1. Conectar Cuentas Cloud 1. Connect Cloud Accounts

El apartado de Cuentas Cloud permite gestionar las conexiones activas con tus distintos proveedores en la nube. FinOps Hub aplica el estándar Zero Persistent Secrets para evitar almacenar contraseñas o claves estáticas.

The Cloud Accounts section allows managing active connections with your cloud providers. FinOps Hub applies the Zero Persistent Secrets standard to avoid storing passwords or static keys.

Integración de Proveedores Cloud Cloud Provider Integration

Permisos Mínimos Requeridos y Políticas Minimum Required Permissions and Policies

Para recuperar de forma segura métricas de coste e inventario, configura tus cuentas con permisos de sólo lectura mínimos:

To securely retrieve cost and inventory metrics, configure your accounts with minimum read-only permissions:

1. AWS: IAM Policy

Crea una política en tu consola de AWS con el siguiente formato JSON y asóciala a las credenciales provistas. Para más detalles sobre políticas IAM y Cost Explorer, consulta la documentación de permisos de facturación de AWS.

Create a policy in your AWS console with the following JSON format and attach it to the role/credentials. For more details on IAM policies and Cost Explorer, see the AWS billing permissions documentation.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ce:GetCostAndUsage",
        "ce:GetCostForecast",
        "compute-optimizer:GetEC2InstanceRecommendations",
        "compute-optimizer:GetEnrollmentStatus",
        "eks:ListClusters",
        "eks:DescribeCluster",
        "ec2:DescribeVolumes",
        "ec2:DescribeInstances",
        "ec2:DescribeAddresses",
        "elasticloadbalancing:DescribeLoadBalancers",
        "rds:DescribeDBInstances",
        "lambda:ListFunctions",
        "cloudwatch:GetMetricStatistics",
        "s3:ListAllMyBuckets",
        "iam:ListAccountAliases"
      ],
      "Resource": "*"
    }
  ]
}

2. Azure: Asignación de RolesRole Assignments

En el portal de Azure, accede a tu suscripción, ve a Access Control (IAM) y asigna a tu aplicación registrada (Service Principal) los siguientes roles. Puedes seguir la guía oficial de asignación de roles de Azure y el manual para crear una aplicación de Microsoft Entra ID.

In the Azure Portal, navigate to your subscription, go to Access Control (IAM) and assign the following roles to your registered application (Service Principal). See the official Azure role assignment guide and Entra ID Service Principal creation guide.

• Reader (Lector): Para recuperar inventario de recursos y gobernanza.
• Reader: To retrieve resource inventory and governance metrics.
• Billing Reader (Lector de Facturación): Para consultar la API de Azure Consumption y Cost Management.
• Billing Reader: To query the Azure Consumption & Cost Management API.

3. GCP: Roles y BigQueryRoles & BigQuery

Asigna a la cuenta de servicio los siguientes roles a nivel de proyecto. Consulta la guía de creación de claves de GCP y el manual de exportación de facturación a BigQuery.

Assign the following project-level roles to your Service Account. See the GCP Service Account keys guide and BigQuery Billing Export guide.

• Billing Account Viewer: Para visualizar datos de facturación global.
• Billing Account Viewer: To view global billing data.
• Recommender Viewer: Para recolectar recomendaciones de optimización.
• Recommender Viewer: To gather optimization recommendations.
• BigQuery Data Viewer / User: En el dataset donde esté habilitado el Billing Export de GCP a BigQuery.
• BigQuery Data Viewer / User: On the dataset where GCP Billing Export to BigQuery is enabled.

4. Configuración de Cuentas Pagadoras (Payer / Consolidated Accounts)Payer / Consolidated Accounts Setup

Si tu empresa utiliza una cuenta centralizada que agrupa la facturación y la compra de Savings Plans / Instancias Reservadas de múltiples cuentas o suscripciones secundarias, activa el interruptor "Es Cuenta Pagadora / Payer Account (Consolidated Billing)" al registrar la cuenta en FinOps Hub.

If your company uses a centralized master account grouping billing and purchasing Savings Plans / Reserved Instances across sub-accounts, enable the "Is Payer Account (Consolidated Billing)" toggle when connecting the account.

