Inicio / Confianza y seguridad

Início / Confiança e segurança

Confianza y seguridadConfiança e segurança

Conectar Cloura significa crear un rol de lectura en su propia cuenta. Esta página documenta exactamente qué permisos se solicitan en cada nube, desde qué identidad se conectan, qué queda fuera del alcance y cómo se revoca el acceso — para que su equipo de seguridad decida con los datos a la vista.

Conectar a Cloura significa criar um papel de leitura na sua própria conta. Esta página documenta exatamente quais permissões são solicitadas em cada nuvem, a partir de qual identidade se conectam, o que fica fora do escopo e como o acesso é revogado — para que a sua equipe de segurança decida com os dados à vista.

Desde dónde se conecta ClouraDe onde a Cloura se conecta

En ninguna de las tres nubes se comparten credenciales, contraseñas ni llaves de larga duración. En las tres, la confianza queda escrita dentro de su propia cuenta y atada a un identificador único de su organización: usted puede auditarla cuando quiera, y sin ese identificador la conexión falla.

Em nenhuma das três nuvens são compartilhadas credenciais, senhas nem chaves de longa duração. Nas três, a confiança fica escrita dentro da sua própria conta e atrelada a um identificador único da sua organização: você pode auditá-la quando quiser, e sem esse identificador a conexão falha.

El asistente de conexión le muestra los identificadores concretos —cuenta, ExternalId, subject o audiencia según la nube— en el momento de crear el acceso. Todos quedan escritos en su propia infraestructura: revise ahí la política de confianza, la credencial federada o el proveedor OIDC, y contrástelos. Si no coinciden con lo que Cloura le mostró, no es Cloura.

O assistente de conexão mostra os identificadores concretos —conta, ExternalId, subject ou audiência conforme a nuvem— no momento de criar o acesso. Todos ficam escritos na sua própria infraestrutura: revise ali a política de confiança, a credencial federada ou o provedor OIDC, e contraste-os. Se não coincidirem com o que a Cloura lhe mostrou, não é a Cloura.

Permisos exactos por nubePermissões exatas por nuvem

Cloura no define políticas propias: solicita los roles de solo lectura que cada proveedor publica y mantiene. El alcance de cada uno está documentado por AWS, Microsoft y Google, no por nosotros.

A Cloura não define políticas próprias: solicita os papéis de somente leitura que cada provedor publica e mantém. O escopo de cada um está documentado pela AWS, pela Microsoft e pelo Google, não por nós.

{
  "Version": "2012-10-17",
  "Statement": [
    {"Effect":"Allow","Action":["athena:StartQueryExecution","athena:GetQueryExecution","athena:GetQueryResults"],
     "Resource":"arn:aws:athena:us-east-1:SU_CUENTA:workgroup/primary"},
    {"Effect":"Allow","Action":["glue:GetDatabase","glue:GetDatabases","glue:GetTable","glue:GetTables","glue:GetPartitions"],
     "Resource":["arn:aws:glue:us-east-1:SU_CUENTA:catalog",
                 "arn:aws:glue:us-east-1:SU_CUENTA:database/*",
                 "arn:aws:glue:us-east-1:SU_CUENTA:table/*/*"]},
    {"Effect":"Allow","Action":["s3:GetObject","s3:ListBucket"],
     "Resource":["arn:aws:s3:::SU_BUCKET_CUR","arn:aws:s3:::SU_BUCKET_CUR/*"]},
    {"Effect":"Allow","Action":"s3:PutObject",
     "Resource":"arn:aws:s3:::SU_BUCKET_CUR/athena-results/*"}
  ]
}

Lo que Cloura no puede hacerO que a Cloura não pode fazer

Enablement as CodeEnablement as Code

Cloura nunca escribe en su infraestructura, tampoco para habilitar lo que necesita. Igual que Fix-as-Code entrega la remediación como código para que su equipo la revise y la aplique, Enablement as Code entrega la habilitación de la misma forma. Quien ejecuta siempre es su equipo de infraestructura.

A Cloura nunca escreve na sua infraestrutura, tampouco para habilitar o que precisa. Assim como o Fix-as-Code entrega a remediação como código para que a sua equipe revise e aplique, o Enablement as Code entrega a habilitação da mesma forma. Quem executa é sempre a sua equipe de infraestrutura.

El plan base no requiere ningún paso de habilitación: basta el rol de lectura. Solo al contratar Costos Kubernetes aparece este paso, porque el costo por namespace y por workload lo calcula su propia nube y hay que pedirle que lo publique.

O plano base não exige nenhum passo de habilitação: basta o papel de leitura. Somente ao contratar Costos Kubernetes aparece este passo, porque o custo por namespace e por workload é calculado pela sua própria nuvem e é preciso pedir que ela o publique.

