AWS lança account access manager, que une roles do IAM e acesso centralizado da força de trabalho

O account access manager resolve um dilema antigo de quem opera muitas contas AWS. Federar conta a conta preserva toda a flexibilidade das roles do IAM (trust policies customizadas, tags e paths), mas obriga a configurar um identity provider e gerenciar atribuições separadamente em cada conta. Federar uma vez pelo IAM Identity Center com permission sets dá um ponto único de federação, só que o modelo uniforme pode apertar equipes cujas roles mudam de conta para conta.

Agora as roles que já existem nas contas são atribuídas direto a usuários e grupos de uma organization instance do IAM Identity Center. O administrador cria um entitlement com três itens: ID do usuário ou grupo, ID da conta e ARN da role. O acesso carrega a identidade do usuário via trusted identity propagation, então cada sessão de uma role compartilhada registra quem a assumiu. Do lado operacional, a role precisa de um statement na trust policy que permita ao serviço assumi-la, com condição de confused-deputy baseada no ARN da aplicação. Sem o sts:TagSession, a assunção funciona, mas as session tags do IdP não se propagam. As sessões respeitam a duração máxima da role, até 12 horas, e o recurso tem namespace de API próprio (account-access) com eventos separados no AWS CloudTrail. Para a CLI, a fonte pede a versão 2.36.0 ou mais nova do AWS CLI v2.

Para quem opera segurança em ambientes multi-conta, a leitura é que dá para centralizar a federação sem reescrever roles em permission sets. A auditoria por usuário em roles compartilhadas tende a facilitar investigação de incidentes. Vale revisar as trust policies antes de adotar, já que roles sem o statement não ficam elegíveis.