Permisos Criptográficos y de IAM Requeridos por Proveedor:Required IAM Permissions by Provider:

• AWS Organizations (Payer): Añade a tu política IAM de AWS los permisos organizations:ListAccounts, organizations:DescribeOrganization, ce:GetDimensionValues, ce:GetReservationUtilization y ce:GetSavingsPlansUtilization para el autodescubrimiento de cuentas secundarias vinculadas.
• AWS Organizations (Payer): Add permissions organizations:ListAccounts, organizations:DescribeOrganization, ce:GetDimensionValues, ce:GetReservationUtilization and ce:GetSavingsPlansUtilization to your IAM policy for linked account auto-discovery.
• Azure EA / MCA (Billing Profile): Asigna el rol Billing Account Reader o Cost Management Reader a nivel del Billing Profile o Enrollment central para que el Service Principal pueda leer el consumo consolidado.
• Azure EA / MCA (Billing Profile): Assign Billing Account Reader or Cost Management Reader role at the Billing Profile or Enrollment level for consolidated consumption reading.
• GCP Cloud Billing Account: Asigna el rol roles/billing.viewer a nivel de Organización o Billing Account mediante el comando de gcloud:

  gcloud organizations add-iam-policy-binding "ORGANIZACION_ID" \
    --member="serviceAccount:finops-sa@tu-proyecto.iam.gserviceaccount.com" \
    --role="roles/billing.viewer"

• GCP Cloud Billing Account: Assign the roles/billing.viewer role at the Organization or Billing Account level using gcloud:

  gcloud organizations add-iam-policy-binding "ORGANIZATION_ID" \
    --member="serviceAccount:finops-sa@your-project.iam.gserviceaccount.com" \
    --role="roles/billing.viewer"

2. Configurar Credenciales 2. Configure Credentials

El Gestor de Credenciales es el almacén criptográfico seguro de FinOps Hub. Permite guardar claves de acceso, archivos de cuentas de servicio y tokens Git necesarios para auditar e integrar los diferentes servicios cloud sin exponer credenciales en archivos locales o código fuente.

The Credentials Manager is FinOps Hub's secure cryptographic vault. It allows storing access keys, service account files, and Git tokens required to integrate cloud services without exposing secrets in local files or source code.

Tipos de Credenciales y Delegaciones Soportadas Supported Credential Types & Delegations

• AWS IAM Role (aws_role - Recomendado): Delegación de rol IAM entre cuentas (Cross-Account) con External ID único mediante sts:AssumeRole. Elimina claves de acceso estáticas.
• AWS IAM Role (aws_role - Recommended): Cross-Account IAM Role delegation with a unique External ID via sts:AssumeRole. Eliminates static access keys.
• Azure Workload Identity (azure_federated - Recomendado): Autenticación federada OIDC para Microsoft Entra ID / Azure AD sin necesidad de Client Secret.
• Azure Workload Identity (azure_federated - Recommended): Federated OIDC authentication for Microsoft Entra ID / Azure AD without Client Secrets.
• GCP Workload Identity (gcp_wif - Recomendado): Intercambio de tokens de corta duración vía Workload Identity Federation o Service Account Impersonation.
• GCP Workload Identity (gcp_wif - Recommended): Short-lived token exchange via Workload Identity Federation or Service Account Impersonation.
• Git Personal Access Token (git_token): Token de usuario (PAT) para integración con repositorios IaC de GitHub o GitLab.
• Git Personal Access Token (git_token): Personal Access Token (PAT) for GitHub or GitLab IaC repository integrations.
• Opciones Legacy (aws_keys, gcp_json, secret_text): Soporte para Access Keys estáticas de AWS, archivos JSON de Service Account de GCP y Client Secrets de Azure cifrados en reposo con AES-256-CBC.
• Legacy Options (aws_keys, gcp_json, secret_text): Support for static AWS Access Keys, GCP Service Account JSON files, and Azure Client Secrets encrypted at rest with AES-256-CBC.

Cómo Agregar una Nueva Credencial o Delegación How to Add a New Credential or Delegation

3. Integrar Kubernetes 3. Integrate Kubernetes

La sección de Clústeres Kubernetes desglosa el consumo de tus cargas de trabajo contenerizadas agrupando los costes por Namespace, CPU, Memoria y almacenamiento persistente.

The Kubernetes Clusters section breaks down consumption of containerized workloads by Namespace, CPU, Memory, and persistent storage.

