Comment CostGlass accède à vos données

Security and data ingestion architecture: how CostGlass reads multi-cloud billing and telemetry through read-only roles and least-privilege permissions.

Comment CostGlass accède à vos données

C'est la page à envoyer à celui qui doit nous approuver. Il couvre exactement ce que CostGlass peut atteindre dans vos comptes, comment l'accès est authentifié, où les données résultantes sont stockées et comment vous les révoquez. La version courte : un accès en lecture seule que vous créez vous-même, des informations d'identification temporaires qui expirent toutes les heures et des données conservées dans la région de votre choix.

Les flèches bleues représentent les connexions initiées par CostGlass à l'aide des identifiants en lecture seule que vous créez. Le vert est la seule connexion initiée de votre côté : un agent léger dans votre cluster Kubernetes pousse les données de coûts via HTTPS, de sorte qu'aucun flux entrant n'est ouvert. Les tirets violets représentent la connexion. Les tirets orange représentent les alertes sortantes. Consulter le schéma détaillé.
Le résumé en un paragraphe. L'accès est un rôle dans votre propre compte qui fait confiance au nôtre, et uniquement lorsque la demande porte votre identifiant externe. Nous ne détenons jamais d'identifiant de longue durée : chaque session est un jeton temporaire qui expire au bout d'une heure. Tout ce qui transite est chiffré avec TLS 1.3 ; tout au repos est crypté et partitionné par locataire dans la région que vous avez sélectionnée. La suppression du rôle met fin immédiatement et complètement à notre accès.
Là où se situe la frontière, de bout en bout
Rôle IAM sans écriture

La politique accorde le coût et la facturation en plus Décrire et Listeactes. Il n'y a pas Créer, Supprimer, Mettre ou Modifier n'importe où, CostGlass ne peut donc rien modifier ou détruire, la seule exception étant le planificateur d'instance, que vous activez délibérément.

Défense adjointe confuse

La politique de confiance exige une sts : ID externe correspondance ainsi que l'identifiant du compte CostGlass. Sans cela, toute personne ayant appris votre rôle ARN pourrait demander à AWS de l'assumer par notre intermédiaire – le problème classique de la confusion des adjoints. Avec lui, une demande qui ne porte pas votre valeur est refusée par AWS avant qu'elle n'atteigne votre compte.

Résidence des données souveraines

Choisissez 🇫🇷 Londres (ue-ouest-2) ou 🇩🇪 Francfort (eu-central-1) lors de votre inscription. Vos données y sont stockées et traitées et ne quittent pas cette juridiction.

Modèle push sortant uniquement

L'exportateur Kubernetes et les collecteurs SaaS envoient des données vers l'extérieur via HTTPS. Rien ne se connecte à votre réseau : pas de règle de pare-feu entrant, pas de point de terminaison public, pas de port d'écoute de votre côté.

CostGlass s'authentifie auprès de votre environnement AWS à l'aide de jetons de session AWS STS de courte durée. La politique d'approbation des rôles impose à la fois l'ID de compte de production CostGlass et l'ID externe de votre locataire unique :

AWS IAM Cross-Account Trust Policy (trust-policy.json)
Scoped Read-Only Permission Policy (costglass-readonly-policy.json)