A AWS anunciou o account access manager, um novo recurso do IAM, o sistema que controla quem pode entrar e fazer o quê nas contas da Amazon Web Services. Ele permite gerenciar o acesso de funcionários às contas da empresa de um jeito mais simples e centralizado.

Até agora, empresas que usam a nuvem da AWS precisavam escolher entre dois caminhos, ambos com limitações. Um deles dava muita flexibilidade, mas exigia configurar o acesso separadamente em cada conta, como cadastrar a mesma porta de entrada em cada casa de um condomínio. O outro centralizava o acesso, mas com modelos de permissão mais rígidos, que nem sempre cabem em equipes com funções diferentes.

O novo recurso junta as duas vantagens: usa os papéis do IAM que as equipes já têm e os conecta ao IAM Identity Center, o ponto central de login. Assim, a empresa atribui papéis existentes diretamente a usuários e grupos, sem duplicar identidades. Cada ação fica registrada no nome do usuário que a fez, mesmo quando várias pessoas assumem um mesmo papel, o que facilita auditorias.

Na prática, o administrador cria uma autorização para o usuário acessar um papel em uma conta específica, e a pessoa entra pelo portal do account access manager, pelo portal do IAM Identity Center ou pela linha de comando com o comando aws login. A configuração pode ser feita pelo console da AWS, pela linha de comando, por SDKs, pelo CloudFormation e por ferramentas de terceiros como Terraform e Pulumi. A AWS informa que o recurso não tem custo adicional e vem ativado por padrão nas regiões comerciais, com exceções como GovCloud, China e regiões de adesão opcional.

Para quem administra redes, a AWS lembra que, se houver firewall de nova geração ou gateway de segurança web filtrando o acesso, é preciso liberar os domínios e endpoints do portal. Também é necessário ajustar a política de confiança do papel IAM antes de atribuí-lo, incluindo proteção contra o chamado confused deputy, e revisar a chave KMS gerenciada pelo cliente, caso a instância do IAM Identity Center use uma. A recomendação geral é testar primeiro em uma organização de teste.

Empresas como Okta, Ping Identity, Cisco Duo, Apono, BeyondTrust, Britive, Sonrai Security, C1.ai e Lumos anunciaram integração com o recurso. Quem usa a AWS no dia a dia deve seguir a documentação oficial do IAM antes de adotar a mudança.