Documentação · Geral

Como protegemos o acesso.

Cada guia de provedor (AWS, Azure, OCI, Google Cloud e os que vêm a seguir) explica o que é pedido na sua conta. Esta página explica o outro lado: o que existe do nosso lado, na conta do GrandeTotal, para tornar isso possível — e por que um vazamento ali não vira acesso à sua conta.

Nenhuma chave de acesso sua fica com a gente

Você nunca cria uma access key da AWS para o GrandeTotal. O que você cria é uma role — uma permissão que sua própria conta concede, revogável a qualquer momento, sem nenhuma credencial de longa duração circulando. Quem existe do nosso lado é um usuário de serviço, numa conta separada, com uma única permissão: pedir para assumir temporariamente a role que você criou.

O que o usuário de serviço pode fazer

Chamar sts:AssumeRole — só isso. Nenhuma permissão de leitura ou escrita em recurso nenhum, em nenhuma conta, é concedida a esse usuário diretamente.
A chamada só funciona se o ARN da role e o External ID exclusivo da sua conexão baterem exatamente com o que está na política de confiança que você configurou (ver guia da AWS).
Fica restrito, quando o nome da role segue o padrão sugerido nos guias, a assumir apenas roles com esse nome — não qualquer role de qualquer conta.

Como a sessão de leitura funciona

A cada sincronização, o servidor assume a sua role, recebe uma sessão temporária de 15 minutos e usa essa sessão só para consultar o Cost Explorer. Nenhuma credencial dessa sessão é guardada — ela expira sozinha, e a próxima sincronização assume a role de novo, do zero.

Na prática: mesmo que a credencial do usuário de serviço do GrandeTotal vazasse, ela sozinha não abre sua conta. Quem a tivesse precisaria também acertar o ARN exato e o External ID da sua conexão — e mesmo assim, o resultado é uma sessão de 15 minutos com permissão só de leitura de custo, nada além disso.

Onde essa credencial fica guardada

Em um cofre de segredos da nossa infraestrutura, cifrado, fora do código-fonte e fora de qualquer log. Não transita pelo navegador, não aparece em nenhuma resposta de API voltada ao cliente.

Provedores que exigem uma chave (não uma role)

Nem todo provedor tem um equivalente ao AssumeRole da AWS. Quando o guia de um provedor pede que você cole uma chave (na Azure, o Client Secret de um Service Principal com o papel de só leitura de custo; na OCI, a chave privada de um usuário que só lê o relatório de uso; no Google Cloud, a chave de uma service account que só lê a tabela de billing; em outros, uma Admin API key), essa chave é cifrada em repouso antes de ser gravada, nunca volta para a tela e só é decifrada na memória no instante da consulta — o guia daquele provedor específico detalha o que é pedido e por quê.

O que vai para os modelos de IA

A equipe de agentes que analisa seus custos usa modelos de IA de terceiros: a NVIDIA e a Groq (camadas gratuitas, que dividem as chamadas entre si) e a Anthropic (usada se as duas falharem ou estiverem indisponíveis). O que cada um recebe:

Recebem: custos agregados por dia, por serviço e por mês (valores e nomes públicos de serviço, como “Amazon S3”) e o texto do objetivo que você digitar no painel.
Não recebem: credenciais, o ARN da sua role, o External ID, nem a sua sessão. As ferramentas dos agentes só leem tabelas de custo.
Anonimização antes de sair: um guardião de privacidade troca por rótulos (como conta-qkfd) contas AWS, ARNs, e-mails, CPF e CNPJ, telefones, chaves de acesso, IDs de recurso e IPs. Isso vale para o objetivo digitado, para o que as ferramentas devolvem, para o relatório e para o que aparece na tela, e é feito por regras no nosso servidor, não por um modelo. O mesmo valor sempre vira o mesmo rótulo, então o relatório continua legível sem revelar o original.
Limite do que controlamos: cada provedor segue a própria política de retenção e de uso de dados. Consulte os termos da NVIDIA, da Groq e da Anthropic; não decidimos por eles.

Vigia: leitura automática (opcional)

Por padrão o GrandeTotal só lê seus custos quando você pede. O Vigia é opcional: se você ligar, sincronizamos uma vez por dia e avisamos no painel quando algo foge do padrão. Você precisa confirmar, antes de ligar, que entendeu o custo: a AWS cobra US$ 0,01 por consulta ao Cost Explorer, na sua conta (cerca de US$ 0,30 por mês). Na Azure, na OCI e no Google Cloud a consulta de custos é gratuita e não há o que confirmar. O GrandeTotal não cobra nada por isso. Desligar é imediato e está no próprio painel.

Revogar

A revogação é sempre do seu lado e sempre imediata: exclua a role (ou a chave, quando aplicável) e a próxima tentativa de sincronização falha. Não é necessário avisar o GrandeTotal antes.