Aprenda AWS de forma visual e interativa.Learn AWS visually and interactively.

Exemplo de desenho (uma sugestão didática, não um padrão obrigatório da AWS): uma conta para cada ambiente, agrupadas em OUs.Example layout (a teaching suggestion, not a mandatory AWS standard): one account per environment, grouped in OUs.

A conta de tooling/compartilhada é opcional e costuma guardar o que várias contas usam, como o repositório de imagens no ECR (acesso entre contas via repository policy). Para começar, duas contas (dev e prod) já bastam.The tooling/shared account is optional and usually holds what several accounts use, such as the image repository in ECR (cross-account access through a repository policy). To start, two accounts (dev and prod) are enough.

Passo a passo: criar a organização com contas dev e prodStep by step: create the organization with dev and prod accounts

A ideia em uma frase: você já tem uma conta AWS; ela vira a management account e, a partir dela, você cria as contas dev e prod. Nenhuma conta nova é feita “do zero” no site da AWS: todas nascem dentro da organização.The idea in one sentence: you already have an AWS account; it becomes the management account and, from it, you create the dev and prod accounts. No new account is made “from scratch” on the AWS site: they are all born inside the organization.

Passo 0 · Nunca usou a AWS? Crie sua primeira contaStep 0 · New to AWS? Create your first account

• Acesse signup.aws.amazon.com (ou o botão “Create an AWS Account” em aws.amazon.com) e informe um e-mail que só você controla e um nome para a conta (pode mudar depois). Esse e-mail vira o login do root user — a identidade mais poderosa que existe na conta, acima de qualquer usuário IAM.Go to signup.aws.amazon.com (or the “Create an AWS Account” button on aws.amazon.com) and enter an email only you control and a name for the account (you can change it later). That email becomes the root user’s login — the single most powerful identity in the account, above any IAM user.
• Confirme o e-mail (a AWS manda um código), defina uma senha forte para o root e preencha o endereço de contato.Confirm the email (AWS sends a code), set a strong root password and fill in the contact address.
• Informe um cartão de crédito válido. A AWS faz uma cobrança pequena e temporária só para verificar o cartão (ela estorna). Sem cartão, a conta não é criada — mesmo que você só use o nível gratuito.Enter a valid credit card. AWS makes a small, temporary charge just to verify the card (it refunds it). Without a card, the account cannot be created — even if you only plan to use the free tier.
• Confirme sua identidade por SMS ou chamada de voz (um código de verificação).Verify your identity by SMS or voice call (a verification code).
• Escolha um plano de suporte: Basic (gratuito; suporte só por fórum e documentação) é suficiente para aprender e para a maioria dos projetos pequenos. Dá para mudar de plano depois, a qualquer momento.Choose a support plan: Basic (free; forum and documentation support only) is enough for learning and for most small projects. You can change plans later, at any time.
• Pronto: essa é a sua conta AWS. Antes de fazer qualquer outra coisa, ative MFA no root user (IAM → Dashboard → Root user → Add MFA, ou um app autenticador/chave de segurança) e nunca use o root no dia a dia — ele é só para tarefas que exigem root, como trocar o plano de suporte ou fechar a conta.Done: that is your AWS account. Before doing anything else, enable MFA on the root user (IAM → Dashboard → Root user → Add MFA, with an authenticator app or a security key) and never use root day to day — it is only for tasks that require it, like changing the support plan or closing the account.

Passo 1 · Prepare a conta que será a managementStep 1 · Prepare the account that will be the management account

• Use a conta mais antiga e “limpa” que você tem, de preferência sem recursos de aplicação: a management account não deve rodar cargas de trabalho, pois SCPs não a limitam.Use the oldest, “cleanest” account you have, ideally with no application resources: the management account should not run workloads, since SCPs do not limit it.
• Proteja o root user com MFA e um e-mail que você controla. Esse e-mail é o dono de toda a organização.Protect the root user with MFA and an email you control. That email owns the whole organization.

Passo 2 · Criar a organizaçãoStep 2 · Create the organization

• No console, entre como root ou como um admin da management account e abra AWS Organizations → Create an organization.In the console, sign in as root or as an admin of the management account and open AWS Organizations → Create an organization.
• Isso cria a Root (a raiz da árvore) e deixa a conta atual como management. O modo padrão é all features, o que habilita SCPs; deixe assim.This creates the Root (the top of the tree) and leaves the current account as the management account. The default mode is all features, which enables SCPs; keep it.
• Confirme o e-mail de verificação que a AWS envia (pode demorar a chegar) em até 24 horas; passado esse prazo, é preciso pedir o reenvio. A verificação é exigida antes de convidar contas.Confirm the verification email AWS sends (it may be delayed) within 24 hours; after that you must request a resend. Verification is required before inviting accounts.

Passo 3 · Criar as OUsStep 3 · Create the OUs

• Em AWS accounts, marque a Root e use Actions → Create new (organizational unit). Crie Prod e Non-prod. Uma OU é só uma pasta: ela existe para você aplicar a mesma política a várias contas de uma vez.Under AWS accounts, select the Root and use Actions → Create new (organizational unit). Create Prod and Non-prod. An OU is just a folder: it exists so you can apply the same policy to several accounts at once.

Passo 4 · Criar as contas dev e prodStep 4 · Create the dev and prod accounts

Antes, separe dois e-mails diferentes que nunca tenham sido usados em outra conta AWS (incluindo a management). Um alias como nome+dev@dominio.com costuma ser aceito e cai na mesma caixa de entrada, mas escolha uma caixa que a sua equipe também monitore: é por ela que se recupera o root da conta.First, set aside two different emails that have never been used for another AWS account (including the management account). An alias such as name+dev@domain.com is usually accepted and lands in the same inbox, but pick a mailbox your team also monitors: it is how the account’s root is recovered.

1. Na management account: AWS Organizations → AWS accounts → Add an AWS account → Create an AWS account.In the management account: AWS Organizations → AWS accounts → Add an AWS account → Create an AWS account.
2. AWS account name: dev. Email address of the account’s root user: o e-mail exclusivo desta conta (global e único: duas contas não podem ter o mesmo). Regras da API: de 6 a 64 caracteres, só ASCII de 7 bits, um único @. Um e-mail inválido impede acessar o root e remover a conta depois.AWS account name: dev. Email address of the account’s root user: the email exclusive to this account (globally unique: two accounts cannot share one). API rules: 6 to 64 characters, 7-bit ASCII only, a single @. An invalid email makes it impossible to reach the root and to remove the account later.
3. IAM role name: deixe em branco para usar OrganizationAccountAccessRole. Essa role é criada dentro da conta nova, confia na management account e dá permissões de administrador. O nome não pode começar com AWSServiceRoleFor.IAM role name: leave blank to use OrganizationAccountAccessRole. This role is created inside the new account, trusts the management account and grants administrator permissions. The name cannot start with AWSServiceRoleFor.
4. Tags (opcional, mas útil): por exemplo Environment=dev. Se uma tag for inválida, a requisição inteira falha e a conta não é criada.Tags (optional, but useful): for example Environment=dev. If any tag is invalid, the whole request fails and the account is not created.
5. Clique em Create AWS account. A criação é assíncrona: a conta aparece na lista como pendente e pode levar alguns minutos até ficar utilizável. Atualize a página.Click Create AWS account. Creation is asynchronous: the account shows up as pending and can take a few minutes to become usable. Refresh the page.
6. Repita tudo para prod, com outro e-mail.Repeat everything for prod, with a different email.
7. Anote o ID de 12 dígitos de cada conta (<ID_CONTA_DEV> e <ID_CONTA_PROD>). Você vai usá-los em ARNs, em trust policies e nos perfis da CLI.Write down each account’s 12-digit ID (<ID_CONTA_DEV> and <ID_CONTA_PROD>). You will use them in ARNs, trust policies and CLI profiles.
8. Mova cada conta para a OU certa: marque dev (a caixa de seleção, não o nome) → Actions → AWS account → Move → Non-prod; prod → Prod. Contas novas nascem na Root.Move each account to the right OU: select dev (the checkbox, not the name) → Actions → AWS account → Move → Non-prod; prod → Prod. New accounts are born in the Root.

Passo 5 · Dar acesso às pessoas (IAM Identity Center)Step 5 · Give people access (IAM Identity Center)

Para testar rápido, basta o Switch role com a OrganizationAccountAccessRole (ao fim deste passo). Para o dia a dia, a AWS recomenda o IAM Identity Center: uma pessoa entra uma vez no portal e escolhe a conta e o nível de acesso, com credenciais temporárias. Tudo abaixo é feito na management account.To test quickly, Switch role with OrganizationAccountAccessRole is enough (at the end of this step). For daily use, AWS recommends IAM Identity Center: a person signs in once to the portal and picks the account and the level of access, with temporary credentials. Everything below is done in the management account.