Métodos de Sincronización: Arquitectura Híbrida Sync Methods: Hybrid Architecture

FinOps Hub ofrece dos modos de conexión flexibles para monitorizar y calcular el coste de Kubernetes según la arquitectura de red de tu clúster:

FinOps Hub provides two flexible connection modes for Kubernetes monitoring and cost calculation based on network architecture:

4. Panel de Control 4. Dashboard

El Panel de Control (Dashboard) es la pantalla principal que ofrece visibilidad centralizada sobre los costes cloud agregados del tenant. Proporciona una perspectiva consolidada y en tiempo real sobre el consumo y la eficiencia financiera de tus recursos.

The Dashboard is the main screen providing centralized visibility over aggregated tenant cloud costs, offering real-time consolidated insight into infrastructure efficiency.

Métricas Clave y KPIs Key Metrics & KPIs

En la parte superior del panel se visualizan tarjetas con métricas esenciales para la toma de decisiones:

Cards displaying essential metrics for decision-making appear at the top of the dashboard:

• Gasto Total: El coste incurrido acumulado en el mes corriente, acompañado de una proyección predictiva (forecast) a fin de mes calculada por el motor de estimación.
• Total Spend: Cumulative month-to-date cost with an end-of-month forecast calculated by the estimation engine.
• Ahorro Potencial: La suma estimada de reducción de costes mensuales que podrías obtener si aplicas el total de las recomendaciones activas.
• Potential Savings: Estimated monthly cost reduction achievable if all active recommendations are applied.
• Presupuestos Activos: Indicador del estado general de tus presupuestos y si existen desviaciones importantes.
• Active Budgets: General status indicator of budgets and active budget drift.
• Alertas de Consumo: Cantidad de alertas y anomalías de facturación detectadas sin leer en tu bandeja de entrada.
• Consumption Alerts: Unread billing anomalies and alerts detected in your inbox.

5. Presupuestos 5. Budgets

El módulo de Presupuestos permite fijar límites económicos máximos de gasto de forma personalizada para cada una de tus cuentas de nube y monitorizar en tiempo real las desviaciones.

The Budgets module allows setting maximum cost limits per cloud account and monitoring real-time budget drift.

Desviación Presupuestaria (Budget Drift) Budget Drift Status

• Verde: Consumo inferior al 70% del presupuesto mensual.
• Green: Spend under 70% of monthly budget.
• Amarillo: Consumo en el rango de 70% a 99%, advirtiendo de cercanía al límite.
• Yellow: Spend between 70% and 99%, warning of approaching limit.
• Rojo: Consumo excedido o con proyección inminente de superar el 100% del límite mensual.
• Red: Budget exceeded or projected to exceed 100% limit.

6. Gestión de Alertas 6. Alert Management

La sección de Alertas centraliza las notificaciones urgentes e informativas sobre anomalías en la facturación y picos de consumo inesperados en tu infraestructura.

The Alerts section centralizes notifications regarding billing anomalies and unexpected cost spikes across your infrastructure.

7. Gobernanza y Compliance 7. Governance and Compliance

El módulo de Gobernanza integra un motor de análisis de cumplimiento y políticas cloud encargado de velar por la higiene del gasto y la correcta clasificación de recursos.

The Governance module integrates cloud compliance policies to maintain spending hygiene and proper resource tagging.

8. Aplicar Recomendaciones 8. Apply Recommendations

La sección de Recomendaciones reúne todas las oportunidades de optimización y reducción de costes encontradas por los motores de auditoría financiera de la plataforma.

The Recommendations section gathers optimization and cost reduction opportunities detected by financial auditing engines.

9. Cuantificar Ahorro 9. Quantify Savings

La pestaña de Ahorro realiza un seguimiento detallado y cuantificable del valor financiero devuelto al negocio mediante la ejecución de remediaciones y optimizaciones.

The Savings tab tracks quantifiable financial value returned to the business through completed remediations.

10. Costes IaC (Terraform) 10. IaC Costs (Terraform)

El módulo de Costes IaC ayuda a predecir y auditar el impacto financiero que tendrán tus plantillas de Terraform u OpenTofu antes de desplegar o modificar recursos.

The IaC Costs module predicts financial impact of Terraform / OpenTofu code changes before deployment in your CI/CD pipelines.

Vinculación de Repositorios mediante Webhook Webhook Repository Linking

Ingesta de costes de infraestructura 100% segura mediante firmas HMAC (FINOPS_KEY_ID y FINOPS_SECRET_KEY) sin otorgar tokens de acceso ni permisos de clonado a repositorios privados.

