Aula 04 — Aula 04 — Segurança: Shared Responsibility & IAM

O que vamos aprender

• **Shared Responsibility Model** — o que é da AWS, o que é seu
• **IAM** — Users, Groups, Roles, Policies, MFA
• Princípio do **menor privilégio**
• Diferença entre **Root User** e **IAM User**
• Como usar boto3 para listar policies e roles
• 3 exercícios estilo Cloud Practitioner + gabarito

1️⃣ Shared Responsibility Model — QUEM FAZ O QUÊ?

O Modelo (📌 O MAIS IMPORTANTE DA PROVA!)

┌─────────────────────────────────────────────────────────┐
│  RESPONSABILIDADE DA AWS (Segurança DA nuvem)            │
│  ┌───────────────────────────────────────────────────┐  │
│  │ • Hardware físico (servidores, storage)           │  │
│  │ • Rede física, cabeamento, energia                │  │
│  │ • Hypervisor (virtualização)                      │  │
│  │ • Data centers (controle de acesso físico)        │  │
│  │ • Zonas de Disponibilidade (AZs)                  │  │
│  │ • Software de virtualização                       │  │
│  └───────────────────────────────────────────────────┘  │
├─────────────────────────────────────────────────────────┤
│  RESPONSABILIDADE DO CLIENTE (Segurança NA nuvem)        │
│  ┌───────────────────────────────────────────────────┐  │
│  │ • Dados do cliente (criptografia, classificação)  │  │
│  │ • SO da instância EC2 (patches, atualizações)     │  │
│  │ • Configuração de Security Groups e NACLs         │  │
│  │ • Configuração de IAM (usuários, roles, policies) │  │
│  │ • Criptografia do lado do cliente                 │  │
│  │ • Firewall de aplicação (WAF)                     │  │
│  └───────────────────────────────────────────────────┘  │
└─────────────────────────────────────────────────────────┘

A pegadinha clássica (📌 CAI NA PROVA!)

Serviços Gerenciados — a fronteira muda!

Quanto MAIS gerenciado o serviço, MAIS responsabilidade é da AWS:

EC2 (IaaS)          → Você cuida do SO
     ↓
RDS (PaaS)          → AWS cuida do SO e do banco
     ↓
Lambda (FaaS)       → AWS cuida de TUDO, você só traz o código
     ↓
S3 (SaaS/Storage)   → AWS cuida de TUDO, você só armazena

2️⃣ IAM — Identity and Access Management

Principais Conceitos

Root User vs IAM User (📌 CAI NA PROVA!)

ROOT USER                          IAM USER
──────────────────────────────     ──────────────────────────────
✓ Só 1 por conta                   ✓ Pode criar vários
✓ Acesso TOTAL (incluindo fatura)  ✓ Permissões limitadas por policy
✓ NÃO use no dia a dia!            ✓ Use pro trabalho cotidiano
✓ Ative MFA obrigatoriamente       ✓ Ative MFA pra admins
✓ Use só pra tarefas de billing    ✓ Delete quando sair da empresa

IAM Policy — Anatomia

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",          // Allow ou Deny (Deny SEMPRE vence!)
      "Action": [                  // O que pode fazer
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [                // Em qual recurso
        "arn:aws:s3:::meu-bucket",
        "arn:aws:s3:::meu-bucket/*"
      ]
    }
  ]
}

Princípio do Menor Privilégio (📌 CAI NA PROVA!)

ERRADO:                                    CERTO:
"Meu estagiário pode tudo                  "Estagiário só lê S3 do bucket X,
 pq é mais fácil"                          não pode deletar nem criar EC2"

MFA — Multi-Factor Authentication

💻 boto3 — IAM

import boto3

iam = boto3.client('iam', region_name='us-east-1')

# Listar usuários IAM
users = iam.list_users()
for user in users['Users']:
    print(f"Usuário: {user['UserName']} | Criado: {user['CreateDate']}")

# Listar policies gerenciadas pela AWS
policies = iam.list_policies(Scope='AWS', MaxItems=10)
for policy in policies['Policies']:
    print(f"Policy: {policy['PolicyName']} | ARN: {policy['Arn']}")

# Listar roles
roles = iam.list_roles()
for role in roles['Roles']:
    print(f"Role: {role['RoleName']} | Criada: {role['CreateDate']}")

# Simular uma policy (testar se ação seria permitida)
# iam.simulate_principal_policy(
#     PolicySourceArn='arn:aws:iam::123456789012:user/hugo-dev',
#     ActionNames=['s3:DeleteBucket']
# )

🎯 Exercícios Estilo Cloud Practitioner

Exercício 1

Qual das seguintes é responsabilidade da AWS sob o Shared Responsibility Model?

A) Configurar Security Groups no EC2

B) Gerenciar usuários e permissões no IAM

C) Segurança física dos data centers

D) Criptografar dados armazenados no S3

Exercício 2

Uma empresa precisa dar acesso temporário a um serviço Lambda para ler dados de uma tabela DynamoDB. Qual recurso IAM deve ser usado?

A) IAM User com senha

B) IAM Group

C) IAM Role

D) Root User

Exercício 3

Qual política de segurança o IAM implementa por padrão?

A) Acesso total a todos os recursos até que seja explicitamente negado

B) Acesso negado a todos os recursos até que seja explicitamente permitido (princípio do menor privilégio)

C) Acesso somente leitura a todos os recursos

D) Acesso total durante 24h e depois bloqueio automático

📺 Para Aprofundar

• [AWS Shared Responsibility Model](https://aws.amazon.com/compliance/shared-responsibility-model/)
• [Documentação IAM](https://docs.aws.amazon.com/iam/)
• [IAM Best Practices](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)
• [Boto3 IAM](https://boto3.amazonaws.com/v1/documentation/api/latest/reference/services/iam.html)

📌 Resumo para a Prova

SHARED RESPONSIBILITY MODEL:
  AWS = Segurança DA nuvem (hardware, física, hypervisor, AZs)
  VOCÊ = Segurança NA nuvem (dados, SO, config, IAM, firewall)

IAM:
  Root User   → 1 por conta, DONO TOTAL, use só pra billing
  IAM User    → Usuário individual, pro dia a dia
  IAM Group   → Grupo de usuários com permissões iguais
  IAM Role    → Permissão temporária pra serviços AWS
  Policy      → JSON que define Allow/Deny (Deny SEMPRE vence)
  MFA         → Segundo fator de autenticação (obrigatório!)

PRINCÍPIO DO MENOR PRIVILÉGIO:
  Dê apenas as permissões necessárias — NADA MAIS.

REGRAS DE OURO:
  1. NUNCA use Root User no dia a dia
  2. SEMPRE ative MFA no Root e admins
  3. Use IAM Roles para serviços (não Users)
  4. Rotacione chaves de acesso regularmente
  5. Delete usuários quando saírem da empresa