1. Habilitar. Abra o console do IAM Identity Center e habilite-o com uma instância da organização (a recomendada; só ela gerencia acesso a várias contas). Escolha a região com cuidado: é nela que o serviço vive, e ela aparece depois como sso_region na CLI. Ao habilitar pela primeira vez, o diretório do próprio Identity Center já vem como fonte de identidade padrão.Enable. Open the IAM Identity Center console and enable it with an organization instance (the recommended one; only it manages access to many accounts). Choose the Region carefully: that is where the service lives, and it later shows up as sso_region in the CLI. When you enable it for the first time, the Identity Center directory is already the default identity source.
2. Criar grupos. Groups → Create group: por exemplo admins e devs. Dê permissões a grupos, não a pessoas: quem entra ou sai do time muda só a associação.Create groups. Groups → Create group: for example admins and devs. Give permissions to groups, not people: someone joining or leaving the team only changes membership.
3. Criar o usuário. Users → Add user: informe o username (fácil de lembrar, não pode ser mudado depois), deixe marcada a opção de enviar um e-mail com as instruções de senha, informe um e-mail único, nome e sobrenome e, na tela seguinte, adicione a pessoa ao grupo. Confirme em Add user.Create the user. Users → Add user: enter the username (easy to remember, cannot be changed later), keep the option to email password-setup instructions, enter a unique email, first and last name, and on the next screen add the person to the group. Confirm with Add user.
4. Criar os permission sets. Permission sets → Create permission set → Predefined permission set. Sugestão: AdministratorAccess, PowerUserAccess e ReadOnlyAccess. A duração padrão da sessão é de 1 hora. PowerUserAccess não gerencia usuários e grupos IAM, ao contrário do administrador.Create the permission sets. Permission sets → Create permission set → Predefined permission set. Suggestion: AdministratorAccess, PowerUserAccess and ReadOnlyAccess. The default session duration is 1 hour. PowerUserAccess cannot manage IAM users and groups, unlike administrator.
5. Atribuir por conta. AWS accounts (em Multi-account permissions) → marque a conta → Assign users or groups → escolha o grupo → escolha o permission set → Submit. O Identity Center cria dentro da conta uma role IAM gerenciada por ele. Aguarde a mensagem de que a conta foi reprovisionada.Assign per account. AWS accounts (under Multi-account permissions) → select the account → Assign users or groups → pick the group → pick the permission set → Submit. Identity Center creates an IAM role it manages inside the account. Wait for the message that the account was reprovisioned.
6. A pessoa ativa o acesso. Ela recebe o e-mail “Invitation to join IAM Identity Center” (de no-reply@signin.aws ou no-reply@login.awsapps.com: libere esses remetentes), aceita o convite, define a senha e registra o MFA. Depois entra no AWS access portal, expande a organização, escolhe a conta e a role. “Role” abre o console; “Access keys” dá credenciais temporárias para CLI e SDK.The person activates access. They receive the “Invitation to join IAM Identity Center” email (from no-reply@signin.aws or no-reply@login.awsapps.com: allow those senders), accept the invitation, set a password and register MFA. Then they sign in to the AWS access portal, expand the organization, and pick the account and role. “Role” opens the console; “Access keys” gives temporary credentials for the CLI and SDKs.

Uma divisão razoável para começar (adapte à sua equipe):A reasonable split to start with (adapt it to your team):

Passo 5b · Usar as contas no terminalStep 5b · Use the accounts from the terminal

Crie um perfil para cada conta. Pegue a SSO start URL e a região no portal (Access keys → IAM Identity Center credentials) ou a Issuer URL no painel do Identity Center. Com a CLI v2:Create a profile for each account. Get the SSO start URL and Region from the portal (Access keys → IAM Identity Center credentials) or the Issuer URL from the Identity Center dashboard. With CLI v2:

aws configure sso
# SSO session name:      baselarte
# SSO start URL:         https://<seu-portal>.awsapps.com/start
# SSO region:            us-east-1
# SSO registration scopes: sso:account:access
# (choose the dev account and role, then name the profile: dev)

aws configure sso      # repeat: choose the prod account, profile name: prod

aws sso login --profile dev
aws sts get-caller-identity --profile dev     # Account = <ID_CONTA_DEV>
aws sts get-caller-identity --profile prod    # Account = <ID_CONTA_PROD>CopiarCopyCopiadoCopiedFalhouFailed

O resultado em ~/.aws/config: os dois perfis compartilham a mesma sso-session, então um único login vale para ambos.The result in ~/.aws/config: both profiles share the same sso-session, so a single login covers both.

[profile dev]
sso_session = baselarte
sso_account_id = <ID_CONTA_DEV>
sso_role_name = PowerUserAccess
region = sa-east-1

[profile prod]
sso_session = baselarte
sso_account_id = <ID_CONTA_PROD>
sso_role_name = ReadOnlyAccess
region = sa-east-1

[sso-session baselarte]
sso_region = us-east-1
sso_start_url = https://<seu-portal>.awsapps.com/start
sso_registration_scopes = sso:account:accessCopiarCopyCopiadoCopiedFalhouFailed

• Alternativa rápida, sem Identity Center: entre na management como um usuário não-root com permissão sts:AssumeRole sobre a role (o root não troca de role) e use Switch role no console com o ID da conta e a role OrganizationAccountAccessRole; veja Contas, usuários, roles e ARN. Serve para testar, mas dá administrador total e não escala para uma equipe.Quick alternative, without Identity Center: sign in to the management account as a non-root user with the sts:AssumeRole permission on the role (root cannot switch roles) and use Switch role in the console with the account ID and the OrganizationAccountAccessRole role; see Accounts, users, roles and ARNs. Fine for testing, but it grants full administrator and does not scale to a team.
• Quando as credenciais expiram, rode aws sso login --profile dev de novo; aws sso logout apaga as credenciais em cache.When credentials expire, run aws sso login --profile dev again; aws sso logout deletes the cached credentials.

Passo 6 · Preparar cada conta (o que se repete em dev e prod)Step 6 · Prepare each account (what repeats in dev and prod)

Cada conta nasce vazia. Para receber o deploy automático do GitHub, faça o mesmo checklist nas duas, com os perfis dev e prod (as permissões de administrador só são necessárias nesta preparação inicial):Each account is born empty. To receive automatic deploys from GitHub, run the same checklist in both, with the dev and prod profiles (administrator permissions are only needed for this initial setup):

Se preferir um repositório ECR único para todos os ambientes, use a conta de tooling e libere as outras por repository policy. Para começar com duas contas, um ECR por conta é mais simples e mantém o isolamento total.If you prefer a single ECR repository for all environments, use the tooling account and allow the others through a repository policy. To start with two accounts, one ECR per account is simpler and keeps isolation complete.

Passo 7 · Conferir se ficou certoStep 7 · Check that it is right

# from the management account (profile with access to it)
aws organizations describe-organization --query 'Organization.FeatureSet'   # "ALL"
aws organizations list-accounts --query 'Accounts[].[Name,Id,Status]' --output table
aws organizations list-organizational-units-for-parent --parent-id r-abcd

# each profile must land in a DIFFERENT account
aws sts get-caller-identity --profile dev
aws sts get-caller-identity --profile prodCopiarCopyCopiadoCopiedFalhouFailed

• Esperado: FeatureSet igual a ALL; as contas dev e prod com status ACTIVE e IDs diferentes; cada perfil devolvendo o ID da sua própria conta.Expected: FeatureSet equal to ALL; the dev and prod accounts ACTIVE with different IDs; each profile returning its own account ID.
• Se um perfil devolver o ID errado, o sso_account_id do perfil está trocado: é o erro mais comum, e o mais perigoso, porque o deploy de dev iria para a produção.If a profile returns the wrong ID, the profile’s sso_account_id is swapped: the most common mistake and the most dangerous, because a dev deploy would land in production.

Passo 8 · Aplicar guardrails (opcional, mas vale a pena)Step 8 · Apply guardrails (optional, but worth it)

• Habilite o tipo de política em Policies → Service control policies → Enable service control policies. Teste uma SCP primeiro na OU Non-prod (veja o exemplo mais abaixo) e só depois leve para Prod. Nunca comece pela Root.Enable the policy type under Policies → Service control policies → Enable service control policies. Try an SCP first on the Non-prod OU (see the example below) and only then take it to Prod. Never start at the Root.
• Para anexar: abra a OU (clique no nome) → aba Policies → Attach. A FullAWSAccess padrão continua anexada; só a remova se tiver uma lista de permissões (allow list) que a substitua.To attach: open the OU (click its name) → Policies tab → Attach. The default FullAWSAccess stays attached; only remove it if you have an allow list replacing it.

