Como dar acesso a uma ferramenta externa com uma função IAM entre contas (sem chaves)

Quando uma ferramenta externa precisa de entrar na sua conta da AWS há dois caminhos. O conhecido: criar um utilizador IAM e dar-lhe uma chave de acesso, que é uma palavra-passe que não caduca e que pode acabar num ficheiro de configuração, num repositório ou num e-mail. O bom: criar uma função (role) que a ferramenta assume a partir da sua própria conta da AWS. Não há chave para guardar nem para fugir; a AWS entrega credenciais temporárias que caducam sozinhas, e você pode cortar o acesso num segundo apagando a função.

Para isto a ferramenta tem de o suportar (pedir-lhe-á "acesso por função", "cross-account role" ou "ARN da função") e dar-lhe dois dados: o número da sua conta da AWS e um identificador externo (external ID). Com isso, em dez minutos está feito.

Passo a passo

1. Reúna os dados do fornecedor

   Anote o ID de conta da ferramenta (doze dígitos) e o external ID que lhe atribui, uma cadeia única para si. O external ID evita o chamado "problema do ajudante confuso": que outro cliente da mesma ferramenta consiga fazer com que esta use a sua função. Não o partilhe nem o reutilize.

2. Crie a política de permissões mínimas

   Na consola do IAM, Policies, Create policy, separador JSON. Cole só as ações de que a ferramenta precisa; o fornecedor sério dá-lhe a lista exata. Por exemplo, para ver e gerir máquinas Lightsail:

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Action": [
         "lightsail:GetInstances", "lightsail:GetInstance", "lightsail:GetInstanceState",
         "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
         "lightsail:GetInstanceSnapshots", "lightsail:CreateInstanceSnapshot"
       ],
       "Resource": "*"
     }]
   }

   Dê-lhe um nome reconhecível, como PanelExterno-Maquinas. Se lhe pedirem AdministratorAccess, pergunte porquê.

3. Crie a função com a outra conta como entidade de confiança

   IAM, Roles, Create role. Tipo de entidade de confiança: AWS account, opção Another AWS account, e escreva o ID de conta do fornecedor. Marque Require external ID e cole o external ID. Não marque "Require MFA": a ferramenta é um programa, não uma pessoa. Seguinte.

4. Anexe a política e dê nome à função

   Procure a política que criou no passo 2, marque-a e continue. Nome da função: algo que diga para que serve e de quem é, por exemplo PanelExterno-Simplio. Reveja o resumo: a política de confiança deve mostrar a conta do fornecedor e a condição sts:ExternalId. Crie a função.

5. Entregue o ARN da função

   Abra a função acabada de criar e copie o seu ARN, com a forma arn:aws:iam::123456789012:role/PanelExterno-Simplio. É a única coisa de que a ferramenta precisa; cole-o onde lho pedirem. Não é um segredo em si mesmo (sem o external ID e sem estar na conta de confiança não serve de nada), mas também não é preciso publicá-lo.

6. Verifique o acesso e o registo

   A ferramenta deverá ligar-se de imediato. Para ver o que faz, no CloudTrail, histórico de eventos, filtre pelo nome da função: cada ação que execute aparece com a função como identidade. Se um dia quiser cortar o acesso, apague a função ou mude o external ID; o efeito é imediato assim que caducarem as credenciais temporárias em curso, que duram no máximo uma hora, a não ser que o tenha alargado.

O que pode correr mal