 | 用途 | 没有该权限时 |
|---|---|---|
cloudwatch:ListDashboards | 列出账户的控制面板，并在登录时检查该登录身份能否读取 CloudWatch。 | 登录失败：“…但它无权读取 CloudWatch 控制面板。” |
cloudwatch:GetDashboard | 在你浏览控制面板时，以及每次它的某个小组件刷新时，读取控制面板中的小组件。 | 控制面板小组件显示“访问被拒绝”。 |
cloudwatch:GetMetricData | 每个图表、数字、仪表、条形图、饼图和表格的数据。 | 指标小组件显示“访问被拒绝”。 |
cloudwatch:DescribeAlarms | 警报小组件和警报预设，包括只显示名称以特定文本开头的警报的预设。 | 警报小组件显示“访问被拒绝”。 |
cloudwatch:ListMetrics | 推荐能显示数据的预设，并指明账户资源所在的位置。说明小组件为何为空，例如“eu-west-1 中没有 SQS 队列。”在显示下列出预设的资源以供选择。让 AI 模型找到你的指标的真实名称。可选。 | 预设列表不含推荐，显示不提供选择…，空的小组件只显示“此时间范围内无数据。”（对于支出，则提示开启账单警报），并且模型会根据标准 AWS 指标名称编写小组件，成功率较低。 |
bedrock:InvokeModel | 在 Amazon Bedrock 中编写 AI 小组件。可选。 | 改用 Anthropic API 编写 AI 小组件。 |
organizations:ListAccounts | 在组织的管理账户中，于按账户划分的费用中显示每个账户的名称。区分组织的管理账户与其他账户（其他账户的支出位于管理账户中）。可选。 | 账户名称取自 IAM Identity Center 或你的账户标签页，否则显示其 ID。请参阅按账户划分的支出。在通过 IAM Identity Center 登录的账户中，空的支出小组件会说明其支出位于管理账户中。 |
- 检查访问密钥时使用
sts:GetCallerIdentity，它不需要任何权限。IAM Identity Center 登录除了分配给你的权限集之外，不需要任何其他权限。 - 资源
"*"：对于这种用途，CloudWatch 读取操作和organizations:ListAccounts不支持资源级权限。要在 Bedrock 中只允许 CloudPeek 使用的模型，请参阅 AI 小组件。 - AWS 托管策略：
CloudWatchReadOnlyAccess包含 CloudWatch 操作，但不包含 Bedrock 或 AWS Organizations 的操作。 - AWS Organizations 中的服务控制策略同样适用。拒绝 Bedrock 的服务控制策略会阻止在 Bedrock 中编写 AI 小组件，无论用户的策略如何规定。
凭证的存储位置
- AWS 登录信息：每个账户的访问密钥，或 IAM Identity Center 颁发的令牌和角色凭证，都保存在 iOS 钥匙串中各自独立的项目里，仅在 CloudPeek 及其小组件之间共享。
- 首次解锁后可用，仅限此设备：iPhone 锁定时小组件可以刷新，但在重新启动后到首次解锁之前不能刷新。这些项目绝不会同步到 iCloud 钥匙串，也不会恢复到其他设备。
- Identity Center 会话由 App 及其小组件续期，直到达到组织的会话时限。
- 你的 Anthropic API 密钥（如果你添加了）保存在此设备的钥匙串中，仅在设备解锁时可读取，并且只会发送给 Anthropic。
- 小组件及其最新数据保存在仅由 CloudPeek 及其小组件共享的存储空间中，按账户划分的费用所列出的账户名称也是如此。
- AWS 登录信息：每个账户的访问密钥，或 IAM Identity Center 颁发的令牌和角色凭证，都保存在 CloudPeek 私有存储空间中各自独立的文件里，并使用 AES-256-GCM 加密。密钥在 Android Keystore 中生成，且永远不会离开那里。
- 手机锁定时也可用，仅限此设备：使用该密钥不需要解锁手机，因此手机锁定时小组件也能刷新。CloudPeek 存储的任何内容都不会被备份或复制到新手机，因为在新手机上无法读取；在新手机上，请重新添加你的账户。
- Identity Center 会话由应用及其小组件续期，直到达到组织的会话时限。你正在浏览器中批准的登录会以同样的方式加密保存最多 15 分钟，这样即使 Android 在此期间关闭了应用，登录也能完成。
- 你的 Anthropic API 密钥（如果你添加了）以同样的方式加密，使用其专用的密钥，并且只会发送给 Anthropic。
- 小组件及其最新数据保存在 CloudPeek 的私有存储空间中，只有该应用及其小组件可以读取，按账户划分的费用所列出的账户名称也是如此。
哪些数据会离开你的设备
请求从你的手机或平板电脑直接发送到以下服务，每个请求都使用设备上该账户的凭证签名：
| 服务 | 地址 | 何时 |
|---|---|---|
| Amazon CloudWatch | monitoring.<region>.amazonaws.com | 列出控制面板、刷新小组件、查找哪些预设能显示数据以及小组件为何为空、为 AI 小组件查找指标 |
| AWS STS | sts.<region>.amazonaws.com | 检查登录身份 |
| IAM Identity Center | oidc.<region>.amazonaws.com, portal.sso.<region>.amazonaws.com | 使用 SSO 登录、续期会话，以及在按账户划分的费用中为你的账户命名 |
| AWS Organizations | organizations.us-east-1.amazonaws.com | 在按账户划分的费用中为你的账户命名，以及判断空的支出小组件的支出是否位于你的管理账户中，每天最多一次 |
| Amazon Bedrock | bedrock-runtime.<region>.amazonaws.com | 编写 AI 小组件（如果你使用 Bedrock） |
| Anthropic | api.anthropic.com | 编写 AI 小组件（仅当你选择 Anthropic API 时） |
在 AWS 中国区域，AWS 地址以 .amazonaws.com.cn 结尾，AWS Organizations 位于 cn-northwest-1。使用 IAM Identity Center 登录时，你会在浏览器中通过 AWS 自己的网站批准登录。
AI 模型会收到哪些内容、绝不会收到哪些内容，请参阅 AI 小组件 › 模型能看到什么。隐私政策完整涵盖了 App 和本网站。
撤销 CloudPeek 的访问权限
在设备上：
- 账户屏幕底部的移除账户会删除该账户的凭证以及只有它才能刷新的小组件。设置中的移除所有账户会删除所有账户的这些内容。
- 设置 › AI 小组件中的移除 API 密钥会删除你的 Anthropic API 密钥。
- 在 iPhone 和 iPad 上，删除 App 后 iOS 可能仍会保留钥匙串项目，因此请在删除 CloudPeek 之前移除你的账户。在 Android 上，卸载 CloudPeek 会删除它存储的所有内容，包括其 Android Keystore 密钥。
在 AWS 中操作，使凭证无论在哪里都会失效：
- 访问密钥：在 IAM 控制台中打开该用户，然后打开安全凭证，停用或删除该密钥。如果不再需要该用户和
CloudPeek策略，请将其删除（有关 CLI、CloudFormation 和 Terraform 的操作，请参阅将其移除）。 - IAM Identity Center：从该账户中移除 CloudPeek 权限集的分配，或删除该权限集。
- Anthropic API 密钥：在 Anthropic Console 中将其撤销。