O mesmo pelo terminalThe same from the terminal

Com a CLI autenticada na management account (os IDs abaixo são ilustrativos):With the CLI authenticated to the management account (the IDs below are illustrative):

# 1 · create the organization (all features)
aws organizations create-organization --feature-set ALL

# 2 · find the Root ID and create the OUs
aws organizations list-roots --query 'Roots[0].Id' --output text      # r-abcd
aws organizations create-organizational-unit --parent-id r-abcd --name Prod
aws organizations create-organizational-unit --parent-id r-abcd --name Non-prod

# 3 · create the dev account (asynchronous: follow the status)
aws organizations create-account \
  --account-name dev --email nome+dev@dominio.com \
  --role-name OrganizationAccountAccessRole \
  --tags Key=Environment,Value=dev
aws organizations describe-create-account-status --create-account-request-id car-xxxxxxxx

# 4 · move the account to its OU (the account ID comes from the status above)
aws organizations move-account --account-id 111111111111 \
  --source-parent-id r-abcd --destination-parent-id ou-abcd-11111111CopiarCopyCopiadoCopiedFalhouFailed

Por que separar contas por ambienteWhy separate accounts by environment

A AWS recomenda usar várias contas para separar cargas de trabalho, em vez de uma só. Por padrão não existe acesso entre contas: se produção e não-produção ficam em contas distintas, elas permanecem isoladas até você liberar explicitamente. O número de contas não altera a cobrança, que é baseada no uso dos recursos.AWS recommends using several accounts to separate workloads rather than a single one. By default there is no access between accounts: if production and non-production live in different accounts, they stay isolated until you explicitly allow access. The number of accounts does not change billing, which is based on resource usage.

Simulador de herança de SCPSCP inheritance simulator

Exemplo de SCPSCP example

Exemplo didático que nega ações fora de duas regiões, com exceção de serviços globais. Adapte e teste em uma OU de teste antes de usar. A AWS publica exemplos oficiais de SCP na página de exemplos de SCP.Teaching example denying actions outside two regions, except for global services. Adapt it and test it in a test OU first. AWS publishes official SCP examples in its SCP examples page.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "NotAction": ["iam:*", "organizations:*", "route53:*", "support:*"],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": { "aws:RequestedRegion": ["us-east-1", "sa-east-1"] }
      }
    }
  ]
}CopiarCopyCopiadoCopiedFalhouFailed

Quem é quem: root, nome da conta e usernameWho is who: root, account name and username

Uma conta AWS tem um root e quantas identidades não-root você criar. Cada tipo de identidade entra por uma porta diferente, com dados diferentes:An AWS account has one root and as many non-root identities as you create. Each kind of identity signs in through a different door, with different data:

ARN: a sigla e como lerARN: the acronym and how to read it

ARN é Amazon Resource Name. Segundo a documentação, ARNs identificam recursos de forma única em toda a AWS e são exigidos quando você precisa apontar um recurso sem ambiguidade, como em políticas do IAM e em chamadas de API. Um ARN não é considerado segredo, mas deve ser compartilhado com cuidado.ARN stands for Amazon Resource Name. According to the documentation, ARNs uniquely identify resources across all of AWS and are required when you must point to a resource unambiguously, such as in IAM policies and API calls. An ARN is not considered secret, but should be shared with care.

A partição é aws nas regiões comuns (aws-cn na China, aws-us-gov no GovCloud). Para achar o formato de qualquer recurso, a documentação indica a Service Authorization Reference. Curingas (*) valem no Resource (por exemplo role/*), mas não no Principal.The partition is aws in the regular Regions (aws-cn in China, aws-us-gov in GovCloud). To find any resource’s format, the documentation points to the Service Authorization Reference. Wildcards (*) work in Resource (for example role/*), but not in Principal.

Como uma conta dá acesso à outraHow one account grants access to another

A conta root (management) não empresta o root dela. O acesso entre contas sempre passa por uma role, que entrega credenciais temporárias. Há três caminhos, do mais pronto ao mais controlado:The root (management) account does not lend its root. Cross-account access always goes through a role, which hands out temporary credentials. There are three paths, from the most ready-made to the most controlled:

O caminho 2 precisa de duas chaves, uma em cada conta. É o desenho que a documentação chama de conta confiável (trusted, onde ficam os usuários) e conta confiante (trusting, onde está o recurso):Path 2 needs two keys, one in each account. It is the design the documentation calls the trusted account (where the users are) and the trusting account (where the resource is):

Passo a passoStep by step

Cenário: você tem a conta management (<ID_CONTA_MGMT>, só com o root) e a conta dev (<ID_CONTA_DEV>, criada pelo Organizations). Meta: uma pessoa não-root da management trabalhar na dev com permissão limitada.Scenario: you have the management account (<ID_CONTA_MGMT>, with only the root) and the dev account (<ID_CONTA_DEV>, created through Organizations). Goal: a non-root person in the management account works in dev with limited permissions.

Passo A · Criar uma identidade que não é root na managementStep A · Create a non-root identity in the management account

1. Entre na management como root (uma das raras vezes em que ele é necessário aqui) e, em IAM, escolha Users → Create user.Sign in to the management account as root (one of the rare times it is needed here) and, in IAM, choose Users → Create user.
2. Em Specify user details → User name, escreva o username (por exemplo maria). É o nome de login dela. Marque Provide user access to the AWS Management Console e escolha I want to create an IAM user.Under Specify user details → User name, type the username (for example maria). It is her sign-in name. Check Provide user access to the AWS Management Console and choose I want to create an IAM user.
3. Em Console password, escolha Autogenerated password (ou uma senha personalizada) e mantenha marcado User must create a new password at next sign-in (recommended). Clique em Next.Under Console password, choose Autogenerated password (or a custom one) and keep User must create a new password at next sign-in (recommended) checked. Click Next.
4. Em Set permissions, escolha Add user to group → Create group. Nome do grupo: admins; em Permissions policies, marque AdministratorAccess e clique em Create user group. De volta à lista, marque o grupo novo e clique em Next. Dê permissões ao grupo, não ao usuário.Under Set permissions, choose Add user to group → Create group. Group name: admins; under Permissions policies, check AdministratorAccess and click Create user group. Back on the list, check the new group and click Next. Give permissions to the group, not the user.
5. Em Review and create, confira e clique em Create user. Na página Retrieve password, use Download .csv file: o arquivo traz a Connection URL, o username e a senha. Entregue por um canal seguro.On Review and create, check and click Create user. On the Retrieve password page, use Download .csv file: the file has the Connection URL, the username and the password. Hand it over through a secure channel.
6. A pessoa entra em https://<ID_CONTA_MGMT>.signin.aws.amazon.com/console/ (ou em console.aws.amazon.com, digitando o ID ou alias) com ID da conta, username e senha. A documentação recomenda digitar essa URL no favorito à mão, porque redirecionamentos podem esconder o endereço real.The person signs in at https://<ID_CONTA_MGMT>.signin.aws.amazon.com/console/ (or at console.aws.amazon.com, typing the ID or alias) with the account ID, username and password. The documentation recommends typing that URL into the bookmark by hand, because redirects can hide the real address.
7. Registre o MFA: IAM → Users → maria → Security credentials → Multi-factor authentication (MFA) → Assign MFA device, informe um nome, escolha Authenticator app e digite dois códigos seguidos. A AWS recomenda, quando possível, passkey ou chave de segurança no lugar do app. Depois disso, o root volta para o cofre.Register MFA: IAM → Users → maria → Security credentials → Multi-factor authentication (MFA) → Assign MFA device, enter a name, choose Authenticator app and type two consecutive codes. AWS recommends a passkey or security key instead of the app when possible. After that, the root goes back in the vault.
8. (Opcional) Crie um alias para o link ficar legível: IAM → Dashboard → AWS Account → Account Alias → Create (exige iam:CreateAccountAlias). Só existe um alias por conta, e o link com o ID continua funcionando.(Optional) Create an alias so the link is readable: IAM → Dashboard → AWS Account → Account Alias → Create (requires iam:CreateAccountAlias). There is only one alias per account, and the link with the ID keeps working.

O mesmo pela CLI, no padrão da documentação (a senha vai num arquivo JSON, não na linha de comando):The same from the CLI, following the documentation’s pattern (the password goes in a JSON file, not on the command line):

aws iam create-user --user-name maria

aws iam create-login-profile --generate-cli-skeleton > create-login-profile.json
# edit the file: {"UserName": "maria", "Password": "<password>", "PasswordResetRequired": true}
aws iam create-login-profile --cli-input-json file://create-login-profile.json

aws iam create-group --group-name admins
aws iam attach-group-policy --group-name admins \
  --policy-arn arn:aws:iam::aws:policy/AdministratorAccess
aws iam add-user-to-group --user-name maria --group-name admins
aws iam get-group --group-name admins

aws iam create-account-alias --account-alias minha-empresa-mgmt   # optionalCopiarCopyCopiadoCopiedFalhouFailed

A senha precisa respeitar a política de senhas da conta; se não respeitar, o erro é PasswordPolicyViolation.The password must comply with the account’s password policy; if it does not, the error is PasswordPolicyViolation.

