O IAM permite que você:

Gerencie usuários do IAM e seu acesso – Você pode criar usuários no IAM, designar credenciais de segurança individual aos usuários (ou seja, chaves de acesso, senha, dispositivos de autenticação multifator) ou solicitar credenciais de segurança temporária para fornecer os usuários acesso a serviços e recursos da AWS. É possível gerenciar permissões para controlar quais operações um usuário pode desempenhar.

Gerenciar funções do IAM e suas permissões – Você pode criar funções no IAM e gerenciar permissões para controlar quais operações podem ser realizadas pela entrada, usuário ou serviço da AWS, que pressupõe a função.

Gerencie o acesso de usuários federados – Você pode habilitar a federação de identidade para permitir que identidades existentes (por ex., usuários) na sua empresa acessem o AWS Management Console, APIs e recursos da AWS usando controles de acesso restritos do IAM, sem a necessidade de criar um usuário IAM para cada identidade.

Habilite a federação de identidade ao solicitar credenciais de segurança temporárias que podem ser usadas para sinalizar solicitações para a AWS. As credenciais de segurança temporárias são formadas por chaves de acesso de curta duração e cupons de sessão associados às chaves. Os usuários da empresa podem usar as chaves de acesso da mesma forma que antes, desde que transfiram o token nas chamadas que fazem para as APIs da AWS. As permissões associadas a credenciais de segurança temporária são, em sua maioria, iguais àquelas do usuário IAM que as emitiu; você também pode restringi-las ao especificar permissões explícitas como parte da solicitação para criá-las. Não há limite quanto ao número de credenciais de segurança temporárias que podem ser emitidas.

Como exemplo, uma empresa poderá desejar que um aplicativo seja executado em todos os laptops dos funcionários para desempenhar back-ups diários em uma subpasta específica dos funcionários no Amazon S3. A empresa poderia executar um aplicativo pequeno que serviria como um "corretor de identidades", solicitando uma credencial de segurança temporária da AWS para cada usuário após o login em sua rede corporativa. Essa credencial poderia especificar as permissões exatas concedidas (ou seja, acesso de gravação a um determinado bucket/pasta do S3) e a duração das permissões (ou seja, 12 horas). A credencial seria transmitida para o aplicativo de back-up no laptop do funcionário, fornecendo acesso seguro e direto ao Amazon S3. Para saber mais sobre como configurar a federação de identidades com o diretório corporativo, teste nosso aplicativo de amostra.

O IAM permite os seguintes tipos de uso:

Controle de acesso limitado aos recursos da AWS: o IAM permite que você controle o acesso às APIs de serviço da AWS e aos recursos específicos. O IAM também permite que você adicione condições específicas para controlar como um usuário pode usar a AWS, como a hora do dia, seu endereço IP de origem, se estão usando SSL ou se realizaram a autenticação com um dispositivo de autenticação multifator.

Federação de identidade entre a empresa e as APIs de serviço da AWS: o IAM pode ser usado para conceder aos funcionários e aplicativos acesso aos APIs de serviço da AWS e AWS Management Console, usando os sistemas de identidade existentes.

Aplicativos móveis e baseados em navegadores: você pode habilitar os aplicativos móveis e baseados em navegadores para acessar, com segurança, recursos da AWS ao solicitar credenciais de segurança temporárias que concedem acesso somente a recursos específicos da AWS por um período configurável.

Segurança aprimorada – O IAM habilita práticas recomendadas de segurança ao permitir que você conceda credenciais de segurança exclusivas para todo usuário e especifique quais APIs e recursos do serviço da AWS podem ser acessados. Como padrão, o IAM é seguro; os usuários não têm de acessar os recursos da AWS até que permissões sejam explicitamente concedidas.

Controle – O IAM fornece a granularidade para controlar o acesso de um usuário a serviços e recursos específicos da AWS (por ex., encerramento de instâncias EC2 ou exclusão de buckets do Amazon S3).

Perfeitamente integrado com outros serviços da AWS – O IAM é nativamente integrado na maioria dos Serviços da AWS.

Confiável – O IAM é criado usando a infraestrutura de tecnologia de nível internacional da Amazon. Assim como outros Amazon Web Services, o serviço é executado na infraestrutura da rede global e nos Datacenters da Amazon.

O AWS Identity and Access Management é um recurso da sua conta da AWS oferecido gratuitamente. Você será cobrado somente pelo uso de outros serviços da AWS utilizados pelos usuários.

Trabalho com o AWS Identity and Access Management (IAM)

Você pode gerenciar o acesso à AWS usando o AWS Management Console, que fornece uma interface baseada na Web de apontar e clicar para criar e gerenciar usuários do IAM, funções do IAM, permissões e credenciais de segurança. O IAM também fornece um conjunto de APIs e Ferramentas de linha de comando para acesso completo com script aos recursos acima. Para obter uma lista completa das APIs de IAM disponíveis, consulte o Guia de referência de APIs do AWS Identity and Access Management. Algumas das APIs usadas mais comumente e sua funcionalidade estão listadas abaixo:

Gerenciar usuários:

• CreateUser: Cria um usuário do IAM com um nome de usuário especificado por você. O nome do usuário é uma string de caracteres que deve ser exclusiva na conta da AWS à qual pertence.
• CreateGroup: Cria um grupo com um nome do grupo especificado por você.
• AddUserToGroup: Adiciona um usuário do IAM ao grupo especificado.
• RemoveUserFromGroup: Remove um usuário do IAM do grupo especificado.

Gerenciar funções:

• CreateRole: Cria uma função do IAM com um nome especificado por você. O nome da função é uma string de caracteres que deve ser exclusiva na conta da AWS à qual pertence.

Gerenciar permissões:

• PutUserPolicy: Adiciona (ou atualiza) o documento de uma política para o usuário IAM especificado. O documento de uma política contém um conjunto de permissões.
• PutRolePolicy: Adiciona (ou atualiza) o documento de uma política para a função do IAM especificado. O documento de uma política contém um conjunto de permissões.
• PutGroupPolicy: Adiciona (ou atualiza) o documento de uma política para um grupo especificado.

Gerenciar credenciais

• CreateAccessKey: Cria um ID de chave de acesso da AWS exclusivo e a Chave de acesso secreta correspondente para o usuário do IAM especificado. Essas chaves de acesso permitem que os usuários do IAM façam chamadas de API para os serviços da AWS diretamente.
• GetSessionToken: Cria uma ID da chave de acesso da AWS exclusiva, uma Chave de acesso secreta correspondente e um token para uma duração específica para o usuário do IAM chamando esta API.
• GetFederationToken: Cria um ID de chave de acesso da AWS exclusivo, uma Chave de acesso secreta correspondente e um token para uma duração específica, além de permissões para um usuário federado ou aplicativos.

Conceitos básicos

A melhor forma de compreender o IAM é analisar o Guia de conceitos básicos, que faz parte da nossa Documentação técnica. Em instantes, você poderá criar seus próprios usuários, funções e grupos, e designar permissões.

A utilização deste serviço está sujeita à sua concordância com a nossa supervisão do seu uso da AWS. Consulte o Contrato do Cliente da Amazon Web Services para obter mais detalhes.