c1.6 Centralize a identidade e federe o acesso
Dê às pessoas acesso temporário e gerenciado de forma central em vez de usuários IAM e access keys de longa duração. Conecte seu provedor de identidade ao AWS IAM Identity Center para conceder e revogar o acesso em um só lugar.
Guia de implementação
Use uma fonte de identidade central, não usuários IAM
Usuários IAM de longa duração e suas access keys são segredos duráveis que vazam, são compartilhados e esquecidos. Em vez disso, federe o acesso com o AWS IAM Identity Center, que fornece credenciais temporárias para suas pessoas e aplicações. Conecte seu provedor de identidade existente — Microsoft Entra ID, Okta, Ping, OneLogin, Google Workspace ou AWS Directory Service — como fonte de identidade.
Se você está começando e ainda não tem diretório, use o repositório de identidades integrado do IAM Identity Center — você ainda obtém credenciais temporárias e gerenciamento centralizado desde o primeiro dia.
O ponto é o desprovisionamento
O valor de segurança está no ciclo de entrada/saída: integre a fonte de identidade com seu processo de RH (diretamente ou via um sistema de gerenciamento de identidades/SCIM) para que, quando alguém sai, seu acesso à AWS seja removido em todos os lugares de uma vez. Access keys de longa duração não têm essa propriedade — continuam funcionando até alguém apagá-las.
Encontre as chaves de longa duração a substituir
Gere um relatório de credenciais da conta e liste cada usuário IAM que ainda tem uma access key ativa — estes são os candidatos a migrar para acesso federado e temporário:
aws iam generate-credential-report
aws iam get-credential-report \
--query 'Content' --output text | base64 -d \
| awk -F, 'NR==1 || $9=="true" || $14=="true"'Como se encaixa
Como validar
- Onde você autentica os funcionários e isso está conectado ao IAM Identity Center?
- Ainda há usuários IAM provisionados para acesso humano? Com que frequência as access keys são rotacionadas?
- Quando alguém sai, o acesso é removido automaticamente — e quanto tempo leva do evento de RH até a revogação real?
Ameaças atendidas
- ATT&CK Credential Access um ex-funcionário (ou qualquer um que tenha credenciais duráveis como access keys) pode reter o acesso após sair. Com um diretório central e federação, revogar a identidade remove o acesso à AWS imediatamente.
Serviços AWS
AWS IAM Identity Center 
AWS IAM 
AWS Directory Service Preços
O AWS IAM Identity Center é oferecido sem custo adicional.