Passo B · Criar a role na conta dev (as chaves 1 e 2)Step B · Create the role in the dev account (keys 1 and 2)

Entre na dev como administrador. Como a conta foi criada pelo Organizations, ela tem a OrganizationAccountAccessRole (administrador total, confiando em toda a management) e não tem credenciais de root: contas-membro criadas assim não entram como root nem recuperam a senha, a menos que a recuperação esteja habilitada. Use a role a partir de um usuário não-root da management (ou o permission set de administrador do Identity Center).Sign in to dev as an administrator. Since the account was created by Organizations, it has the OrganizationAccountAccessRole (full administrator, trusting the whole management account) and no root credentials: member accounts created this way cannot sign in as root or recover the password unless recovery is enabled. Use the role from a non-root user of the management account (or the administrator permission set from Identity Center).

1. IAM → Roles → Create role. Em Trusted entity type, escolha AWS account → Another AWS account e informe o ID da management (<ID_CONTA_MGMT>). Isso gera a trust policy: quem pode assumir a role.IAM → Roles → Create role. Under Trusted entity type, choose AWS account → Another AWS account and enter the management account ID (<ID_CONTA_MGMT>). This generates the trust policy: who may assume the role.
2. Marque Require MFA: só entra quem fez login com MFA. (Não marque Require external ID: ela é para contas de terceiros e impede o uso pelo console.)Check Require MFA: only someone who signed in with MFA gets in. (Do not check Require external ID: it is for third-party accounts and blocks console use.)
3. Em permissões, escolha o mínimo necessário (por exemplo PowerUserAccess ou ReadOnlyAccess). Por padrão, uma role não tem permissão nenhuma.Under permissions, pick the minimum needed (for example PowerUserAccess or ReadOnlyAccess). By default a role has no permissions at all.
4. Em Role name, use PowerUserFromMgmt (até 64 caracteres; diferencia maiúsculas no ARN; não dá para renomear depois). Crie e copie o ARN da role (na página da role, Summary): arn:aws:iam::<ID_CONTA_DEV>:role/PowerUserFromMgmt. A mesma página mostra o link de Switch role já preenchido.Under Role name, use PowerUserFromMgmt (up to 64 characters; case-sensitive in the ARN; cannot be renamed later). Create it and copy the role ARN (on the role page, Summary): arn:aws:iam::<ID_CONTA_DEV>:role/PowerUserFromMgmt. The same page shows the prefilled Switch role link.

A trust policy gerada tem esta forma. O :root no Principal significa “esta conta”, e não o usuário root: quem de fato pode assumir é decidido pelas permissões dentro da management (Passo C).The generated trust policy looks like this. The :root in Principal means “this account”, not the root user: who can actually assume it is decided by the permissions inside the management account (Step C).

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::<ID_CONTA_MGMT>:root" },
      "Action": "sts:AssumeRole",
      "Condition": { "Bool": { "aws:MultiFactorAuthPresent": "true" } }
    }
  ]
}CopiarCopyCopiadoCopiedFalhouFailed

# the same from the CLI, with the dev profile (trust.json = the policy above)
aws iam create-role --role-name PowerUserFromMgmt \
  --assume-role-policy-document file://trust.json --profile dev
aws iam attach-role-policy --role-name PowerUserFromMgmt \
  --policy-arn arn:aws:iam::aws:policy/PowerUserAccess --profile devCopiarCopyCopiadoCopiedFalhouFailed

Passo C · Liberar a permissão na management (a chave 2)Step C · Grant the permission in the management account (key 2)

1. Na management: IAM → Policies → Create policy → JSON. Cole a política abaixo, com o ARN da role da dev, e salve como assume-dev-poweruser.In the management account: IAM → Policies → Create policy → JSON. Paste the policy below, with the dev role’s ARN, and save it as assume-dev-poweruser.
2. Anexe a política ao grupo admins (ou a um grupo só para isso). Evite Resource: "*": ele permitiria assumir qualquer role de qualquer conta que confie na sua. (Pelo editor visual: Create policy → Visual, serviço STS, ação AssumeRole, recurso Specific → Add ARNs → Other account, com o ID da dev e o nome da role.)Attach the policy to the admins group (or to a group just for this). Avoid Resource: "*": it would allow assuming any role in any account that trusts yours. (In the visual editor: Create policy → Visual, service STS, action AssumeRole, resource Specific → Add ARNs → Other account, with the dev ID and the role name.)

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": "sts:AssumeRole",
    "Resource": "arn:aws:iam::<ID_CONTA_DEV>:role/PowerUserFromMgmt"
  }
}CopiarCopyCopiadoCopiedFalhouFailed

Passo D · Usar a role (a etapa 3 do diagrama)Step D · Use the role (step 3 of the diagram)

• Console. A pessoa entra na management, clica no nome dela na barra superior e escolhe Switch role. Em Account, o ID (ou alias) da dev; em Role, PowerUserFromMgmt; opcionalmente um Display name e uma cor (por exemplo vermelho para prod). Switch Role. Ou usa o link https://signin.aws.amazon.com/switchrole?account=<ID_CONTA_DEV>&roleName=PowerUserFromMgmt. Para voltar: o nome de exibição na barra → Switch back.Console. The person signs in to the management account, clicks their name in the top bar and chooses Switch role. Under Account, the dev ID (or alias); under Role, PowerUserFromMgmt; optionally a Display name and a color (for example red for prod). Switch Role. Or uses the link https://signin.aws.amazon.com/switchrole?account=<ID_CONTA_DEV>&roleName=PowerUserFromMgmt. To go back: the display name in the bar → Switch back.
• CLI. Um perfil que usa as credenciais da management como origem e assume a role. Como a trust policy exige MFA, o perfil precisa do mfa_serial (o ARN do dispositivo de MFA do usuário); a CLI pede o código de 6 dígitos ao usar. Sem mfa_serial, a chamada falha com AccessDenied.CLI. A profile that uses the management credentials as the source and assumes the role. Because the trust policy requires MFA, the profile needs mfa_serial (the ARN of the user’s MFA device); the CLI asks for the 6-digit code on use. Without mfa_serial, the call fails with AccessDenied.

# ~/.aws/config
[profile mgmt-user]
region = sa-east-1                 # the IAM user's access keys (aws configure --profile mgmt-user)

[profile dev-from-mgmt]
role_arn = arn:aws:iam::<ID_CONTA_DEV>:role/PowerUserFromMgmt
source_profile = mgmt-user
mfa_serial = arn:aws:iam::<ID_CONTA_MGMT>:mfa/maria
role_session_name = maria-dev
region = sa-east-1CopiarCopyCopiadoCopiedFalhouFailed

aws sts get-caller-identity --profile dev-from-mgmt
# Enter MFA code for arn:aws:iam::<ID_CONTA_MGMT>:mfa/maria:
# "Account": "<ID_CONTA_DEV>"
# "Arn": "arn:aws:sts::<ID_CONTA_DEV>:assumed-role/PowerUserFromMgmt/maria-dev"

# or by hand, to see the temporary credentials:
aws sts assume-role --role-arn arn:aws:iam::<ID_CONTA_DEV>:role/PowerUserFromMgmt \
  --role-session-name maria-dev --profile mgmt-user \
  --serial-number arn:aws:iam::<ID_CONTA_MGMT>:mfa/maria --token-code 123456CopiarCopyCopiadoCopiedFalhouFailed

Repare no ARN devolvido: assumed-role, a conta dev e o nome da sessão (role_session_name), que também aparece nos logs do CloudTrail. É a prova de que a pessoa opera na dev. Só um conjunto de permissões vale por vez: ao assumir a role, ela deixa de lado as permissões do usuário e fica com as da role. A sessão da CLI dura 1 hora, salvo se você pedir outra duração (--duration-seconds, até o máximo configurado na role).Note the returned ARN: assumed-role, the dev account and the session name (role_session_name), which also shows up in CloudTrail logs. It is proof the person operates in dev. Only one set of permissions is in effect at a time: when assuming the role, they set aside the user’s permissions and keep the role’s. The CLI session lasts 1 hour, unless you request another duration (--duration-seconds, up to the role’s configured maximum).

