# Identity and Access Management para o AWS Well-Architected Tool AWS Identity and Access Management (IAM) é um serviço da AWS service (Serviço da AWS) que ajuda o administrador no controle de segurança de acesso aos recursos da AWS de forma segura. Os administradores do IAM controlam quem pode ser *autenticado* (fazer login) e *autorizado* (ter permissões) a usar os recursos do AWS WA Tool. O IAM é um AWS service (Serviço da AWS) que pode ser usado sem custo adicional. **Topics** + [Público](#security_iam_audience) + [Autenticação com identidades](#security_iam_authentication) + [Gerenciar o acesso usando políticas](#security_iam_access-manage) + [Como o AWS Well-Architected Tool funciona com o IAM](security_iam_service-with-iam.md) + [Exemplos de políticas baseadas em identidade do AWS Well-Architected Tool](security_iam_id-based-policy-examples.md) + [Políticas gerenciadas pela AWS para o AWS Well-Architected Tool](security-iam-awsmanpol.md) + [Solução de problemas de identidade e acesso do AWS Well-Architected Tool](security_iam_troubleshoot.md) ## Público A forma como você usa o AWS Identity and Access Management (IAM) difere com base em seu perfil: + **Usuário do serviço**: solicite permissões ao seu administrador se você não conseguir acessar os atributos (consulte [Solução de problemas de identidade e acesso do AWS Well-Architected Tool](security_iam_troubleshoot.md)). + **Administrador do serviço**: determine o acesso do usuário e envie solicitações de permissão (consulte [Como o AWS Well-Architected Tool funciona com o IAM](security_iam_service-with-iam.md)) + **Administrador do IAM**: escreva políticas para gerenciar o acesso (consulte [Exemplos de políticas baseadas em identidade do AWS Well-Architected Tool](security_iam_id-based-policy-examples.md)) ## Autenticação com identidades A autenticação é a forma como fazer login na AWS usando suas credenciais de identidade. Você precisa se autenticar como o Usuário raiz da conta da AWS, como um usuário do IAM ou assumindo um perfil do IAM. Você pode fazer login como uma identidade federada usando credenciais de uma fonte de identidade, como o Centro de Identidade do AWS IAM (Centro de Identidade do IAM), autenticação única ou credenciais do Google/Facebook. Para ter mais informações sobre como fazer login, consulte [Como fazer login em sua Conta da AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) no *Guia do usuário do Início de Sessão da AWS*. Para acesso programático, a AWS oferece um SDK e uma CLI para assinar solicitações criptograficamente. Para ter mais informações, consulte [AWS Signature Version 4 para solicitações de API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) no *Guia do usuário do IAM*. ### Usuário-raiz Conta da AWS Ao criar uma Conta da AWS, você começa com uma identidade de login única chamada *usuário-raiz* da Conta da AWS, que tem acesso total a todos os recursos e Serviços da AWS. É altamente recomendável não usar o usuário-raiz em tarefas diárias. Consulte as tarefas que exigem credenciais de usuário-raiz em [Tarefas que exigem credenciais de usuário-raiz](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) no *Guia do usuário do IAM*. ### Identidade federada Como prática recomendada, exija que os usuários humanos usem a federação com um provedor de identidades para acessar a Serviços da AWS usando credenciais temporárias. Uma *identidade federada* é um usuário do seu diretório empresarial, de um provedor de identidades da web ou do Directory Service que acessa Serviços da AWS usando credenciais de uma fonte de identidade. As identidades federadas assumem funções que oferecem credenciais temporárias. Para o gerenciamento de acesso centralizado, recomendamos Centro de Identidade do AWS IAM. Para saber mais, consulte [O que é o IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) no *Guia do usuário do Centro de Identidade do AWS IAM*. ### Usuários e grupos do IAM Um *[usuário do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* é uma identidade com permissões específicas para uma única pessoa ou aplicação. É recomendável usar credenciais temporárias, em vez de usuários do IAM com credenciais de longo prazo. Para saber mais, consulte [Exigir que os usuários humanos usem a federação com um provedor de identidade para acessar a AWS usando credenciais temporárias](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) no *Guia do usuário do IAM*. Um [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) especifica um conjunto de usuários do IAM e facilita o gerenciamento de permissões para grandes conjuntos de usuários. Para ter mais informações, consulte [Casos de uso de usuários do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) no *Guia do usuário do IAM*. ### Perfis do IAM Uma *[perfil do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* é uma identidade com permissões específicas que oferece credenciais temporárias. É possível assumir um perfil [alternando de um usuário para um perfil do IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) ou chamando uma operação de API AWS CLI ou AWS. Para saber mais, consulte [Métodos para assumir um perfil](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) no *Manual do usuário do IAM*. Os perfis do IAM são úteis para acesso de usuário federado, permissões de usuário do IAM temporárias, acesso entre contas, acesso entre serviços e aplicações em execução no Amazon EC2. Consulte mais informações em [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*. ## Gerenciar o acesso usando políticas Você controla o acesso na AWS criando políticas e anexando-as a identidades ou recursos da AWS. Uma política define permissões quando associada a uma identidade ou a um recurso. A AWS avalia essas políticas quando a entidade principal faz uma solicitação. A maioria das políticas é armazenada na AWS como documentos JSON. Para ter mais informações sobre documentos de política JSON, consulte [Visão geral das políticas JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) no *Guia do usuário do IAM*. Por meio de políticas, os administradores especificam quem tem acesso a que, definindo qual **entidade principal** pode realizar **ações** em quais **recursos** e sob quais **condições**. Por padrão, usuários e perfis não têm permissões. Um administrador do IAM cria políticas do IAM e as adiciona aos perfis, os quais os usuários podem então assumir. As políticas do IAM definem permissões, independentemente do método usado para realizar a operação. ### Políticas baseadas em identidade As políticas baseadas em identidade são documentos de políticas de permissão JSON que você anexa a uma identidade (usuário, grupo ou perfil). Essas políticas controlam quais ações as identidades podem realizar, em quais recursos e sob quais condições. Para saber como criar uma política baseada em identidade, consulte [Definir permissões personalizadas do IAM com as políticas gerenciadas pelo cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) no *Guia do Usuário do IAM*. As políticas baseadas em identidade podem ser políticas *em linha* (incorporadas diretamente em uma única identidade) ou *políticas gerenciadas* (políticas autônomas anexadas a várias identidades). Para saber como escolher entre uma política gerenciada e políticas em linha, consulte [Escolher entre políticas gerenciadas e políticas em linha](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) no *Guia do usuário do IAM*. ### Políticas baseadas em recursos Políticas baseadas em recursos são documentos de políticas JSON que você anexa a um recurso. Entre os exemplos estão *políticas de confiança de perfil* do IAM e *políticas de bucket* do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. É necessário [especificar uma entidade principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) em uma política baseada em recursos. Políticas baseadas em recursos são políticas em linha localizadas nesse serviço. Não é possível usar as políticas gerenciadas pela AWS do IAM em uma política baseada em atributos. ### Outros tipos de política A AWS permite outros tipos de política capazes de definir o máximo de permissões concedidas por tipos de política mais comuns: + **Limites de permissões**: definem o número máximo de permissões que uma política baseada em identidade pode conceder a uma entidade do IAM. Para saber mais sobre limites de permissões, consulte [Limites de permissões para identidades do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) no *Guia do usuário do IAM*. + **Políticas de Controle de Serviços (SCPs)**: as SCPs especificam o número máximo de permissões para uma organização ou uma unidade organizacional no AWS Organizations. Para saber mais, consulte [Políticas de controle de serviço](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) no *Guia do usuário do AWS Organizations*. + **Políticas de controle de recursos (RCPs)**: definem o número máximo de permissões disponíveis para recursos em suas contas. Consulte mais informações em [Resource control policies (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) no *Guia do usuário do AWS Organizations*. + **Políticas de sessão**: políticas avançadas transmitidas como um parâmetro durante a criação de uma sessão temporária para um perfil ou um usuário federado. Para saber mais, consulte [Políticas de sessão](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) no *Guia do usuário do IAM*. ### Vários tipos de política Quando vários tipos de política são aplicáveis a uma solicitação, é mais complicado compreender as permissões resultantes. Para saber como a AWS determina permitir ou não uma solicitação quando há vários tipos de política envolvidos, consulte [Lógica da avaliação de políticas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) no *Guia do Usuário do IAM*. # Como o AWS Well-Architected Tool funciona com o IAM Antes de usar o IAM para gerenciar o acesso ao AWS WA Tool, saiba quais recursos do IAM estão disponíveis para uso com o AWS WA Tool. **Recursos do IAM que você pode usar com o AWS Well-Architected Tool** | Atributo do IAM | Suporte a AWS WA Tool | | --- | --- | | [Políticas baseadas em identidade](#security_iam_service-with-iam-id-based-policies) | Sim | | [Políticas baseadas em recurso](#security_iam_service-with-iam-resource-based-policies) | Não | | [Ações de políticas](#security_iam_service-with-iam-id-based-policies-actions) | Sim | | [Recursos de políticas](#security_iam_service-with-iam-id-based-policies-resources) | Sim | | [Chaves de condição de política (específicas do serviço)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Sim | | [ACLs](#security_iam_service-with-iam-acls) | Não | | [ABAC (tags em políticas)](#security_iam_service-with-iam-tags) | Sim | | [Credenciais temporárias](#security_iam_service-with-iam-roles-tempcreds) | Sim | | [Permissões de entidade principal](#security_iam_service-with-iam-principal-permissions) | Sim | | [Perfis de serviço](#security_iam_service-with-iam-roles-service) | Não | | [Funções vinculadas ao serviço](#security_iam_service-with-iam-roles-service-linked) | Não | Para obter uma visualização de alto nível de como o AWS WA Tool e outros serviços da AWS funcionam com a maioria dos recursos do IAM, consulte [AWSServiços da compatíveis com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) no *Guia do usuário do IAM*. ## Políticas baseadas em identidade do AWS WA Tool **Compatível com ações de políticas:** sim Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**. O elemento `Action` de uma política JSON descreve as ações que podem ser usadas para permitir ou negar acesso em uma política. Incluem ações em uma política para conceder permissões para executar a operação associada. ## Políticas baseadas em recursos no AWS WA Tool **Compatibilidade com políticas baseadas em recursos:** não Políticas baseadas em recursos são documentos de políticas JSON que você anexa a um recurso. São exemplos de políticas baseadas em recursos as *políticas de confiança de perfil* do IAM e as *políticas de bucket* do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. Para o atributo ao qual a política está anexada, a política define quais ações uma entidade principal especificado pode executar nesse atributo e em que condições. É necessário [especificar uma entidade principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) em uma política baseada em recursos. As entidades principais podem incluir contas, usuários, perfis, usuários federados ou Serviços da AWS. Para permitir o acesso entre contas, é possível especificar uma conta inteira ou as entidades do IAM em outra conta como a entidade principal em uma política baseada em recursos. Consulte mais informações em [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*. ## Ações de políticas para o AWS WA Tool **Compatível com ações de políticas:** sim Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**. O elemento `Action` de uma política JSON descreve as ações que podem ser usadas para permitir ou negar acesso em uma política. Incluem ações em uma política para conceder permissões para executar a operação associada. As ações de políticas no AWS WA Tool usam o seguinte prefixo antes da ação: `wellarchitected:`. Por exemplo, para permitir que uma entidade defina uma workload, um administrador deve anexar uma política que permita ações .`wellarchitected:CreateWorkload` Da mesma forma, para impedir que uma entidade exclua workloads, um administrador pode anexar uma política que negue ações .`wellarchitected:DeleteWorkload` As declarações de política devem incluir um elemento `Action` ou AWS WA Tool. O `NotAction` define seu próprio conjunto de ações que descrevem as tarefas que podem ser executadas com esse serviço. Para ver uma lista das ações do AWS WA Tool, consulte[ Ações definidas pelo AWS Well-Architected Tool](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswell-architectedtool.html#awswell-architectedtool-actions-as-permissions) na *Referência de autorização do serviço*. ## Recursos de políticas **Compatível com recursos de políticas:** sim Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**. O elemento de política JSON `Resource` especifica o objeto ou os objetos aos quais a ação se aplica. Como prática recomendada, especifique um recurso usando seu [nome do recurso da Amazon (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Para ações que não oferecem compatibilidade com permissões em nível de recurso, use um curinga (\$1) para indicar que a instrução se aplica a todos os recursos. ``` "Resource": "*" ``` Para ver uma lista dos tipos de recurso do AWS WA Tool e os respectivos ARNs, consulte [Resources defined by AWS Well-Architected Tool](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswell-architectedtool.html#your_service-resources-for-iam-policies) na *Referência de autorização do serviço*. Para saber com quais ações é possível especificar o ARN de cada recurso, consulte [Ações definidas peloAWS Well-Architected Tool](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswell-architectedtool.html#your_service-actions-as-permissions). O recurso da workload do AWS WA Tool tem o seguinte ARN: ``` arn:${Partition}:wellarchitected:${Region}:${Account}:workload/${ResourceId} ``` Para obter mais informações sobre o formato de ARNs, consulte [Nomes de recursos da Amazon (ARNs)AWS e namespaces de serviços da ](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html) O ARN pode ser encontrado na página **Workload properties** (Propriedades da workload) de uma workload. Por exemplo, para especificar uma carga de