FácilMúltipla escolha

Questão de prática de CLF-C02

Qual recurso do IAM permite conceder acesso temporário e limitado a recursos da AWS para usuários que não possuem contas na AWS, como prestadores de serviços externos?

Escolha a melhor resposta.

Resposta correta

BIAM Roles com acesso entre contas

Explicação

As funções do IAM com acesso entre contas permitem conceder permissões temporárias e limitadas a usuários de outra conta da AWS ou de provedores de identidade externos (por exemplo, prestadores de serviços externos) sem precisar criar usuários do IAM para eles. A função é assumida por meio do AWS Security Token Service (STS), que emite credenciais temporárias que expiram após um período definido, garantindo o acesso com privilégios mínimos.

Por que cada alternativa está certa ou errada

Incorreta

IAM Groups

Os grupos do IAM são recipientes lógicos usados para anexar políticas de permissão a vários usuários do IAM de uma só vez dentro da mesma conta da AWS. Eles são uma conveniência administrativa para gerenciar as permissões de identidades que você já criou como usuários do IAM, mas não têm capacidade de autenticar ninguém — os grupos não são principais (principals) e não possuem credenciais. Como o grupo é totalmente interno à sua conta e opera em usuários do IAM existentes, ele não pode ser usado para conceder acesso a uma parte externa à sua conta da AWS; não há como adicionar uma entidade externa a um grupo do IAM sem antes criar um usuário do IAM permanente para essa entidade.

Correta

IAM Roles com acesso entre contas

As funções do IAM com acesso entre contas são a abordagem correta porque criam uma relação de confiança temporária e delimitada com uma identidade externa. Você configura a política de confiança da função para permitir que uma conta específica da AWS externa ou um provedor de identidade federado chame a operação AssumeRole do Security Token Service (STS), o que fornece credenciais de curta duração em troca. A política de permissões da função define exatamente quais ações e recursos a parte externa pode acessar, permitindo aplicar controles refinados de privilégio mínimo sem nunca criar um usuário do IAM permanente para essa parte. Como as credenciais expiram automaticamente (geralmente dentro de uma hora), esse design reduz o risco e é o padrão da indústria para conceder acesso controlado a colaboradores ou aplicativos externos.

Incorreta

IAM password policies

As políticas de senha do IAM são regras locais da conta que impõem complexidade de senha, comprimento mínimo, rotação e restrições de reutilização para usuários do IAM já definidos em sua conta. Elas se aplicam apenas a credenciais que existem dentro do seu próprio diretório de identidades, portanto, uma parte externa não possui nenhuma senha que seja governada por elas. Em vez de criar qualquer concessão de acesso, essas políticas apenas restringem como os usuários internos mantêm seus próprios segredos de login, tornando-as irrelevantes para conceder acesso a alguém de fora da sua conta da AWS.

Incorreta

Service Control Policies (SCPs)

As políticas de controle de serviço (Service Control Policies ou SCPs) são recursos do AWS Organizations que atuam como barreiras de proteção de permissões em todas as contas da organização. Elas são restritivas, não permissivas: uma SCP pode negar ou limitar o que os principais em uma conta membro podem fazer, mas nunca concede novas permissões ou permite que um principal exista. Crucialmente, as SCPs se aplicam apenas a principais já presentes em contas membro, de modo que não podem fornecer um mecanismo para que uma parte externa obtenha acesso autenticado — elas apenas reduzem as permissões efetivas das identidades que a conta já possui.

Para se aprofundar

O conceito subjacente testado por esta questão é a federação de identidades e o acesso delegado na AWS. As funções do IAM não são a única maneira de conceder acesso entre contas — a AWS também oferece suporte a políticas baseadas em recursos em serviços como S3 e SNS que podem ser compartilhadas diretamente com uma conta externa —, mas as funções são o mecanismo de uso geral porque a política de confiança pode especificar quem pode assumir a função e a política de permissões especifica o que eles podem fazer após assumi-la. Um equívoco comum é achar que é obrigatório criar um usuário do IAM para cada colaborador externo; na verdade, as funções entre contas eliminam credenciais de longa duração e o risco de vazamento de chaves de acesso estáticas. A sutiliza principal é a distinção entre autenticação (provar quem você é, gerenciada pelo provedor de identidade ou conta externa) e autorização (decidir o que você pode fazer, gerenciada pelas políticas da função). Para usuários externos que não estão em nenhuma conta específica da AWS, você pode estender o mesmo padrão baseado em funções usando a federação SAML ou OIDC, onde a política de confiança autentica o provedor de identidade externo em vez de uma conta da AWS. Esse design é central para os princípios de segurança do AWS Well-Architected de privilégios mínimos e credenciais temporárias, e é o motivo pelo qual as funções entre contas são a resposta recomendada em detrimento de qualquer credencial permanente ou política organizacional.

Sobre estas questões de prática

Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.