Este perfil usa as chaves de um usuário IAM como origem. Para quem entra pelo Identity Center, não encadeie roles: atribua um permission set na conta dev (caminho 3).This profile uses an IAM user’s keys as the source. For people who sign in through Identity Center, do not chain roles: assign a permission set in the dev account (path 3).

Passo a passo: o primeiro orçamento com alertaStep by step: your first budget with an alert

A ideia em uma frase: um Budget não impede gasto nenhum sozinho — ele só avisa. Para realmente travar, combine com uma SCP ou automação (veja o aviso mais abaixo).The idea in one sentence: a Budget does not block any spend by itself — it only warns. To actually enforce a limit, combine it with an SCP or automation (see the warning below).

Passo 1 · Criar um Budget de custo mensalStep 1 · Create a monthly cost budget

• Abra Billing and Cost Management → Budgets → Create a budget e escolha Cost budget.Open Billing and Cost Management → Budgets → Create a budget and choose Cost budget.
• Defina um valor mensal (por exemplo, US$ 20 enquanto estiver estudando) e o período (recorrente, mês a mês).Set a monthly amount (for example, US$ 20 while you are learning) and the period (recurring, month by month).
• Adicione alertas em vários limiares: por exemplo, 50% do real (já gasto) e 100% do previsto (forecast) — o previsto avisa ANTES de você realmente estourar.Add alerts at several thresholds: for example, 50% of actual (already spent) and 100% of forecasted — the forecast one warns you BEFORE you actually go over.
• Informe um e-mail (ou um tópico SNS, se quiser integrar com Slack/chat depois) para receber o alerta.Enter an email (or an SNS topic, if you want to integrate with Slack/chat later) to receive the alert.

Passo 2 · Ativar o alarme clássico de cobrança (opcional, mas simples)Step 2 · Enable the classic billing alarm (optional, but simple)

• Em Billing and Cost Management → Billing preferences, marque Receive Billing Alerts.Under Billing and Cost Management → Billing preferences, check Receive Billing Alerts.
• No CloudWatch, sempre na região us-east-1 (é onde a métrica de cobrança vive, mesmo que seus recursos estejam em outra região), crie um alarme sobre a métrica EstimatedCharges.In CloudWatch, always in the us-east-1 region (that is where the billing metric lives, even if your resources are elsewhere), create an alarm on the EstimatedCharges metric.

O mesmo pelo terminalThe same from the terminal

# cria um budget de custo mensal de US$ 20, com alerta em 80% do real
aws budgets create-budget --account-id 111111111111 --budget '{
  "BudgetName": "orcamento-mensal",
  "BudgetLimit": {"Amount": "20", "Unit": "USD"},
  "TimeUnit": "MONTHLY",
  "BudgetType": "COST"
}' --notifications-with-subscribers '[{
  "Notification": {"NotificationType": "ACTUAL", "ComparisonOperator": "GREATER_THAN", "Threshold": 80},
  "Subscribers": [{"SubscriptionType": "EMAIL", "Address": "voce@exemplo.com"}]
}]'

# alarme clássico de cobrança (rode em us-east-1)
aws cloudwatch put-metric-alarm --alarm-name cobranca-acima-de-20usd \
  --metric-name EstimatedCharges --namespace AWS/Billing --statistic Maximum \
  --period 21600 --threshold 20 --comparison-operator GreaterThanThreshold \
  --dimensions Name=Currency,Value=USD --evaluation-periods 1 \
  --alarm-actions arn:aws:sns:us-east-1:111111111111:alerta-de-custo --region us-east-1CopiarCopyCopiadoCopiedFalhouFailed

Cost allocation tags: o custo, explicado por etiquetaCost allocation tags: cost, explained by tag

Tags como Project=loja ou Environment=dev nos seus recursos viram colunas no Cost Explorer depois de ativadas em Billing → Cost allocation tags. É a forma de responder “quanto cada projeto/time/ambiente está custando?” sem precisar de uma conta separada para cada um.Tags like Project=store or Environment=dev on your resources become columns in Cost Explorer once activated under Billing → Cost allocation tags. This is how you answer “how much does each project/team/environment cost?” without needing a separate account for each.

Fluxo comum com gruposCommon flow with groups

Anatomia de uma políticaAnatomy of a policy

Uma política é um documento JSON. Exemplo de permissão para enviar (push) imagens a um repositório do ECR, com placeholders no lugar de IDs reais:A policy is a JSON document. Example permission to push images to an ECR repository, with placeholders instead of real IDs:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecr:BatchCheckLayerAvailability",
        "ecr:InitiateLayerUpload",
        "ecr:UploadLayerPart",
        "ecr:CompleteLayerUpload",
        "ecr:PutImage"
      ],
      "Resource": "arn:aws:ecr:us-east-1:111122223333:repository/meu-repositorio"
    }
  ]
}CopiarCopyCopiadoCopiedFalhouFailed

O IAM Identity Center (antigo AWS Single Sign-On) conecta o seu provedor de identidade existente, sincronizando usuários e grupos, ou permite criar e gerenciar usuários direto nele. Para acesso a contas, a AWS o recomenda como forma de dar acesso a pessoas. Não há cobrança adicional pelo IAM Identity Center; você paga pelos recursos que usa.IAM Identity Center (formerly AWS Single Sign-On) connects your existing identity provider, syncing users and groups, or lets you create and manage users directly in it. For account access, AWS recommends it as the way to give access to people. There is no additional charge for IAM Identity Center; you pay for the resources you use.

Permission sets na práticaPermission sets in practice

• Permission sets exigem a instância da organização com multi-account permissions habilitado (padrão ao criar a instância).Permission sets require the organization instance with multi-account permissions enabled (default when the instance is created).
• Aceitam políticas gerenciadas pela AWS, gerenciadas pelo cliente, inline e de função de trabalho, além de uma permissions boundary.They accept AWS managed, customer managed, inline and job-function policies, plus a permissions boundary.
• Você pode atribuir mais de um permission set à mesma pessoa. A documentação recomenda escolher, no portal, o mais restritivo que resolve a tarefa, em vez de sempre usar administrador.You can assign more than one permission set to the same person. The docs recommend choosing, in the portal, the most restrictive one that does the job rather than always using admin.
• Exemplo da documentação: PowerUserAccess não permite gerenciar usuários e grupos IAM, ao contrário de AdministratorAccess.Docs example: PowerUserAccess does not allow managing IAM users and groups, unlike AdministratorAccess.
• Precisa de recursos além do que permission sets oferecem (trust policy customizada, tags de role)? Veja o account access manager do IAM.Need more than permission sets offer (custom trust policy, role tags)? See IAM's account access manager.

Uso no terminalUsing it in the terminal

aws configure sso          # cria o perfil (sso-session, conta e permission set)
aws sso login --profile meu-perfil
aws sts get-caller-identity --profile meu-perfil
aws sso logoutCopiarCopyCopiadoCopiedFalhouFailed

Quando as credenciais do SSO expiram, é preciso fazer login de novo. Veja também a seção AWS CLI.When SSO credentials expire you must sign in again. See also the AWS CLI section.

A AWS recomenda não guardar credenciais de longo prazo em aplicações fora da AWS. Com OIDC, o provedor emite um JSON Web Token (JWT); a AWS valida o token e devolve credenciais temporárias de uma role IAM. A operação da API é AssumeRoleWithWebIdentity (AWS STS).AWS recommends not storing long-term credentials in applications outside AWS. With OIDC, the provider issues a JSON Web Token (JWT); AWS validates it and returns temporary credentials for an IAM role. The API operation is AssumeRoleWithWebIdentity (AWS STS).

1 · Criar o provedor OIDC no IAM1 · Create the OIDC provider in IAM

• A URL do provedor começa com https://, não tem porta e não tem query string. É sensível a maiúsculas e deve ser única na conta. Para o GitHub Actions: https://token.actions.githubusercontent.com.The provider URL starts with https://, has no port and no query string. It is case-sensitive and must be unique in the account. For GitHub Actions: https://token.actions.githubusercontent.com.
• O campo Audience (aud) deve bater com o valor que o provedor coloca no token. Para o GitHub Actions no console, é sts.amazonaws.com.The Audience (aud) must match the value the provider puts in the token. For GitHub Actions in the console, it is sts.amazonaws.com.
• A AWS verifica o certificado do endpoint JWKS com sua biblioteca de CAs confiáveis; thumbprints só entram como alternativa quando o certificado não é de uma CA conhecida.AWS verifies the JWKS endpoint certificate against its library of trusted CAs; thumbprints are only a fallback when the certificate is not from a known CA.
• O provedor OIDC usado na trust policy precisa estar na mesma conta da role.The OIDC provider used in a trust policy must be in the same account as the role.

