Que permissões dar a um funcionário novo na AWS (e quais não)

Entra alguém novo na empresa e precisa de "acesso à AWS". O rápido é criar um utilizador, dar-lhe AdministratorAccess e seguir com o dia. É também o que transforma um erro de um estagiário, ou uma palavra-passe roubada, numa conta vazia ou numa fatura de milhares de euros. Quase todos os sustos com a AWS em empresas pequenas começam com alguém que tinha muito mais permissões do que precisava.

A regra é simples: cada pessoa pode fazer apenas o que precisa para o seu trabalho, e nada mais. Chama-se privilégio mínimo e não exige perceber de segurança. Exige pensar um minuto no que essa pessoa vai fazer: ver? ligar e desligar máquinas? criar e apagar coisas? Com essa resposta, a AWS já tem as permissões preparadas e só é preciso escolhê-las.

Este guia usa grupos em vez de dar permissões a cada utilizador um a um. É a diferença entre decidir uma vez por cada função e decidir sempre que entra alguém.

Passo a passo

1. Decida que função tem a pessoa

   Antes de tocar na consola, responda a uma pergunta: o que é que esta pessoa tem de fazer na AWS? Para uma empresa pequena, quase tudo cabe em três funções:

   • Ver: ver o estado das máquinas, consultar a fatura, ler registos. É o que precisa quem dá suporte, quem trata da contabilidade ou um chefe que quer "ver como vai".
   • Operar: além de ver, ligar, desligar e reiniciar máquinas, fazer instantâneos, restaurar. É o que precisa quem trata do dia a dia do servidor.
   • Administrar: criar e apagar máquinas, mudar redes, gerir utilizadores. Isto só uma ou duas pessoas precisam, e deviam ser as que mais sabem.

   Se hesitar entre duas, comece pela de menos permissões. Subir é um clique; descobrir que alguém apagou algo que não devia, não.

2. Crie os três grupos no IAM

   Abra o IAM, menu da esquerda Grupos de utilizadores, botão Criar grupo. Faça três, com nomes que qualquer pessoa perceba: ver, operar e administrar. Ao criar cada grupo, no bloco Anexar políticas de permissões procure e marque a política que lhe cabe:

   • Grupo ver: ReadOnlyAccess. Permite consultar qualquer serviço sem mudar nada. Se só quiser que vejam a fatura, existe AWSBillingReadOnlyAccess, mais limitada.
   • Grupo operar: ReadOnlyAccess e, além dela, uma política própria com as ações de arrancar, parar e reiniciar (passo seguinte). Para o Lightsail não há uma política gerida intermédia, por isso vai escrevê-la você; para o EC2 também não há uma que só ligue e desligue.
   • Grupo administrar: PowerUserAccess, que permite quase tudo salvo gerir utilizadores e permissões. Deixe AdministratorAccess para uma única pessoa, a que também tem a conta raiz guardada.

   Os grupos criam-se uma vez. A partir daí, dar acesso a alguém é metê-lo no grupo adequado.

3. Escreva a política do grupo "operar"

   Em IAM, Políticas, Criar política. Clique no separador JSON e cole isto, que permite ligar, desligar e reiniciar máquinas do Lightsail e do EC2, e fazer instantâneos, mas não criar nem apagar máquinas:

   {
     "Version": "2012-10-17",
     "Statement": [
       { "Effect": "Allow", "Action": [
           "lightsail:StartInstance", "lightsail:StopInstance", "lightsail:RebootInstance",
           "lightsail:CreateInstanceSnapshot",
           "ec2:StartInstances", "ec2:StopInstances", "ec2:RebootInstances",
           "ec2:CreateSnapshot"
         ], "Resource": "*" }
     ]
   }

   Clique em Seguinte, chame-lhe operar-maquinas e crie-a. Depois, em Grupos de utilizadores, entre em operar, separador Permissões, Adicionar permissões, Anexar políticas, e marque operar-maquinas.

   Repare que não aparece nenhuma ação com "Delete" nem "Terminate". É a diferença entre poder desligar uma máquina e poder fazê-la desaparecer. Se quiser limitá-la além disso a umas máquinas concretas, em Resource pode pôr o identificador de cada uma em vez do asterisco; para o EC2 é simples, para o Lightsail é preciso usar o ARN de cada instância.

4. Crie o utilizador e meta-o num grupo

   IAM, Utilizadores, Criar utilizador. Nome: o da pessoa (maria.lopez), nunca algo partilhado como soporte. Marque Fornecer acesso à Consola de Gestão da AWS, escolha Quero criar um utilizador do IAM e deixe marcado que deve mudar a palavra-passe ao iniciar sessão.

   No ecrã de permissões escolha Adicionar utilizador ao grupo e marque só o grupo que decidiu no passo 1. Não anexe políticas diretamente ao utilizador: daqui a seis meses ninguém se lembrará porque é que tem essa permissão solta. Crie o utilizador e aponte o endereço de início de sessão (leva o número da sua conta) para lho enviar juntamente com a palavra-passe temporária por canais diferentes: o endereço por e-mail, a palavra-passe em pessoa ou por uma mensagem que caduque.

   Se a pessoa não vai usar programas que falem com a AWS, não crie chaves de acesso. Podem acrescentar-se no dia em que forem precisas.

5. Torne obrigatório o duplo fator

   Peça à pessoa que, no seu primeiro acesso, vá ao menu do seu nome, Credenciais de segurança, e associe um dispositivo MFA com a aplicação do telemóvel. Mas não o deixe à boa vontade: em IAM, Políticas, crie uma política que negue tudo salvo configurar o MFA quando o utilizador não entrou com duplo fator, e anexe-a aos três grupos. A AWS tem-na como exemplo na sua documentação com o nome "permitir aos utilizadores gerir o seu próprio MFA"; copie o JSON de lá tal e qual.

   O efeito: quem entra sem MFA só vê o ecrã para o ativar. Tudo o resto aparece bloqueado até que o faça. É a única forma de toda a gente o ter mesmo.

6. Reveja o que ninguém deve ter

   Antes de dar o registo por fechado, repasse em IAM, Utilizadores, coluna das políticas anexadas:

   • AdministratorAccess em mais de uma ou duas pessoas: está a mais. Ninguém que só opere máquinas precisa dele.
   • IAMFullAccess em alguém que não gere utilizadores: com essa permissão pode dar a si próprio qualquer outra.
   • Permissões anexadas diretamente ao utilizador em vez de através de grupos: mova-as para o grupo ou apague-as.
   • Chaves de acesso em utilizadores de pessoas que não programam nada.

   Se encontrar algo disto em utilizadores antigos, aproveite para o corrigir. É o momento em que é mais fácil.

7. Prepare a saída desde o primeiro dia

   No dia em que alguém se vai embora, o seu acesso à AWS deve desaparecer nesse mesmo dia, antes de entregar o computador. Em IAM, Utilizadores, selecione o utilizador: primeiro desative o acesso à consola e as chaves de acesso (separador Credenciais de segurança), espere uma ou duas semanas para confirmar que nada dependia dessa pessoa, e depois elimine o utilizador.

   Aponte-o na lista de tarefas de saída juntamente com o e-mail e as chaves do escritório. E uma vez por trimestre, descarregue o Relatório de credenciais do IAM: diz-lhe de cada utilizador quando entrou pela última vez, se tem MFA e se as suas chaves se usam. Um utilizador que não entra há três meses é um utilizador que provavelmente já não devia existir.

O que pode correr mal