🔐 AWS IAM

O que é o AWS IAM?

O AWS Identity and Access Management (IAM) permite gerenciar com segurança o acesso aos serviços e recursos da AWS. Com o IAM, você pode criar e gerenciar usuários, grupos e permissões para permitir ou negar acesso aos recursos da AWS.

Conceitos-Chave

Usuários (Users)

Representam pessoas ou aplicações que interagem com a AWS. Cada usuário tem credenciais únicas.

Grupos (Groups)

Coleção de usuários. Permissões aplicadas ao grupo são herdadas por todos os membros.

Políticas (Policies)

Documentos JSON que definem permissões. Especificam quais ações são permitidas ou negadas em quais recursos.

Exemplo de política:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": "s3:GetObject",
    "Resource": "arn:aws:s3:::meu-bucket/*"
  }]
}

Roles (Funções)

Identidade com permissões específicas que pode ser assumida por usuários, aplicações ou serviços AWS.

• Não têm credenciais de longo prazo
• Usadas por serviços AWS (ex: EC2 acessar S3)
• Podem ser assumidas temporariamente

MFA (Multi-Factor Authentication)

Camada adicional de segurança que requer um segundo fator além da senha.

Melhores Práticas

• Princípio do Menor Privilégio: Conceda apenas as permissões necessárias
• Não use a conta root: Crie usuários IAM para tarefas diárias
• Ative MFA: Especialmente para conta root e usuários privilegiados
• Use grupos: Atribua permissões a grupos, não a usuários individuais
• Rotação de credenciais: Altere senhas e access keys regularmente
• Use roles para aplicações: Não incorpore credenciais no código
• Monitore atividades: Use CloudTrail para auditoria

Tipos de Credenciais

• Senha: Para acesso ao Console AWS
• Access Keys: Para acesso programático (CLI, SDK, API)
• SSH Keys: Para CodeCommit
• Certificados SSL/TLS: Para alguns serviços AWS

IAM vs Resource-Based Policies

• Identity-based: Anexadas a usuários, grupos ou roles
• Resource-based: Anexadas a recursos (ex: bucket S3, fila SQS)