2 · Trust policy da role2 · The role's trust policy

O GitHub é um provedor OIDC compartilhado entre muitos clientes. Por isso o IAM exige que a trust policy avalie a condição token.actions.githubusercontent.com:sub, e o valor não pode ser só um curinga. Sem essa restrição, workflows de repositórios fora do seu controle poderiam assumir a role. Exemplo restrito a um repositório e uma branch:GitHub is an OIDC provider shared across many customers. So IAM requires the trust policy to evaluate the condition token.actions.githubusercontent.com:sub, and the value cannot be only a wildcard. Without that restriction, workflows from repositories outside your control could assume the role. Example limited to one repository and one branch:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::111122223333:oidc-provider/token.actions.githubusercontent.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "token.actions.githubusercontent.com:aud": "sts.amazonaws.com",
          "token.actions.githubusercontent.com:sub": "repo:MINHA_ORG/MEU_REPO:ref:refs/heads/main"
        }
      }
    }
  ]
}CopiarCopyCopiadoCopiedFalhouFailed

O claim sub do GitHubThe GitHub sub claim

• Se o job referencia um environment, o sub usa o formato de environment (ele tem prioridade). Pull request só aparece quando não há environment. Branch e tag valem quando não há environment nem pull request.If the job references an environment, the sub uses the environment format (it takes priority). Pull request only appears when there is no environment. Branch and tag apply when there is neither environment nor pull request.
• Para restringir repositório, use StringLike com repo:ORG/REPO:*. Para branch, use o valor exato da branch. Para environment, use repo:ORG/REPO:environment:producao e proteja o environment com regras de deploy (quais branches e tags podem fazer deploy nele), como a AWS e o GitHub recomendam.To restrict the repository, use StringLike with repo:ORG/REPO:*. For a branch, use the exact branch value. For an environment, use repo:ORG/REPO:environment:production and protect the environment with deployment rules (which branches and tags may deploy to it), as AWS and GitHub recommend.
• Repositórios novos podem emitir o formato imutável, que inclui IDs: repo:ORG@ORG_ID/REPO@REPO_ID:.... A documentação da action avisa que, se a trust policy usa o formato antigo e o repositório emite o novo, o assume-role falha com "Not authorized". Confira o formato que o seu repositório emite.New repositories may issue the immutable format, which includes IDs: repo:ORG@ORG_ID/REPO@REPO_ID:.... The action's docs warn that if the trust policy uses the old format and the repository issues the new one, assume-role fails with "Not authorized". Check which format your repository issues.
• Dois-pontos dentro de valores aparecem como %3A no sub.Colons inside values appear as %3A in the sub.

E o workflow? O arquivo completo (um para develop e main), os environments do GitHub, o build da imagem, o ECR e a troca no ECS estão na nota GitHub para AWS: OIDC, Docker, ECR e ECS. Aqui ficam só os conceitos da AWS. A action usada é a aws-actions/configure-aws-credentials e o job precisa de permissions: id-token: write.And the workflow? The full file (one for develop and main), the GitHub environments, the image build, ECR and the ECS swap are in the GitHub to AWS: OIDC, Docker, ECR and ECS note. This page keeps only the AWS concepts. The action used is aws-actions/configure-aws-credentials and the job needs permissions: id-token: write.

InstalarInstall

O script de instalação é o método recomendado pela documentação. Por padrão ele instala só para o usuário atual, em $HOME/.local. O método com sudo e --system instala para todos.The install script is the method the docs recommend. By default it installs for the current user only, under $HOME/.local. The sudo + --system form installs for everyone.

curl -fsSL https://awscli.amazonaws.com/v2/install.sh | bash
aws --versionCopiarCopyCopiadoCopiedFalhouFailed

Atualizar e removerUpdate and remove

aws updateCopiarCopyCopiadoCopiedFalhouFailed

Em instalações feitas pelo script ou pelos instaladores oficiais, o comando acima atualiza o CLI. Se foi instalado para todos os usuários, rode-o com sudo. Para desinstalar, siga a página oficial de desinstalação (link abaixo).For installs done with the script or the official installers, the command above updates the CLI. If it was installed for all users, run it with sudo. To uninstall, follow the official uninstall page (link below).

Quem sou eu? e loginWho am I? and login

aws sts get-caller-identity --profile meu-perfilCopiarCopyCopiadoCopiedFalhouFailed

Mostra a identidade (conta e ARN) das credenciais em uso. Para pessoas, configure o login com IAM Identity Center (aws configure sso e aws sso login).Shows the identity (account and ARN) of the credentials in use. For people, set up sign-in with IAM Identity Center (aws configure sso and aws sso login).

ECR — autenticação com um token temporário (válido por 12 horas) para o Docker:authentication with a temporary token (valid for 12 hours) for Docker:

aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin 111122223333.dkr.ecr.us-east-1.amazonaws.comCopiarCopyCopiadoCopiedFalhouFailed

Os blocos CIDR acima são apenas um exemplo didático de desenho; a AWS não define um padrão obrigatório.The CIDR blocks above are only a teaching example of a layout; AWS does not mandate a standard.

Peças principaisMain pieces

• Subnet: faixa de IPs da VPC que fica em uma única zona de disponibilidade.a range of VPC IP addresses living in a single Availability Zone.
• Route table: conjunto de rotas (destino + alvo) que decide para onde vai o tráfego de uma subnet ou gateway. Todo VPC nasce com uma main route table, e você pode criar outras.a set of routes (destination + target) deciding where a subnet's or gateway's traffic goes. Every VPC starts with a main route table, and you can create more.
• Internet gateway: conecta a VPC à internet.connects the VPC to the internet.
• NAT gateway, VPC endpoint, peering, transit gateway, VPN, Flow Logs completam o quadro (veja abaixo e na página oficial).complete the picture (see below and the official page).
• Cada Region já tem uma VPC default, pronta para uso. Não há cobrança pela VPC em si, mas há por alguns componentes, como NAT gateways e IPv4 públicos.Each Region already has a default VPC, ready to use. There is no charge for the VPC itself, but there is for some components, such as NAT gateways and public IPv4 addresses.

Subnets e CIDRSubnets and CIDR

O bloco de uma subnet pode ser igual ao da VPC (uma subnet só) ou parte dele. Subnets da mesma VPC não podem se sobrepor. O tamanho permitido para IPv4 vai de /28 a /16. Em cada subnet, os quatro primeiros IPs e o último não estão disponíveis (rede, roteador da VPC, DNS, uso futuro e broadcast): são 5 reservados.A subnet's block can equal the VPC's (a single subnet) or be part of it. Subnets in the same VPC cannot overlap. The allowed IPv4 size ranges from /28 to /16. In each subnet, the first four IPs and the last one are unavailable (network, VPC router, DNS, future use and broadcast): that is 5 reserved.

Subnets públicas e privadasPublic and private subnets

A rota local permite que as subnets da VPC conversem entre si; quem restringe quem fala com quem são os Security Groups. Um RDS "publicamente acessível" exige que todas as subnets do seu DB subnet group tenham internet gateway; o recomendado para bancos é subnet privada (veja RDS).The local route lets the VPC's subnets talk to each other; what restricts who talks to whom is Security Groups. A "publicly accessible" RDS requires every subnet in its DB subnet group to have an internet gateway; for databases a private subnet is the usual choice (see RDS).

NAT Gateway

Permite que instâncias em subnet privada iniciem conexões para fora da VPC, enquanto serviços externos não conseguem iniciar conexão com elas. O NAT gateway público (padrão) fica numa subnet pública, exige um Elastic IP e roteia o tráfego para o internet gateway. O privado serve para outras VPCs ou redes on-premises (via transit gateway ou virtual private gateway) e não aceita Elastic IP. Existe também o NAT gateway regional, com expansão multi-AZ automática.Lets instances in a private subnet initiate connections out of the VPC, while external services cannot start connections to them. The public NAT gateway (default) lives in a public subnet, needs an Elastic IP and routes traffic to the internet gateway. The private one is for other VPCs or on-premises networks (through a transit gateway or virtual private gateway) and does not accept an Elastic IP. There is also a regional NAT gateway with automatic multi-AZ expansion.

VPC endpoints

Conectam a VPC a serviços AWS de forma privada, sem internet gateway nem NAT. O tráfego fica na rede da AWS.Connect the VPC to AWS services privately, with no internet gateway or NAT. Traffic stays on the AWS network.

Exemplo: instâncias sem IP público podem usar o Session Manager com VPC endpoints do Systems Manager (veja Systems Manager).Example: instances without a public IP can use Session Manager with Systems Manager VPC endpoints (see Systems Manager).