100% secure infrastructure cost ingestion via HMAC signatures (FINOPS_KEY_ID & FINOPS_SECRET_KEY) without granting repository clone tokens.

11. Simulador GitOps 11. GitOps Simulator

El Simulador GitOps es un visor interactivo e instantáneo para estimar variaciones de coste a partir de archivos plan.json de Terraform locales sin configurar repositorios.

The GitOps Simulator is an instant interactive viewer estimating cost changes directly from local Terraform plan.json files.

12. Administración de Usuarios 12. User Management

La pestaña de Administración de Usuarios centraliza el control de accesos de seguridad a tu espacio de trabajo (Tenant) mediante RBAC (user y admin).

The User Management section centralizes security access controls for your workspace (Tenant) via RBAC (user and admin).

13. Ajustes y SSO Corporativo 13. Settings & Corporate SSO

La sección de Ajustes permite a los administradores personalizar los parámetros globales de la aplicación, habilitar asistentes virtuales (IA con Ollama/OpenAI/Anthropic) e integrar SSO Corporativo (OpenID Connect / OIDC).

The Settings section allows configuring global parameters, AI assistants (Ollama/OpenAI/Anthropic), and Corporate OIDC SSO (Okta, Keycloak, Entra ID, Google Workspace).

14. Centro de Soporte y Apertura de Incidencias 14. Support Center & Incident Management

Abre incidencias de soporte en tiempo real si experimentas dudas o problemas de sincronización en la plataforma.

Open real-time support tickets for any platform synchronization issues or technical inquiries.

15. Servidor MCP y Agentes de IA (Claude, Cursor, Copilot) 15. MCP Server & AI Agents (Claude, Cursor, Copilot)

¿Cómo funciona la Integración MCP? How Does MCP Integration Work?

El servidor MCP actúa como una capa intermedia segura entre los asistentes de IA externos y los datos consolidados de tu empresa. El modelo de IA nunca recibe credenciales de nube ni acceso directo a PostgreSQL; todas sus consultas se ejecutan a través de herramientas predefinidas y auditadas de solo lectura confinadas al espacio físico de tu inquilino (Database-per-Tenant).

The MCP server acts as a secure intermediary layer between external AI assistants and your organization's consolidated data. The LLM never receives cloud credentials or direct PostgreSQL access; all queries pass through predefined, read-only, audited tools confined to your tenant database.

Paso 1: Generar la Clave de API en el Portal Step 1: Generate API Key in the Portal

1. Inicia sesión en el portal y ve a Ajustes > Claves de API de Servicio.
2. Log in to the portal and navigate to Settings > Service API Keys.
3. Introduce un nombre descriptivo (ej: Claude Desktop FinOps o Cursor Workstation) y pulsa Generar Clave.
4. Enter a descriptive name (e.g., Claude Desktop FinOps or Cursor Workstation) and click Generate Key.
5. Copia el Token de Conexión MCP (formato key_id.secret_key) o el snippet preconfigurado con un clic.
6. Copy the MCP Connection Token (format key_id.secret_key) or preconfigured snippet with one click.

Paso 2: Conectar con Claude Desktop Step 2: Connect with Claude Desktop

Edita tu archivo de configuración de Claude Desktop (claude_desktop_config.json) y añade la definición del servidor SSE:

Edit your Claude Desktop configuration file (claude_desktop_config.json) and add the SSE server definition:

{
  "mcpServers": {
    "finops-hub": {
      "url": "https://portal.finopshub.es/api/mcp/sse",
      "headers": {
        "Authorization": "Bearer TU_KEY_ID.TU_SECRET_KEY"
      }
    }
  }
}

Paso 3: Conectar con Cursor IDE Step 3: Connect with Cursor IDE

En tu proyecto de Cursor, crea o edita el archivo .cursor/mcp.json:

In your Cursor project, create or edit the .cursor/mcp.json file:

{
  "mcpServers": {
    "finops-hub": {
      "url": "https://portal.finopshub.es/api/mcp/sse",
      "headers": {
        "Authorization": "Bearer TU_KEY_ID.TU_SECRET_KEY"
      }
    }
  }
}

Catálogo de Herramientas FinOps Disponibles Available FinOps Tools Catalog

Cualquier agente conectado tiene acceso inmediato a las siguientes herramientas financieras:

Any connected agent has instant access to the following financial tools:

• get_real_cloud_costs: Obtiene el gasto real consolidado por proveedor (AWS, Azure, GCP), periodo en días y comparativa de tendencia respecto al mes previo.
• get_real_cloud_costs: Retrieves real consolidated cloud spend per provider (AWS, Azure, GCP), time window in days, and MoM trend comparison.
• get_cost_breakdown_by_service: Desglose de gasto por categorías de infraestructura (Compute, Storage, Database, Network) y porcentajes de coste.
• get_cost_breakdown_by_service: Cost breakdown by service category (Compute, Storage, Database, Network) and percentage share.
• get_recommendations_and_waste: Consulta de oportunidades de optimización y detección de recursos huérfanos/ociosos con su potencial de ahorro mensual en USD.
• get_recommendations_and_waste: Optimization recommendations and orphan/idle resource detection with monthly potential savings.
• get_kubernetes_costs_and_efficiency: Resumen del estado de los clústeres Kubernetes, modo de conexión y avisos de sobreaprovisionamiento de CPU/Memoria.
• get_kubernetes_costs_and_efficiency: Status of Kubernetes clusters, connection modes, and CPU/Memory over-provisioning alerts.
• get_commitments_coverage: Métricas de cobertura y aprovechamiento de Savings Plans y Reserved Instances con cuantificación de gasto desperdiciado (waste).
• get_commitments_coverage: Coverage and utilization metrics for Savings Plans and RIs, quantifying wasted spend.
• get_budgets_and_alerts: Estado de los presupuestos configurados y alertas de picos o anomalías de consumo activas.
• get_budgets_and_alerts: Budget limits, actual consumption, and active anomaly alerts.
• get_governance_violations: Infracciones activas de políticas FinOps (recursos sin etiquetar, activos sin uso).
• get_governance_violations: Active FinOps policy breaches (untagged resources, unused assets).
• get_iac_impact_summary: Comparativa de costes previos vs estimados en Pull Requests e Infraestructura como Código (Terraform).
• get_iac_impact_summary: Previous vs estimated cost comparisons in Pull Requests and IaC (Terraform).
• list_cloud_accounts: Cuentas cloud conectadas y estado de la sincronización diaria.
• list_cloud_accounts: Connected cloud accounts and daily synchronization health status.

Recursos y Prompts Nativos Native Resources & Prompts

El servidor también expone el recurso finops://summary/overview para obtener un cuadro de mando ejecutivo instantáneo en una sola petición, y el prompt executive_cost_audit para generar informes ejecutivos estructurados listos para enviar al CTO o CFO.

The server also provides the finops://summary/overview resource for an instant executive snapshot in one request, and the executive_cost_audit prompt to generate structured reports for CTOs or CFOs.

16. FinOps Copilot (Asistente Integrado en el Portal) 16. FinOps Copilot (In-App Portal Assistant)

FinOps Copilot es el asistente interactivo integrado en el portal de FinOps Hub. Está diseñado para responder preguntas financieras y técnicas de forma directa, sin necesidad de navegar manualmente entre menús o tablas complejas.

FinOps Copilot is the interactive assistant built directly into the FinOps Hub portal. It answers financial and technical questions without requiring manual navigation across menus.

Filosofía BYOAI (Bring Your Own AI) y Privacidad BYOAI (Bring Your Own AI) & Privacy

En la sección de Ajustes > Asistente Virtual puedes elegir el motor que impulsa tu Copilot:

In Settings > AI Assistant you can select the engine powering your Copilot:

• Motor Determinista FinOps (Por Defecto): Funciona sin necesidad de configurar ninguna clave ni modelo externo. Analiza tus tablas PostgreSQL de forma instantánea y ofrece respuestas precisas con datos reales.
• FinOps Deterministic Engine (Default): Operates without requiring any external API key. Analyzes PostgreSQL tenant data instantly with exact numbers.
• Ollama (100% Local y Privado): Conecta una instancia de Ollama ejecutándose en tu propio clúster Kubernetes u oficina. Ningún dato de costes sale de tu infraestructura privada.
• Ollama (100% Local & Private): Connect an Ollama instance running inside your Kubernetes cluster or on-premise infrastructure. Zero financial data leaves your perimeter.
• OpenAI / Anthropic: Introduce tu clave de API para utilizar modelos de última generación como GPT-4o o Claude 3.5 Sonnet con razonamiento avanzado y síntesis de recomendaciones.
• OpenAI / Anthropic: Supply your API key to leverage state-of-the-art models like GPT-4o or Claude 3.5 Sonnet for advanced financial synthesis.