trabalho: ``` "Resource": "arn:aws:wellarchitected:us-west-2:123456789012:workload/11112222333344445555666677778888" ``` Para especificar todas as cargas de trabalho que pertencem a uma conta específica, use o caractere curinga (\$1): ``` "Resource": "arn:aws:wellarchitected:us-west-2:123456789012:workload/*" ``` Algumas ações do AWS WA Tool, como as ações de criação e listagem de workloads, não podem ser executadas em um recurso específico. Nesses casos, é necessário utilizar o caractere curinga (\$1). ``` "Resource": "*" ``` Para obter uma lista dos tipos de recursos AWS WA Tool e seus ARNs, consulte[ Recursos definidos por AWS Well-Architected Tool](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswell-architectedtool.html#awswell-architectedtool-resources-for-iam-policies) na *Referência de autorização do serviço*. Para saber com quais ações você pode especificar o ARN de cada recurso, consulte [Ações definidas pelo AWS Well-Architected Tool](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awswell-architectedtool.html#awswell-architectedtool-actions-as-permissions). ## Chaves de condição de políticas para AWS WA Tool **Compatível com chaves de condição de política específicas de serviço:** sim Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**. O elemento `Condition` especifica quando as instruções são executadas com base em critérios definidos. É possível criar expressões condicionais que usem [agentes de condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), como “igual a” ou “menor que”, para fazer a condição da política corresponder aos valores na solicitação. Para ver todas as chaves de condição globais da AWS, consulte [Chaves de contexto de condição globais da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) no *Guia do usuário do IAM*. O AWS WA Tool fornece uma chave de condição específica do serviço (`wellarchitected:JiraProjectKey`) e permite o uso de algumas chaves de condição globais. Para ver todas as chaves de condição globais da AWS, consulte [Chaves de contexto de condição globais da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) na *Referência de autorização de serviço*. Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**. O elemento `Condition` especifica quando as instruções são executadas com base em critérios definidos. É possível criar expressões condicionais que usem [agentes de condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), como “igual a” ou “menor que”, para fazer a condição da política corresponder aos valores na solicitação. Para ver todas as chaves de condição globais da AWS, consulte [Chaves de contexto de condição globais da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) no *Guia do usuário do IAM*. ## ACLs no AWS WA Tool **Compatível com ACLs:** não As listas de controle de acesso (ACLs) controlam quais entidades principais (membros, usuários ou perfis da conta) têm permissões para acessar um recurso. As ACLs são semelhantes às políticas baseadas em recursos, embora não usem o formato de documento de política JSON. ## Autorização baseada em tags do AWS WA Tool **Compatível com ABAC (tags em políticas):** sim O controle de acesso por atributo (ABAC) é uma estratégia de autorização que define permissões com base em atributos chamados de tags. Você pode anexar tags a entidades do IAM e recursos da AWS e, em seguida, projetar políticas de ABAC para permitir operações quando a tag da entidade principal corresponder à tag no recurso. Para controlar o acesso baseado em tags, forneça informações sobre as tags no [elemento de condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) de uma política usando as `aws:ResourceTag/key-name`, `aws:RequestTag/key-name` ou chaves de condição `aws:TagKeys`. Se um serviço for compatível com as três chaves de condição para cada tipo de recurso, o valor será **Sim** para o serviço. Se um serviço for compatível com as três chaves de condição somente para alguns tipos de recursos, o valor será **Parcial** Para saber mais sobre o ABAC, consulte [Definir permissões com autorização do ABAC](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) no *Guia do usuário do IAM*. Para visualizar um tutorial com etapas para configurar o ABAC, consulte [Usar controle de acesso por atributo (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) no *Guia do usuário do IAM*. ## Usar credenciais temporárias com o AWS WA Tool **Compatível com credenciais temporárias:** sim As credenciais temporárias dão acesso de curto prazo aos recursos da AWS e são criadas automaticamente quando você usa a federação ou alterna os perfis. A AWS recomenda a você gerar credenciais temporárias dinamicamente, em vez de usar chaves de acesso de longo prazo. Para ter mais informações, consulte [Credenciais de segurança temporárias no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) e [Serviços da Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) no *Guia do usuário do IAM*. ## Permissões de entidade principal entre serviços para o AWS WA Tool **Compatibilidade com o recurso de encaminhamento de sessões de acesso (FAS):** sim As sessões de acesso direto (FAS) usam as permissões da entidade principal chamando um AWS service (Serviço da AWS), bem como o AWS service (Serviço da AWS) solicitante, para fazer solicitações a serviços subsequentes. Para obter detalhes da política ao fazer solicitações de FAS, consulte [Encaminhamento de sessões de acesso](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html). ## Funções de serviço para AWS WA Tool **Compatível com perfis de serviço:** não O perfil de serviço é um [perfil do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) que um serviço assume para executar ações em seu nome. Um administrador do IAM pode criar, modificar e excluir um perfil de serviço do IAM. Para obter mais informações, consulte [Criar um perfil para delegar permissões a um AWS service (Serviço da AWS)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) no *Guia do Usuário do IAM*. ## Funções vinculadas ao serviço para o AWS WA Tool **Compatível com perfis vinculados ao serviço:** Não Um perfil vinculado a serviço é um tipo de perfil de serviço vinculado a um AWS service (Serviço da AWS). O serviço pode presumir o perfil de executar uma ação em seu nome. Perfis vinculados ao serviço aparecem em sua Conta da AWS e são de propriedade do serviço. Um administrador do IAM pode visualizar, mas não editar as permissões para perfis vinculados ao serviço. Para obter detalhes sobre como criar ou gerenciar perfis vinculados a serviços, consulte [Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Encontre um serviço na tabela que inclua um `Yes` na coluna **Perfil vinculado ao serviço**. Escolha o link **Sim** para visualizar a documentação da função vinculada a serviço desse serviço. # Exemplos de políticas baseadas em identidade do AWS Well-Architected Tool Por padrão, usuários e funções não têm permissão para criar ou modificar recursos do AWS WA Tool. Eles também não podem executar tarefas usando o Console de gerenciamento da AWS, a AWS CLI ou uma API da AWS. Um administrador do IAM deve criar políticas do IAM que concedam aos usuários e perfis permissão para executarem operações de API específicas nos recursos especificados de que precisam. O administrador deve anexar essas políticas aos usuários ou grupos que exigem essas permissões. Para saber como criar uma política baseada em identidade do IAM usando esses exemplos de documentos de política JSON, consulte [Criar políticas na guia JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor) no *Guia do usuário do IAM*. **Topics** + [Práticas recomendadas de política](#security_iam_service-with-iam-policy-best-practices) + [Usar o console do AWS WA Tool](#security_iam_id-based-policy-examples-console) + [Permitir que os usuários visualizem suas próprias permissões](#security_iam_id-based-policy-examples-view-own-permissions) + [Conceder acesso total às workloads](#security_iam_id-based-policy-examples-full-access) + [Conceder acesso somente leitura às workloads](#security_iam_id-based-policy-examples-readonly-access) + [Acessar uma workload](#security_iam_id-based-policy-examples-access-one-workload) + [Usar uma chave de condição específica do serviço para o Conector da AWS Well-Architected Tool para Jira](#security_iam_id-based-policy-examples-service-specific-condition-key) ## Práticas recomendadas de política As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do AWS WA Tool em sua conta. Essas ações podem incorrer em custos para seus Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações: + **Comece com as políticas gerenciadas pela AWS e avance para as permissões de privilégio mínimo**: para começar a conceder permissões a seus usuários e workloads, use as *políticas gerenciadas pela AWS*, que concedem permissões para muitos casos de uso comuns. Elas estão disponíveis em seus Conta da AWS. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo cliente da AWS que são específicas para seus casos de uso. Para saber mais, consulte [Políticas gerenciadas pela AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [Políticas gerenciadas pela AWS para funções de trabalho](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) no *Guia do usuário do IAM*. + **Aplique permissões de privilégio mínimo**: ao definir permissões com as políticas do IAM, conceda apenas as permissões necessárias para executar uma tarefa. Você faz isso definindo as ações que podem ser executadas em recursos específicos sob condições específicas, também conhecidas como *permissões de privilégio mínimo*. Para saber mais sobre como usar o IAM para aplicar permissões, consulte [Políticas e permissões no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) no *Guia do usuário do IAM*. + **Use condições nas políticas do IAM para restringir ainda mais o acesso**: é possível adicionar uma condição às políticas para limitar o acesso a ações e recursos. Por exemplo, é possível escrever uma condição de política para especificar que todas as solicitações devem ser enviadas usando SSL. Também pode usar condições para conceder acesso a ações de serviço, se elas forem usadas por meio de um AWS service (Serviço da AWS) específico, como o CloudFormation. Para saber mais, consulte [Elementos da política JSON do IAM: condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) no *Guia do usuário do