Como funcionaHow it works

• Só existem regras de permissão (allow), não de bloqueio. Um SG novo não tem regra inbound, então nenhum tráfego de entrada é permitido até você adicionar.Rules are allow only, no deny. A new SG has no inbound rules, so no inbound traffic is allowed until you add some.
• Um SG novo vem com uma regra outbound que libera toda a saída. Se você remover e não houver regras de saída, nenhuma saída é permitida.A new SG comes with an outbound rule allowing all outbound traffic. If you remove it and have no outbound rules, no outbound traffic is allowed.
• Stateful: a resposta a um tráfego permitido é liberada independentemente das regras do outro sentido. Por isso o outbound de um banco pode ficar vazio e ele ainda responde ao que o inbound autorizou.the response to allowed traffic is permitted regardless of the other direction's rules. That is why a database's outbound can be empty and it still answers what inbound allowed.
• Vários SGs em um recurso têm suas regras somadas. Mudanças nas regras valem na hora para todos os recursos associados. O SG é associado a interfaces de rede, não a IPs individuais.Several SGs on one resource have their rules aggregated. Rule changes apply immediately to all associated resources. An SG is tied to network interfaces, not individual IPs.
• Cada regra tem protocolo, faixa de portas e origem (inbound) ou destino (outbound): um IP (/32), um CIDR, uma prefix list ou outro Security Group.Each rule has a protocol, port range and a source (inbound) or destination (outbound): an IP (/32), a CIDR, a prefix list or another Security Group.
• Não há cobrança por usar security groups. Existem cotas (SGs por VPC, regras por SG, SGs por interface).There is no charge for security groups. There are quotas (SGs per VPC, rules per SG, SGs per interface).
• SGs não filtram tráfego para DNS da Amazon, DHCP, metadados da instância, Time Sync e o roteador da VPC.SGs do not filter traffic to Amazon DNS, DHCP, instance metadata, Time Sync and the VPC router.

Security Groups encadeadosChained Security Groups

Em vez de liberar por IP, use como origem o ID de outro SG. A regra vale para as instâncias associadas àquele SG, pelo IP privado delas, e sobrevive à troca de instâncias. Exemplo clássico da documentação (load balancer, web e banco):Instead of allowing by IP, use another SG's ID as the source. The rule applies to instances associated with that SG, through their private IPs, and survives instance replacement. The docs' classic example (load balancer, web and database):

• Referenciar um SG não copia as regras dele para o SG que referencia.Referencing an SG does not copy its rules into the referencing SG.
• Para referenciar em regra inbound, os SGs devem estar na mesma VPC ou em VPCs ligadas por peering ou transit gateway. Em regra outbound: mesma VPC ou peering.To reference in an inbound rule, the SGs must be in the same VPC or in VPCs linked by peering or a transit gateway. In an outbound rule: same VPC or peering.
• Uma regra que referencia outro SG conta como uma regra, não importa o tamanho do SG referenciado.A rule referencing another SG counts as one rule, no matter the size of the referenced SG.
• Se o tráfego passa por uma appliance intermediária (middlebox), referenciar o SG do outro lado não basta: use o IP privado ou o CIDR da subnet.If traffic goes through a middlebox appliance, referencing the other side's SG is not enough: use the private IP or the subnet CIDR.

Managed Prefix Lists

Conjunto de um ou mais blocos CIDR que você referencia como uma unidade em regras de security group e em route tables. Ao adicionar um CIDR à lista, todos os SGs que a usam são atualizados.A set of one or more CIDR blocks you reference as a unit in security group rules and route tables. Adding a CIDR to the list updates every SG using it.

Uso típico: um único conjunto de IPs do escritório/VPN liberado para SSH ou para um painel em vários SGs.Typical use: a single set of office/VPN IPs allowed for SSH or an admin panel across several SGs.

Tipos de load balancerLoad balancer types

Há ainda o Classic Load Balancer. O restante desta página trata do ALB.There is also the Classic Load Balancer. The rest of this page covers the ALB.

Peças do ALBALB components

• Listener: verifica pedidos de conexão com o protocolo e a porta que você configura. Toda listener tem uma regra default, e você pode adicionar outras.checks for connection requests using the protocol and port you configure. Every listener has a default rule, and you can add others.
• Target group: encaminha para um ou mais targets usando o protocolo e a porta que você definir (a porta do target deve ser a em que a aplicação escuta). Health checks são configurados por target group. Um target pode estar em mais de um target group.routes to one or more targets using the protocol and port you set (the target port must be the one the app listens on). Health checks are configured per target group. A target can be in more than one target group.
• O algoritmo padrão do target group é round robin; a alternativa é least outstanding requests.The target group's default algorithm is round robin; the alternative is least outstanding requests.

Regras por host e caminhoHost and path rules

As regras são avaliadas em ordem de prioridade, da menor para a maior; a regra default é avaliada por último e não tem condições. Exemplo (um ALB para vários domínios):Rules are evaluated in priority order, from the lowest to the highest; the default rule is evaluated last and has no conditions. Example (one ALB for several domains):

• Cada regra tem exatamente uma ação entre forward, redirect e fixed-response, e ela é a última a executar.Each rule has exactly one action among forward, redirect and fixed-response, and it runs last.
• Condições disponíveis: host-header, path-pattern, http-request-method, source-ip, http-header e query-string. Há limite de três valores de comparação por condição e cinco por regra.Available conditions: host-header, path-pattern, http-request-method, source-ip, http-header and query-string. Limits: three comparison strings per condition and five per rule.
• As regex das condições não suportam lookahead, lookbehind, backreferences, entre outros recursos.Condition regexes do not support lookahead, lookbehind, backreferences, among other features.

Health checks

O ALB testa periodicamente cada target e só roteia para os saudáveis. Valores padrão segundo a documentação em 2026-10-13 (podem mudar):The ALB periodically tests each target and only routes to healthy ones. Defaults per the docs on 2026-10-13 (they may change):

HTTPS

Um listener HTTPS exige pelo menos um certificado X.509: o certificado default. Para vários domínios na mesma porta, adicione certificados à certificate list (o ALB escolhe o certificado pelo nome enviado via SNI) ou use um certificado com SANs/curinga. A AWS recomenda emitir os certificados no AWS Certificate Manager. O nome no certificado precisa bater com o host pedido, senão a conexão falha.An HTTPS listener requires at least one X.509 certificate: the default certificate. For several domains on the same port, add certificates to the certificate list (the ALB picks by the name sent via SNI) or use a certificate with SANs/wildcard. AWS recommends issuing certificates in AWS Certificate Manager. The name on the certificate must match the requested host or the connection fails.

Security Groups: o do ALB libera 80/443 da internet; o da aplicação libera a porta da app só do SG do ALB (veja Security Groups encadeados).Security Groups: the ALB's allows 80/443 from the internet; the app's allows the app port only from the ALB's SG (see chained Security Groups).

Validação por DNSDNS validation

• Ao escolher DNS, o ACM fornece um ou mais registros CNAME (nome e valor únicos para o seu domínio e conta). Eles são a prova de que você controla o domínio.When you choose DNS, ACM gives you one or more CNAME records (a name and value unique to your domain and account). They are proof that you control the domain.
• O CNAME é adicionado uma única vez. O ACM renova o certificado automaticamente enquanto ele estiver em uso e o CNAME continuar no DNS. Apagar o CNAME interrompe a renovação.The CNAME is added only once. ACM renews the certificate automatically as long as it is in use and the CNAME stays in DNS. Deleting the CNAME stops renewal.
• Com o Route 53 como DNS e permissão de escrita na zona, o console mostra o botão Create records in Route 53. O status pode continuar Pending validation por até 30 minutos.With Route 53 as DNS and write permission on the zone, the console shows a Create records in Route 53 button. Status may remain Pending validation for up to 30 minutes.
• Se o ACM não conseguir validar em 72 horas, o status vira Validation timed out e é preciso pedir um novo certificado.If ACM cannot validate within 72 hours, the status becomes Validation timed out and you must request a new certificate.
• Se o DNS não é Route 53, copie o CNAME (ou exporte o CSV) e crie-o no provedor. Alguns provedores acrescentam o domínio ao nome sozinhos: se você colar o nome completo, ele vira _x.exemplo.com.exemplo.com e a validação falha.If DNS is not Route 53, copy the CNAME (or export the CSV) and create it at your provider. Some providers append the domain to the name themselves: if you paste the full name it becomes _x.example.com.example.com and validation fails.

Se você usa registros CAA no domínio, é preciso autorizar a AWS a emitir; veja a página "Configure a CAA record" do ACM, referenciada na documentação do Route 53.If you use CAA records on the domain, you must authorize AWS to issue; see ACM's "Configure a CAA record" page, referenced in the Route 53 docs.

