Segurança, identidade e conformidade
Segurança e conformidade são 30% da prova, o maior peso depois de tecnologia. Lembre do modelo de responsabilidade compartilhada em cada serviço.
IAM
Identity and Access Management
Controla quem pode fazer o quê na conta: usuários, grupos, funções (roles) e políticas.
Pontos-chave
- Menor privilégio: conceda só as permissões necessárias.
- Roles dão credenciais temporárias a serviços, aplicações e outras contas.
- Políticas gerenciadas pela AWS ou personalizadas, em JSON.
- Proteja a conta root com MFA e não use suas chaves de acesso no dia a dia.
Na prova
Algumas tarefas só a conta root faz, como alterar o plano de suporte e fechar a conta. Para o resto, use usuários ou roles com MFA.
IAM Identity Center
AWS IAM Identity Center
Login único (SSO) para várias contas da AWS e aplicações, a partir de um ponto central.
Pontos-chave
- Integra com provedores de identidade externos (federação).
- Atribui acesso por conta e por conjunto de permissões.
- Recomendado para gerenciar o acesso humano em ambientes com várias contas.
Na prova
"Funcionários entram uma vez e acessam várias contas": IAM Identity Center.
Organizations
AWS Organizations
Gerencia várias contas da AWS de forma centralizada, com governança e faturamento consolidado.
Pontos-chave
- Agrupa contas em unidades organizacionais (OUs).
- SCPs (service control policies) limitam o máximo que as contas podem fazer.
- Faturamento consolidado e descontos por volume.
Na prova
Impedir que contas usem certos serviços ou Regiões: SCP no Organizations.
KMS
Key Management Service
Cria e gerencia chaves de criptografia usadas pelos serviços da AWS e pelas suas aplicações.
Pontos-chave
- Integrado a S3, EBS, RDS e dezenas de outros serviços.
- Uso das chaves registrado no CloudTrail.
- O CloudHSM oferece HSMs dedicados, quando é necessário controle exclusivo do hardware.
Na prova
Criptografia em repouso com chaves gerenciadas: KMS. HSM dedicado: CloudHSM.
Secrets Manager
AWS Secrets Manager
Armazena, rotaciona e recupera segredos como senhas de banco e chaves de API.
Pontos-chave
- Rotação automática de credenciais.
- Tira as senhas do código-fonte.
- Controle de acesso pelo IAM.
Na prova
Guardar credenciais de banco com rotação automática: Secrets Manager.
Shield e WAF
AWS Shield e AWS WAF
Proteção contra ataques DDoS (Shield) e filtragem de requisições web maliciosas (WAF).
Pontos-chave
- Shield Standard: automático e sem custo para todos os clientes.
- Shield Advanced: proteção ampliada e equipe de resposta especializada.
- WAF: regras contra SQL injection, cross-site scripting e bots, em CloudFront, ALB e API Gateway.
- Firewall Manager: gerencia regras de WAF e Shield em várias contas.
Na prova
Ataque DDoS: Shield. SQL injection ou XSS: WAF.
GuardDuty
Amazon GuardDuty
Detecção contínua de ameaças a partir de logs da conta, da rede e do DNS, com machine learning.
Pontos-chave
- Analisa CloudTrail, VPC Flow Logs e logs de DNS.
- Detecta atividade maliciosa, como mineração de criptomoedas e credenciais comprometidas.
- Não exige agentes nem infraestrutura.
Na prova
Detecção inteligente de ameaças e comportamento anômalo: GuardDuty.
Inspector
Amazon Inspector
Gerenciamento automatizado de vulnerabilidades em instâncias EC2, imagens de contêiner e funções Lambda.
Pontos-chave
- Procura vulnerabilidades de software conhecidas (CVEs).
- Detecta exposição de rede não intencional.
- Prioriza as descobertas por risco.
Na prova
Vulnerabilidades em EC2, contêineres e Lambda: Inspector.
Macie
Amazon Macie
Descobre e protege dados sensíveis no Amazon S3 usando machine learning.
Pontos-chave
- Identifica dados pessoais (PII) e financeiros.
- Avalia a segurança e o acesso dos buckets.
- Gera descobertas para investigação.
Na prova
Encontrar dados pessoais (PII) em buckets do S3: Macie.
Security Hub
AWS Security Hub
Visão central da postura de segurança, reunindo descobertas de vários serviços.
Pontos-chave
- Agrega descobertas de GuardDuty, Inspector, Macie e parceiros.
- Verifica conformidade com padrões e melhores práticas.
- Prioriza e automatiza a resposta.
Na prova
"Uma visão única dos alertas de segurança de vários serviços": Security Hub.
Artifact
AWS Artifact
Portal de autoatendimento com relatórios de conformidade e acordos da AWS.
Pontos-chave
- Relatórios de auditoria (ISO, SOC, PCI) sob demanda.
- Aceite de acordos, como o BAA para dados de saúde.
- Gratuito.
Na prova
"Auditor pediu os relatórios de conformidade da AWS": Artifact.
Cognito
Amazon Cognito
Cadastro, login e controle de acesso para os usuários das suas aplicações web e móveis.
Pontos-chave
- Login social (Google, Facebook, Apple) e corporativo (SAML, OIDC).
- Escala para milhões de usuários.
- Diferente do IAM, que controla o acesso à conta da AWS.
Na prova
Login para clientes da sua aplicação: Cognito. Acesso de funcionários à AWS: IAM ou Identity Center.
Detective
Amazon Detective
Investiga a causa raiz de descobertas de segurança, montando grafos a partir dos logs.
Pontos-chave
- Usa dados do CloudTrail, VPC Flow Logs e GuardDuty.
- Mostra as relações entre contas, IPs e recursos ao longo do tempo.
- Complementa o GuardDuty: um detecta, o outro investiga.
Na prova
GuardDuty detecta a ameaça; Detective investiga a causa raiz.
Directory Service
AWS Directory Service
Microsoft Active Directory gerenciado na AWS.
Pontos-chave
- AWS Managed Microsoft AD: um AD real, gerenciado pela AWS.
- Pode confiar em um AD existente on-premises.
- Usado por WorkSpaces, FSx for Windows e aplicações que dependem de AD.
Na prova
"Usar Active Directory na AWS sem gerenciar controladores de domínio": Directory Service.
Resource Access Manager
AWS RAM
Compartilha recursos entre contas da AWS ou dentro de uma organização.
Pontos-chave
- Exemplos: sub-redes, Transit Gateways, regras do Route 53 Resolver.
- Evita duplicar recursos em cada conta.
- Integra com o AWS Organizations.
Na prova
"Compartilhar sub-redes ou um Transit Gateway com outras contas": RAM.