IAM*. + **Use o IAM Access Analyzer para validar suas políticas do IAM a fim de garantir permissões seguras e funcionais**: o IAM Access Analyzer valida as políticas novas e existentes para que elas sigam a linguagem de política do IAM (JSON) e as práticas recomendadas do IAM. O IAM Access Analyzer oferece mais de cem verificações de política e recomendações práticas para ajudar a criar políticas seguras e funcionais. Para saber mais, consulte [Validação de políticas do IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) no *Guia do Usuário do IAM*. + **Exigir autenticação multifator (MFA)**: se houver um cenário que exija usuários do IAM ou um usuário raiz em sua Conta da AWS, ative a MFA para obter segurança adicional. Para exigir MFA quando as operações de API forem chamadas, adicione condições de MFA às suas políticas. Para saber mais, consulte [Configuração de acesso à API protegido por MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) no *Guia do Usuário do IAM*. Para saber mais sobre as práticas recomendadas do IAM, consulte [Práticas recomendadas de segurança no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) no *Guia do usuário do IAM*. ## Usar o console do AWS WA Tool Para acessar o console do AWS Well-Architected Tool, você deve ter um conjunto mínimo de permissões. Essas permissões devem autorizar você a listar e visualizar detalhes sobre os recursos do AWS WA Tool na sua Conta da AWS. Caso crie uma política baseada em identidade mais restritiva que as permissões mínimas necessárias, o console não funcionará como pretendido para entidades (usuários ou perfis) com essa política. Para garantir que essas entidades ainda possam usar o console do AWS WA Tool, anexe também a seguinte política gerenciada pela AWS às entidades: ``` WellArchitectedConsoleReadOnlyAccess ``` Para permitir a capacidade de criar, alterar e excluir workloads, anexe a seguinte política gerenciada pela AWS às entidades: ``` WellArchitectedConsoleFullAccess ``` Para obter mais informações, consulte [Adicionar permissões a um usuário](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console) no *Guia do usuário do IAM*. Não é necessário conceder permissões mínimas do console para usuários que fazem chamadas somente à AWS CLI ou à API do AWS. Em vez disso, permita o acesso somente às ações que correspondem à operação da API que você está tentando executar. ## Permitir que os usuários visualizem suas próprias permissões Este exemplo mostra como criar uma política que permita que os usuários do IAM visualizem as políticas gerenciadas e em linha anexadas a sua identidade de usuário. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando a AWS CLI ou a API da AWS. ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## Conceder acesso total às workloads Neste exemplo, você deseja conceder a um usuário em seu acesso total Conta da AWS às suas workloads. O acesso total permite que o usuário execute todas as ações no AWS WA Tool. Esse acesso é necessário para definir, excluir, visualizar e atualizar cargas de trabalho. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "wellarchitected:*" ], "Resource": "*" } ] } ``` ------ ## Conceder acesso somente leitura às workloads Neste exemplo, você deseja conceder a um usuário em seu acesso somente leitura Conta da AWS às suas workloads. O acesso somente leitura só permite que o usuário visualize workloads no AWS WA Tool. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "wellarchitected:Get*", "wellarchitected:List*" ], "Resource": "*" } ] } ``` ------ ## Acessar uma workload Neste exemplo, você deseja conceder a um usuário em seu Conta da AWSacesso somente leitura a uma de suas workloads, `99999999999955555555555566666666`, na `us-west-2` Região. O ID da conta é `777788889999`. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "wellarchitected:Get*", "wellarchitected:List*" ], "Resource": "arn:aws:wellarchitected:us-west-2:777788889999:workload/999999999999555555555555666666666" } ] } ``` ------ ## Usar uma chave de condição específica do serviço para o Conector da AWS Well-Architected Tool para Jira Este exemplo demonstra como usar a chave de condição `wellarchitected:JiraProjectKey` específica do serviço para controlar quais projetos do Jira podem ser vinculados às workloads em sua conta. Descrevemos abaixo os usos relevantes da chave de condição: + **`CreateWorkload:`** quando você aplica `wellarchitected:JiraProjectKey` a `CreateWorkload`, é possível definir quais projetos personalizados do Jira podem ser vinculados a qualquer workload criada pelo usuário. Por exemplo, se um usuário tentar criar uma workload com o projeto ABC, mas a política especificar apenas o projeto PQR, a ação será negada. + **`UpdateWorkload:`** quando você aplica `wellarchitected:JiraProjectKey` a `UpdateWorkload`, é possível definir quais projetos personalizados do Jira podem ser vinculados a essa workload específica ou a qualquer workload. Por exemplo, se um usuário tentar atualizar uma workload com o projeto ABC, mas a política especificar o projeto PQR, a ação será negada. Além disso, se o usuário tiver uma workload vinculada ao projeto PQR e tentar atualizá-la para ser vinculada ao projeto ABC, a ação será negada. + **`UpdateGlobalSettings:`** quando você aplica `wellarchitected:JiraProjectKey` a `UpdateGlobalSettings`, é possível definir quais projetos personalizados do Jira podem ser vinculados à Conta da AWS. A configuração em nível de conta protege as workloads em sua conta que não substituem as configurações do Jira em nível de conta. Por exemplo, se um usuário tiver acesso a `UpdateGlobalSettings`, ele não poderá vincular workloads em sua conta a nenhum projeto que não esteja especificado na política. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": [ "wellarchitected:UpdateGlobalSettings", "wellarchitected:CreateWorkload" ], "Resource": "*", "Condition": { "StringEqualsIfExists": { "wellarchitected:JiraProjectKey": ["ABC, PQR"] } } }, { "Sid": "VisualEditor1", "Effect": "Allow", "Action": [ "wellarchitected:UpdateWorkload" ], "Resource": "arn:aws:wellarchitected:us-east-1:111122223333:workload/example-workload", "Condition": { "StringEqualsIfExists": { "wellarchitected:JiraProjectKey": ["ABC, PQR"] } } } ] } ``` ------ # Políticas gerenciadas pela AWS para o AWS Well-Architected Tool Uma política gerenciada pela AWS é uma política independente criada e administrada pela AWS. As políticas gerenciadas pela AWS são criadas para fornecer permissões a vários casos de uso comuns a fim de que você possa começar a atribuir permissões a usuários, grupos e perfis. Lembre-se de que as políticas gerenciadas pela AWS podem não conceder permissões de privilégio mínimo para casos de uso específicos, por estarem disponíveis para uso por todos os clientes da AWS. Recomendamos que você reduza ainda mais as permissões definindo as [ políticas gerenciadas pelo cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies) que são específicas para seus casos de uso. Não é possível alterar as permissões definidas em políticas gerenciadas pela AWS. Se a AWS atualiza as permissões definidas em um política gerenciada por AWS, a atualização afeta todas as identidades de entidades principais (usuários, grupos e perfis) às quais a política estiver vinculada. É provável que a AWS atualize uma política gerenciada por AWS quando um novo AWS service (Serviço da AWS) for lançado, ou novas operações de API forem disponibilizadas para os serviços existentes. Para obter mais informações, consulte [Políticas gerenciadas pela AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) no *Guia do usuário do IAM*. ## AWS Política gerenciada da: WellArchitectedConsoleFullAccess É possível anexar a política `WellArchitectedConsoleFullAccess` a suas identidades do IAM. Essa política concede o acesso total ao AWS Well-Architected Tool. **Detalhes da permissão** ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Action" : [ "wellarchitected:*" ], "Resource": "*" } ] } ``` ------ ## AWS Política gerenciada pela: WellArchitectedConsoleReadOnlyAccess É possível anexar a política `WellArchitectedConsoleReadOnlyAccess` às suas identidades do IAM. Essa política concede acesso somente leitura ao AWS Well-Architected Tool. **Detalhes da permissão** ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "wellarchitected:Get*", "wellarchitected:List*", "wellarchitected:ExportLens" ], "Resource": "*" } ] } ``` ------ ## AWS Política gerenciada da: AWSWellArchitectedOrganizationsServiceRolePolicy É possível anexar a política `AWSWellArchitectedOrganizationsServiceRolePolicy` às identidades do IAM. Essa política concede permissões administrativas no AWS Organizations necessárias para dar suporte à integração do AWS Well-Architected Tool com o Organizations. Essas permissões autorizam a conta de gerenciamento da organização a habilitar o compartilhamento de recursos com o AWS WA Tool. **Detalhes das permissões** Esta política inclui as seguintes permissões. + `organizations:ListAWSServiceAccessForOrganization`: permite que as entidades principais verifiquem se o acesso ao serviço da AWS está habilitado para o AWS WA Tool. + `organizations:DescribeAccount`: permite que as entidades principais recuperem informações sobre uma conta na organização. + `organizations:DescribeOrganization`: permite que as entidades principais recuperem informações sobre uma conta na organização. + `organizations:ListAccounts`: permite que as entidades principais recuperem a lista de contas que pertencem a uma organização. + `organizations:ListAccountsForParent`: permite que as entidades principais recuperem a lista de contas que pertencem a uma organização de determinado nó raiz na organização. + `organizations:ListChildren`: permite que as entidades principais recuperem a lista de contas e unidades organizacionais que pertencem a uma organização de determinado nó raiz na organização. + `organizations:ListParents`: permite que as entidades principais recuperem a lista de pais imediatos especificada pela UO ou pela conta em uma organização. + `organizations:ListRoots`: permite que as entidades principais recuperem a lista de todos os nós raiz de uma organização. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "organizations:ListAWSServiceAccessForOrganization", "organizations:DescribeAccount", "organizations:DescribeOrganization", "organizations:ListAccounts", "organizations:ListAccountsForParent", "organizations:ListChildren", "organizations:ListParents", "organizations:ListRoots" ], "Resource": "*" } ] } ``` ------ ## Política gerenciada pela AWS: AWSWellArchitectedDiscoveryServiceRolePolicy É possível anexar a política `AWSWellArchitectedDiscoveryServiceRolePolicy` às suas identidades do IAM. Essa política permite que o AWS Well-Architected Tool acesse serviços e recursos da AWS relacionados a recursos do AWS WA Tool. **Detalhes das permissões** Esta política inclui as seguintes permissões. + `trustedadvisor:DescribeChecks`: lista as verificações disponíveis do Trusted Advisor. + `trustedadvisor:DescribeCheckItems`: busca dados de verificação do Trusted Advisor, incluindo status e recursos sinalizados pelo Trusted Advisor. + `servicecatalog:GetApplication`: busca detalhes de uma aplicação do AppRegistry. + `servicecatalog:ListAssociatedResources`: lista os recursos associados a uma aplicação do AppRegistry. + `cloudformation:DescribeStacks`: obtém detalhes de pilhas do CloudFormation. + `cloudformation:ListStackResources`: lista os recursos associados às pilhas do CloudFormation. + `resource-groups:ListGroupResources`: lista os recursos de um ResourceGroup. + `tag:GetResources`: obrigatório para ListGroupResources. + `servicecatalog:CreateAttributeGroup`: cria um grupo de atributos gerenciados pelo serviço quando necessário. + `servicecatalog:AssociateAttributeGroup`: associa um grupo de atributos gerenciados pelo serviço a uma aplicação do AppRegistry. + `servicecatalog:UpdateAttributeGroup`: atualiza um grupo de atributos gerenciado pelo serviço. + `servicecatalog:DisassociateAttributeGroup`: associa um grupo de atributos gerenciados pelo serviço a um aplicativo do AppRegistry. + `servicecatalog:DeleteAttributeGroup`: cria um grupo de atributos gerenciados pelo serviço quando necessário. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "trustedadvisor:DescribeChecks", "trustedadvisor:DescribeCheckItems" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "cloudformation:DescribeStacks", "cloudformation:ListStackResources", "resource-groups:ListGroupResources", "tag:GetResources" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "servicecatalog:ListAssociatedResources", "servicecatalog:GetApplication", "servicecatalog:CreateAttributeGroup" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "servicecatalog:AssociateAttributeGroup", "servicecatalog:DisassociateAttributeGroup" ], "Resource": [ "arn:*:servicecatalog:*:*:/applications/*", "arn:*:servicecatalog:*:*:/attribute-groups/AWS_WellArchitected-*" ] }, { "Effect": "Allow", "Action": [ "servicecatalog:UpdateAttributeGroup", "servicecatalog:DeleteAttributeGroup" ], "Resource": [ "arn:*:servicecatalog:*:*:/attribute-groups/AWS_WellArchitected-*" ] } ] } ``` ------ ## Atualizações do AWS WA Tool para políticas gerenciadas pela AWS Visualizar detalhes sobre atualizações em políticas gerenciadas pela AWS para o AWS WA Tool desde que esse serviço começou a rastrear essas alterações. Para receber alertas automáticos sobre alterações feitas nesta página, assine o feed de RSS na página AWS WA Tool [Document revisions](document-revisions.md). | Alteração | Descrição | Data | | --- | --- | --- | | AWS WA Tool alterou a política gerenciada | `"wellarchitected:Export*"` Adicionado a ` WellArchitectedConsoleReadOnlyAccess`. | 22 de junho de 2023 | | O AWS WA Tool adicionou a política de perfil de serviço | Essa política permite `AWSWellArchitectedDiscoveryServiceRolePolicy` acessar AWS Well-Architected Tool serviços e recursos relacionados a AWS recursosAWS WA Tool. | 3 de maio de 2023 | | AWS WA Tooladicionou permissões | Foi adicionada uma nova ação para conceder a permissão `ListAWSServiceAccessForOrganization` a fim de autorizar o AWS WA Tool a verificar se o acesso ao serviço da AWS está habilitado para o AWS WA Tool. | 22 de julho de 2022 | | O AWS WA Tool iniciou o rastreamento das alterações | O AWS WA Tool começou a monitorar as alterações para as políticas gerenciadas da AWS. | 22 de julho de 2022 | # Solução de problemas de identidade e acesso do AWS Well-Architected Tool Use as seguintes informações para ajudar a diagnosticar e corrigir problemas comuns que podem ser encontrados ao trabalhar com o e o IAM.AWS WA Tool **Topics** + [Não estou autorizado a realizar uma ação no AWS WA Tool](#security_iam_troubleshoot-no-permissions) ## Não estou autorizado a realizar uma ação no AWS WA Tool Se o Console de gerenciamento da AWS informar que você não está autorizado a executar uma ação, você deverá entrar em contato com o administrador para obter assistência. Seu administrador é a pessoa que forneceu a você suas credenciais de início de sessão. O exemplo de erro a seguir ocorre quando o usuário *mateojackson* tenta usar o console para executar a ação`DeleteWorkload`, mas não tem permissões. ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: wellarchitected:DeleteWorkload on resource: 11112222333344445555666677778888 ``` Para esse exemplo, peça ao administrador para atualizar suas políticas a fim de conceder acesso ao recurso `11112222333344445555666677778888` usando a ação `wellarchitected:DeleteWorkload`.