Adição de um perfil do SSR Compute para permitir o acesso ao tópico de recursos da AWS

Essa integração permite atribuir um perfil do IAM ao serviço SSR Compute do Amplify para permitir que sua aplicação renderizada do lado do servidor (SSR) acesse com segurança recursos específicos da AWS com as permissões do perfil Por exemplo, é possível permitir que as funções de computação de SSR da sua aplicação acessem com segurança outros serviços ou recursos da AWS, como o Amazon Bedrock ou um bucket do Amazon S3, com base nas permissões definidas no perfil do IAM atribuído.

O perfil do IAM SSR Compute fornece credenciais temporárias, eliminando a necessidade de codificar credenciais de segurança de longa duração em variáveis de ambiente. O uso do perfil do IAM SSR Compute se alinha às práticas recomendadas de segurança da AWS de conceder permissões de privilégio mínimo e usar credenciais de curto prazo quando possível.

As instruções mais adiante nesta seção descrevem como criar uma política com permissões personalizadas e anexar a política a um perfil. Ao criar o perfil, será necessário anexar uma política de confiança personalizada que dê permissão ao Amplify para assumir o perfil. Se a relação de confiança não estiver definida corretamente, você receberá um erro ao tentar adicionar o perfil. A política de confiança personalizada a seguir concede ao Amplify a permissão de assumir o perfil.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "amplify.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

É possível associar um perfil do IAM em sua Conta da AWS a uma aplicação de SSR existente usando o console do Amplify, SDKs da AWS ou a AWS CLI. O perfil que você anexa é associado automaticamente ao serviço de computação de SSR do Amplify, concedendo a ele as permissões que você especifica para acessar outros recursos da AWS. Como as necessidades da sua aplicação mudam com o tempo, é possível modificar o perfil do IAM anexado sem reimplantar sua aplicação. Isso proporciona flexibilidade e reduz o tempo de inatividade da aplicação.

Criação de um perfil SSR Compute no console do IAM

Antes de poder anexar um perfil do IAM SSR Compute a uma aplicação do Amplify, o perfil já deve existir na sua Conta da AWS. Nesta seção, você aprenderá como criar uma política do IAM e vinculá-la a um perfil que o Amplify pode assumir para acessar recursos específicos da AWS.

Recomendamos que você siga as práticas recomendadas da AWS de conceder permissões de privilégio mínimo ao criar um perfil do IAM. O perfil do IAM SSR Compute é chamado somente a partir das funções de computação de SSR e, portanto, só deve conceder as permissões necessárias para a execução do código.

É possível usar o Console de gerenciamento da AWS, a AWS CLI ou os SDKs para criar políticas no IAM. Para obter mais informações, consulte Definição de permissões personalizadas do IAM com políticas gerenciadas pelo cliente no Guia do usuário do IAM.

As instruções a seguir demonstram como usar o console do IAM para criar uma política do IAM que define as permissões a serem concedidas ao serviço Amplify Compute.

Depois de criar uma política, use as instruções a seguir para anexar a política a um perfil do IAM.

Adição de um perfil do IAM SSR Compute a uma aplicação do Amplify

Depois de criar um perfil do IAM na sua Conta da AWS, será possível associá-lo a uma aplicação no console do Amplify.

Gerenciamento da segurança do perfil SSR Compute do IAM

A segurança é uma responsabilidade compartilhada entre a AWS e você. Você é responsável por configurar a aplicação para atender aos seus objetivos de segurança e conformidade. Isso inclui gerenciar seu perfil SSR Compute, que deve ser configurado para ter o conjunto mínimo de permissões necessárias para dar suporte ao seu caso de uso. As credenciais para o perfil SSR Compute que você especifica estão imediatamente disponíveis no runtime da sua função de SSR. Se seu código de SSR expuser essas credenciais, intencionalmente, devido a um bug ou ao permitir a execução remota de código (RCE), um usuário não autorizado poderá obter acesso ao perfil de SSR e suas permissões.

Quando uma aplicação em um repositório público usa um perfil SSR Compute e a criação automática de ramificações ou pré-visualizações na Web para solicitações de pull, é necessário cuidadosamente quais ramificações podem acessar o perfil. Recomendamos que você não use um perfil no nível da aplicação. Em vez disso, é necessário anexar um perfil de computação no nível da ramificação. Isso permite que você conceda permissões somente às ramificações que exijam acesso a recursos específicos.

Se as credenciais do seu perfil estiverem expostas, execute as ações a seguir para remover todo o acesso às credenciais do perfil.