FácilMúltipla escolha

Questão de prática de CLF-C02

Uma empresa está configurando sua conta da AWS pela primeira vez. Qual ação de segurança ela deve tomar imediatamente após criar a conta?

Escolha a melhor resposta.

Resposta correta

BHabilitar MFA na conta root e criar um usuário administrador IAM para operações diárias

Explicação

O usuário root tem acesso irrestrito à conta da AWS, e habilitar a Autenticação Multifator (MFA) na conta root adiciona uma segunda camada crítica de segurança para evitar o acesso não autorizado. Criar um usuário administrador IAM para as operações diárias segue o princípio do privilégio mínimo, garantindo que as tarefas administrativas de rotina sejam executadas usando funções ou usuários IAM com permissões controladas, em vez do usuário root altamente privilegiado. Esta é uma prática recomendada de segurança fundamental recomendada pela AWS imediatamente após a criação da conta.

Por que cada alternativa está certa ou errada

Incorreta

Criar usuários IAM para todos os funcionários imediatamente

Embora os usuários IAM sejam necessários para o acesso diário, criá-los imediatamente em uma nova conta deixa o usuário root inalterado e ainda vulnerável ao comprometimento de senha. Um invasor que comprometa o root pode modificar políticas IAM, excluir usuários ou assumir o controle total da conta, anulando qualquer benefício de ter criado inicialmente usuários IAM. A sequência correta é primeiro proteger o root com MFA, depois criar um usuário administrador IAM para operações diárias e, por fim, provisionar usuários ou funções IAM usando o IAM Identity Center para os funcionários.

Correta

Habilitar MFA na conta root e criar um usuário administrador IAM para operações diárias

Habilitar MFA na conta root adiciona um segundo fator de autenticação crítico, protegendo a conta mesmo que a senha do root seja acidentalmente vazada ou descoberta por força bruta, e é a primeira prática recomendada de segurança que a Amazon prescreve. Criar um usuário administrador IAM com uma política restrita como AdministratorAccess permite que os administradores realizem tarefas diárias sem nunca fazer login como root, reduzindo o risco de ações destrutivas não intencionais. Essa abordagem aborda diretamente a credencial mais sensível da conta e estabelece uma base segura para todas as configurações IAM subsequentes.

Incorreta

Criar chaves de acesso root para acesso programático

As chaves de acesso root são explicitamente desaconselhadas pela AWS porque concedem acesso total e incondicional a todos os recursos da AWS e não podem ser restritas com limites ou políticas de permissões do IAM. Uma vez criada uma chave de acesso root, não há como limitar suas ações e ela deve ser excluída manualmente se comprometida, tornando-se um risco persistente de segurança. Para acesso programático, você deve criar usuários IAM com permissões de privilégio mínimo ou atribuir uma função IAM a uma instância EC2 ou serviço da AWS, que suporta credenciais temporárias e rotação automatizada.

Incorreta

Habilitar o AWS Config em todas as regiões

O AWS Config é um serviço de detecção que registra alterações de configuração de recursos e avalia a conformidade, mas não protege a conta root contra comprometimento. Em uma conta da AWS recém-criada, a prioridade urgente de segurança é proteger o usuário root com MFA e evitar chaves de acesso root, pois as credenciais root têm acesso irrestrito que não pode ser limitado pelo IAM. Habilitar o Config em todas as regiões é valioso para auditoria e governança posteriormente, mas não é a primeira ação para evitar o controle administrativo não autorizado.

Para se aprofundar

A conta root é o endereço de e-mail usado para criar a conta da AWS e tem acesso total e irrestrito a todos os recursos da AWS e informações de faturamento. A AWS recomenda que você não use o usuário root para tarefas diárias e, em vez disso, crie um usuário administrador IAM com uma política IAM que conceda privilégios administrativos (por exemplo, a política gerenciada AdministratorAccess). O MFA para a conta root pode ser implementado usando um dispositivo MFA virtual (por exemplo, Google Authenticator) ou uma chave MFA de hardware (por exemplo, YubiKey) e, uma vez habilitado, qualquer ação realizada por meio do AWS Management Console ou da API como usuário root exigirá o código MFA, reduzindo significativamente o risco de comprometimento da conta.

Sobre estas questões de prática

Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.