Los tres pasos se entregan como comandos y bloques de infraestructura como código listos para copiar, en el asistente de conexión de la aplicación y en la guía del add-on. Todos se revierten deshaciendo lo mismo que habilitaron.

Os três passos são entregues como comandos e blocos de infraestrutura como código prontos para copiar, no assistente de conexão da aplicação e no guia do add-on. Todos se revertem desfazendo o mesmo que habilitaram.

Cómo revocar el accesoComo revogar o acesso

En cualquier momento y sin avisarnos, por dos caminos: desde la propia aplicación o eliminando el permiso en su nube.

A qualquer momento e sem nos avisar, por dois caminhos: a partir do próprio aplicativo ou eliminando a permissão na sua nuvem.

Opción 1 — Desde Cloura, en Conexiones

Opção 1 — A partir da Cloura, em Conexões

Dónde está·menú lateral→Operación→Conexiones·Elija el proveedor y use Desconectar.

Onde fica·menu lateral→Operação→Conexões·Escolha o provedor e use Desconectar.

Cloura deja de usar el acceso y no vuelve a ejecutar análisis sobre esa cuenta. Es el camino más rápido y no requiere permisos en su nube: basta con ser administrador en Cloura.

A Cloura deixa de usar o acesso e não volta a executar análises sobre essa conta. É o caminho mais rápido e não exige permissões na sua nuvem: basta ser administrador na Cloura.

Opción 2 — Desde su nube, eliminando el permiso

Opção 2 — A partir da sua nuvem, eliminando a permissão

El corte definitivo, porque no depende de nosotros: al eliminar el rol o la identidad, cualquier intento de conexión falla aunque Cloura lo intentara. Si su política de seguridad exige garantía técnica y no confianza en el proveedor, este es el camino.

O corte definitivo, porque não depende de nós: ao eliminar o papel ou a identidade, qualquer tentativa de conexão falha mesmo que a Cloura o tentasse. Se a sua política de segurança exigir garantia técnica e não confiança no fornecedor, este é o caminho.

En AWS se elimina el rol; en Azure, la asignación de roles del registro de aplicación; en GCP, la service account y el pool de identidades. Cualquiera de las tres corta el acceso de inmediato.

Na AWS elimina-se o papel; no Azure, a atribuição de papéis do registro de aplicativo; no GCP, a service account e o pool de identidades. Qualquer uma das três corta o acesso de imediato.

aws iam detach-role-policy --role-name ClouraReadOnly \
  --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess

aws iam delete-role --role-name ClouraReadOnly

for ROLE in "Reader" "Cost Management Reader" "Security Reader"; do
  az role assignment delete --assignee "$CLOURA_APP_ID" --role "$ROLE"
done

gcloud iam service-accounts delete \
  cloura-readonly@$PROJECT_ID.iam.gserviceaccount.com

gcloud iam workload-identity-pools delete cloura-pool \
  --location=global

Preguntas frecuentes de equipos de seguridadPerguntas frequentes de equipes de segurança

¿Qué información sale de nuestra cuenta?

Que informação sai da nossa conta?

Metadatos de infraestructura: inventario de recursos, su configuración, métricas de uso y datos de costo. Con eso se generan los hallazgos que usted ve en la aplicación.

Metadados de infraestrutura: inventário de recursos, sua configuração, métricas de uso e dados de custo. Com isso são gerados os achados que você vê no aplicativo.

¿Se puede conectar una sola cuenta antes de dar acceso a toda la organización?

É possível conectar uma única conta antes de dar acesso a toda a organização?

Sí, y es lo recomendado para una primera evaluación. El asistente permite elegir el alcance: una cuenta o proyecto individual, o la organización completa.

Sim, e é o recomendado para uma primeira avaliação. O assistente permite escolher o escopo: uma conta ou projeto individual, ou a organização completa.

¿Cloura usa credenciales de larga duración?

A Cloura usa credenciais de longa duração?

No. AWS mediante asunción de rol, Azure con identidad federada y GCP con Workload Identity Federation. En ningún caso se comparten llaves ni contraseñas.

Não. AWS por meio de assunção de papel, Azure com identidade federada e GCP com Workload Identity Federation. Em nenhum caso são compartilhadas chaves nem senhas.

¿Cómo verificamos que el acceso sigue siendo de solo lectura?

Como verificamos que o acesso continua sendo somente leitura?

Auditando el rol en su propia nube cuando quiera: las políticas adjuntas son las de esta página y cualquier cambio requeriría una acción de su equipo, no del nuestro. En AWS, CloudTrail registra cada llamada que Cloura realiza.

Auditando o papel na sua própria nuvem quando quiser: as políticas anexadas são as desta página e qualquer alteração exigiria uma ação da sua equipe, não da nossa. Na AWS, o CloudTrail registra cada chamada que a Cloura realiza.

Para el procedimiento completo de conexión, vea Conectar su nube.

Para o procedimento completo de conexão, veja Conectar sua nuvem.