Cómo accede CostGlass a sus datos

Security and data ingestion architecture: how CostGlass reads multi-cloud billing and telemetry through read-only roles and least-privilege permissions.

Cómo accede CostGlass a sus datos

Esta es la página para enviar a quien tenga que aprobarnos. Cubre exactamente lo que CostGlass puede alcanzar en sus cuentas, cómo se autentica el acceso, dónde se almacenan los datos resultantes y cómo revocarlos. La versión corta: acceso de solo lectura que usted mismo crea, credenciales temporales que caducan cada hora y datos almacenados en la región que elija.

Las flechas azules son conexiones que inicia CostGlass, utilizando credenciales de solo lectura que usted crea. El verde es la única conexión que se inicia desde su lado: un pequeño agente en su clúster de Kubernetes envía datos de costes a través de HTTPS, por lo que no se abre ningún puerto de entrada. Las líneas discontinuas moradas representan el inicio de sesión. Las líneas discontinuas naranjas representan las alertas salientes. Ver el esquema detallado.
El resumen de un párrafo. El acceso es un rol en su propia cuenta que confía en la nuestra, y sólo cuando la solicitud lleva su ID externo. Nunca tenemos una credencial de larga duración: cada sesión es un token temporal que caduca después de una hora. Todo lo que está en tránsito está cifrado con TLS 1.3; todo lo que está en reposo está cifrado y particionado por inquilino en la región que seleccionó. Eliminar el rol finaliza nuestro acceso de forma inmediata y completa.
Donde se encuentra el límite, de extremo a extremo
Rol de IAM de escritura cero

La póliza otorga lecturas de costo y facturación más Describir y Listacomportamiento. no hay Crear, Borrar, Poner o Modificar en cualquier parte de él, por lo que CostGlass no puede alterar ni destruir nada; la única excepción es el programador de instancias, que usted habilita deliberadamente.

Defensa adjunta confundida

La política de confianza requiere una exacta pts:Id externo coincidencia, así como el ID de la cuenta CostGlass. Sin él, cualquiera que conociera su función de ARN podría pedirle a AWS que la asumiera a través de nosotros: el clásico problema del diputado confundido. Con él, AWS rechaza una solicitud que no tiene su valor antes de que llegue a su cuenta.

Residencia de datos soberanos

Elija 🇬🇧 Londres (eu-oeste-2) o 🇩🇪 Fráncfort (ue-central-1) cuando te registras. Sus datos se almacenan y procesan allí y no salen de esa jurisdicción.

Modelo push solo saliente

El exportador de Kubernetes y los recopiladores de SaaS envían datos a través de HTTPS. Nada se conecta a su red: ni una regla de firewall entrante, ni un punto final público, ni un puerto de escucha de su lado.

CostGlass se autentica en su entorno de AWS mediante tokens de sesión de AWS STS de corta duración. La política de confianza de roles exige tanto el ID de cuenta de producción de CostGlass como su ID externo único de inquilino:

AWS IAM Cross-Account Trust Policy (trust-policy.json)
Scoped Read-Only Permission Policy (costglass-readonly-policy.json)