Novo Recurso do AWS IAM Identity Center Gera Alerta de Segurança

O novo recurso do AWS IAM Identity Center, que permite a aplicações server-side assumir papéis em nome de usuários, é um avanço há muito esperado na gestão de acesso em nuvem. Ele simula o fluxo de login do AWS CLI, onde uma aplicação troca um token OIDC do provedor de identidade (IdP) por um token emitido pelo IdC. Com isso, a aplicação pode listar contas, papéis e, finalmente, obter credenciais temporárias para agir em nome do usuário. Isso abre caminho para ferramentas mais poderosas e centralizadas, que operam com as permissões exatas do desenvolvedor, eliminando a necessidade de lógicas de autorização complexas e potencialmente falhas em serviços intermediários.

Contudo, a comunidade de segurança levanta preocupações significativas. A principal delas é a visibilidade nos logs do CloudTrail. Não há um vínculo claro e robusto entre o evento sso:GetRoleCredentials e o subsequente sts:AssumeRoleWithSAML ou as chamadas de API feitas em nome do usuário. Isso significa que, se uma aplicação realizar uma ação destrutiva, como deletar um bucket S3, os logs podem atribuir a ação diretamente ao usuário, sem indicar qual aplicação foi o intermediário. Essa "cegueira" dificulta a auditoria, a responsabilização e a detecção de atividades maliciosas ou abusos de permissão.

Para empresas, essa lacuna nos logs do CloudTrail pode ser um pesadelo de segurança e conformidade. Sem rastreabilidade completa, investigar um incidente de segurança se torna muito mais complexo. Se um usuário alega inocência sobre uma ação registrada em seu nome, provar o envolvimento de uma aplicação se torna impossível. Isso expõe as organizações a riscos de escalonamento de privilégios, acessos não autorizados e dificuldades em atender requisitos regulatórios de auditoria. A introdução de uma applicationArn nos eventos do CloudTrail, como sugerem os especialistas, seria crucial para mitigar esses riscos e fornecer a visibilidade necessária para proteger ambientes AWS. O CEVIU já alertou sobre "Ataques 'Blind Spot' comprometem o Microsoft Sentinel" em 11 de julho de 2026, mostrando que falhas de visibilidade são um vetor de ataque conhecido e perigoso.