c1.5 Proteja a conta root

Evite usar o root

O usuário root tem acesso irrestrito e não pode ser limitado por políticas do IAM, então use-o apenas para as poucas tarefas que realmente o exigem. Para todo o resto, use acesso federado de menor privilégio a partir de uma fonte de identidade centralizada. Nunca crie access keys para o root — são credenciais duráveis e irrestritas.

Gerencie centralmente ou remova o root nas contas membro

Com o AWS Organizations você pode gerenciar o acesso root centralmente: remover completamente as credenciais de root das contas membro e executar as raras tarefas privilegiadas de root de forma central quando necessário. Assim você tem apenas um usuário root a proteger (o da conta de gerenciamento) em vez de um por conta — uma grande redução da superfície de ataque privilegiada. Como alternativa, negue as ações de root nas contas membro com o AWS Control Tower ou uma SCP como:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RestrictRootOnMemberAccounts",
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": { "StringLike": { "aws:PrincipalArn": ["arn:aws:iam::*:root"] } }
    }
  ]
}

Proteja o root que você mantiver

O root da conta de gerenciamento não está sujeito a SCPs, então precisa da proteção mais forte:

• Habilite o MFA (agora obrigatório) — prefira um dispositivo de hardware/FIDO2 e considere o controle de duas pessoas (uma sabe a senha, outra tem o dispositivo MFA).
• Nunca associe access keys ao root.
• Alerte a cada login do root (CloudTrail para uma notificação do SNS), já que o uso do root deve ser raro e deliberado.
• Mantenha atualizados os contatos de segurança da conta para preservar o caminho de recuperação.