Cómo configurar CostWarden

Este es el único paso con trabajo de verdad. Creas un rol de IAM de solo lectura en tu propia cuenta de AWS y pegas su ARN. CostWarden nunca te pide una access key.

Ve a Configuración → Conexión de nube y presiona Empezar a conectar. Eso genera un external ID único para tu organización y muestra la guía paso a paso. Luego, en AWS:

1. Abre IAM → Roles → Create role y elige Custom trust policy como tipo de entidad de confianza.
2. Pega la trust policy que se muestra en Configuración. Nombra nuestra cuenta de AWS y exige tu external ID. Cópiala con el botón en vez de volver a escribirla — el external ID tiene que coincidir exactamente.
3. Agrega permisos. Elige Create inline policy (no Use existing policy), abre la pestaña JSON y pega la política de permisos desde Configuración. Nómbrala CostWardenReadOnlyAccess — ese nombre es cosmético. AWS debería resumirla como tres servicios: Cost Explorer (Read), Compute Optimizer (List) y EC2 (List).
4. Nombra el rol CostWardenReadOnly — este no es cosmético. Nuestro permiso para asumirlo está acotado a ese nombre exacto, así que un error de tipeo falla más tarde con un AccessDenied opaco.
5. Copia el ARN del rol desde su página de resumen, pégalo de vuelta en Configuración y presiona Verificar y conectar.

Acá están los dos documentos, para que los leas ahora. Configuración muestra estos mismos dos ya rellenados — este id de cuenta y este external ID son placeholders, porque todavía no tienes organización. Copia desde Configuración cuando llegues ahí, no desde acá.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<COSTWARDEN_ACCOUNT_ID>:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "<YOUR_EXTERNAL_ID>"
        }
      }
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ce:GetCostAndUsage",
        "compute-optimizer:GetEC2InstanceRecommendations",
        "compute-optimizer:GetEBSVolumeRecommendations",
        "ec2:DescribeInstances",
        "ec2:DescribeVolumes"
      ],
      "Resource": "*"
    }
  ]
}

Qué deberías ver: al guardar se hace un assume-role real contra tu trust policy antes de almacenar nada, así que un “Conectado” en verde significa que funciona de verdad — no que anotamos un string. Si falla, el error te dice cuál de las dos causas probables es.

Hasta que conectes uno, las alertas no tienen adónde ir — el producto sigue detectando, pero tendrías que abrir el dashboard para enterarte, que es justo lo que existe para evitar. Ve a Alertas y elige un tipo; las instrucciones cambian según cuál.

Slack

Crea una app desde cero, activa Incoming Webhooks, agrega uno al canal donde deban llegar las alertas y pega la URL.

Microsoft Teams

En el canal, ⋯ → Workflows → la plantilla “Post to a channel when a webhook request is received”. Teams retiró los viejos conectores de Office 365, así que Workflows es la vía actual; una URL de conector legado sigue funcionando si ya tienes una.

Google Chat

Abre el espacio, haz clic en su nombre → Apps & integrations → Webhooks → Add webhooks. Solo funciona en espacios, no en mensajes directos.

PagerDuty

En el servicio que debe recibir los avisos: Integrations → Add integration → Events API V2; luego copia la Integration Key.

Entregamos un mensaje de prueba antes de guardar para los tres tipos con webhook, así una URL equivocada falla ahí en vez de tragarse en silencio tu primera alerta real. PagerDuty es la excepción: su único mensaje es un incidente disparado, y probar un campo de formulario no debería despertar a quien esté de guardia. Su key se valida por forma.

Conecta tantos como quieras — cada canal habilitado recibe todas las alertas. Pausar un canal lo mantiene conectado y no envía nada.

Tu prueba de 14 días empieza cuando tu conexión de AWS funciona por primera vez — no cuando te registras. Esperar a que alguien apruebe un rol de IAM no debería comerse tu evaluación, y no hace falta tarjeta para empezar. Los owners ven los días restantes en Configuración → Facturación.

Cuando termina sin una suscripción, dejamos de recolectar datos nuevos — y eso es todo. El escaneo diario se salta tu organización y no salen alertas nuevas, pero todo lo ya sincronizado queda exactamente donde está y sigue legible, con un banner que explica por qué dejó de moverse. No se borra nada. Al suscribirte, retoma en la siguiente corrida.

Un pago fallido sigue funcionando siete días mientras se reintenta la tarjeta, así que una tarjeta vencida no te cuesta una semana de alertas. Si cancelas, el acceso corre hasta el final del período que ya pagaste. El checkout y la facturación los maneja Lemon Squeezy como Merchant of Record — los datos de tu tarjeta nunca llegan a CostWarden.