Snapshot vs. ImagemImage

Launch Template

Especifica a configuração de uma instância: ID da AMI, tipo de instância, key pair, security groups e outros parâmetros. Tem versões: dá para manter uma base e criar versões novas (por exemplo, com a AMI da última versão da aplicação). A AWS recomenda launch templates em vez de launch configurations, que não suportam recursos como misturar Spot e On-Demand ou vários tipos de instância.Specifies an instance's configuration: AMI ID, instance type, key pair, security groups and other parameters. It has versions: you can keep a base and create new versions (for example with the AMI of the latest app version). AWS recommends launch templates over launch configurations, which lack features such as mixing Spot and On-Demand or multiple instance types.

Auto Scaling Group (ASG)

Coleção de instâncias tratada como uma unidade. Você define:A collection of instances treated as one unit. You define:

1. Minimum size: o grupo nunca fica abaixo disso.the group never goes below it.
2. Maximum size: o grupo nunca passa disso.the group never exceeds it.
3. Desired capacity: quantas instâncias você quer rodando agora (dentro do mínimo e máximo).how many instances you want running now (within the min and max).

Não há cobrança adicional pelo Auto Scaling; você paga pelos recursos usados (instâncias, volumes EBS, alarmes do CloudWatch).There is no additional charge for Auto Scaling; you pay for the resources used (instances, EBS volumes, CloudWatch alarms).

Scaling policies

Sempre dentro do mínimo e do máximo do grupo. Se mais de uma política pedir mudança ao mesmo tempo, prevalece a que resulta em mais capacidade.Always within the group's min and max. If more than one policy asks for a change at once, the one giving the most capacity wins.

Pré-requisitos segundo a documentação da EC2Prerequisites per the EC2 docs

• A instância passou nas status checks (pode levar alguns minutos).The instance passed its status checks (it can take a few minutes).
• Você tem a chave privada (.pem) do key pair e as permissões do arquivo configuradas (a página de pré-requisitos da EC2 detalha isso).You have the key pair's private key (.pem) with file permissions set (the EC2 prerequisites page explains this).
• O Security Group da instância libera SSH (porta 22) só do seu IP. Abrir 22 para 0.0.0.0/0 deixa qualquer um tentar entrar.The instance's Security Group allows SSH (port 22) only from your IP. Opening 22 to 0.0.0.0/0 lets anyone try.

ConectarConnect

ssh -i /caminho/minha-chave.pem usuario-da-instancia@dns-publico-da-instanciaCopiarCopyCopiadoCopiedFalhouFailed

No primeiro acesso, o SSH mostra a impressão digital (fingerprint) do servidor. A documentação sugere conferi-la com a da instância: se não bater, pode ser um ataque man-in-the-middle.On first connection SSH shows the server fingerprint. The docs suggest checking it against the instance's: if it does not match, it may be a man-in-the-middle attack.

Handshake passo a passoHandshake step by step

Protocolos e TCP/IPProtocols and TCP/IP

Um protocolo é um contrato: regras de como os dados são formatados, transmitidos e recebidos. O SSH é da camada de Aplicação e roda sobre TCP/IP.A protocol is a contract: rules for how data is formatted, sent and received. SSH is an Application-layer protocol running on top of TCP/IP.

O Elastic IP é alocado à sua conta e é seu até você liberá-lo. Você pode "mascarar" a falha de uma instância remapeando o endereço para outra instância da conta, ou usá-lo em um registro DNS do seu domínio.An Elastic IP is allocated to your account and stays yours until you release it. You can mask an instance failure by remapping the address to another instance in your account, or use it in a DNS record for your domain.

• É específico de uma Region e não pode ser movido para outra. Não há Elastic IP para IPv6.It is specific to one Region and cannot be moved to another. There are no Elastic IPs for IPv6.
• Ao associar um Elastic IP a uma instância que já tinha IP público automático, esse IP automático é liberado e não pode ser reaproveitado.When you associate an Elastic IP with an instance that had an automatic public IP, that automatic IP is released and cannot be reused.
• Um Elastic IP desassociado continua alocado (e cobrado) até você liberá-lo.A disassociated Elastic IP stays allocated (and billed) until you release it.
• Há uma cota padrão de Elastic IPs por Region, que pode ser aumentada no Service Quotas. Consulte a página oficial para o valor atual.There is a default quota of Elastic IPs per Region, which can be raised in Service Quotas. See the official page for the current value.

A documentação ainda sugere reduzir o número de IPv4 públicos usando um load balancer na frente das instâncias, desligando o "auto-assign public IP" onde não for preciso.The docs also suggest reducing the number of public IPv4 addresses by putting a load balancer in front of the instances and turning off "auto-assign public IP" where not needed.

Para enviar a imagem automaticamente a cada push, com um repositório por conta e tags imutáveis, veja GitHub para AWS, etapa 6.To push the image automatically on every push, with one repository per account and immutable tags, see GitHub to AWS, step 6.

Push passo a passoPush step by step

aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin 111122223333.dkr.ecr.us-east-1.amazonaws.com
docker tag minha-app:1.4.2 111122223333.dkr.ecr.us-east-1.amazonaws.com/minha-app:1.4.2
docker push 111122223333.dkr.ecr.us-east-1.amazonaws.com/minha-app:1.4.2CopiarCopyCopiadoCopiedFalhouFailed

Se você omitir a tag no docker tag, a tag assumida é latest.If you omit the tag in docker tag, the assumed tag is latest.

Acesso entre contas (repository policy)Cross-account access (repository policy)

Para a conta de tooling guardar as imagens e as contas de staging e produção baixarem, anexe uma repository policy ao repositório. Exemplo de pull para uma conta (placeholder no lugar do ID real):For the tooling account to hold the images and the staging and production accounts to pull them, attach a repository policy to the repository. Example pull access for one account (placeholder instead of the real ID):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPullFromProd",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::<ID_CONTA_PROD>:root" },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}CopiarCopyCopiadoCopiedFalhouFailed

• O ECR exige que quem autentica tenha ecr:GetAuthorizationToken por política IAM antes de qualquer push ou pull. Essa permissão não vem da repository policy.ECR requires the caller to have ecr:GetAuthorizationToken through an IAM policy before any push or pull. That permission does not come from the repository policy.
• A conta que recebe a permissão precisa ter a Region do repositório habilitada, senão a criação da policy dá erro.The account being granted access must have the repository's Region enabled, otherwise creating the policy fails.
• Para ações de push, a documentação inclui também BatchCheckLayerAvailability, InitiateLayerUpload, UploadLayerPart, CompleteLayerUpload e PutImage.For push, the docs also include BatchCheckLayerAvailability, InitiateLayerUpload, UploadLayerPart, CompleteLayerUpload and PutImage.

Tags e digestsTags and digests

• Tag mutável: o mesmo nome de tag pode ser sobrescrito por um novo push. Com tag immutability ligada, repetir uma tag retorna ImageTagAlreadyExistsException. A imutabilidade vale para todas as tags (com filtros de exceção opcionais).Mutable tags: the same tag name can be overwritten by a new push. With tag immutability on, reusing a tag returns ImageTagAlreadyExistsException. Immutability covers all tags (with optional exclusion filters).
• O ECS, por padrão, resolve a tag da task definition para o digest da imagem no momento do deploy e usa o digest nas demais tarefas, para que todas rodem exatamente a mesma imagem. Veja ECS.By default ECS resolves the task definition's tag to the image digest at deploy time and uses the digest for the other tasks, so all of them run exactly the same image. See ECS.

Para disparar o deploy a cada push em develop ou main, veja GitHub para AWS, etapa 8.To trigger the deploy on every push to develop or main, see GitHub to AWS, step 8.

Nunca criou um cluster, task definition e service? O roteiro completo, da VPC privada ao SSL até o RDS, está em ECS do zero: um app de to-do.Never created a cluster, task definition and service? The full walkthrough, from the private VPC to SSL all the way to RDS, is in ECS from zero: a to-do app.

Capacidade (onde os containers rodam): Fargate (serverless, sem gerenciar servidores), instâncias EC2 que você gerencia, ECS Managed Instances (EC2 com a infraestrutura gerenciada pela AWS) ou servidores externos com ECS Anywhere. O custo depende da capacidade escolhida; veja as páginas de preços do ECS e do Fargate.Capacity (where containers run): Fargate (serverless, no servers to manage), EC2 instances you manage, ECS Managed Instances (EC2 with AWS-managed infrastructure) or external servers with ECS Anywhere. Cost depends on the chosen capacity; see the ECS and Fargate pricing pages.

Deploy com rolling updateRolling update deployment

No tipo de deploy rolling update, o scheduler do ECS substitui as tasks em execução por tasks novas. Dois parâmetros do serviço controlam o ritmo:With the rolling update deployment type, the ECS scheduler replaces running tasks with new ones. Two service parameters control the pace:

• Garanta que o scheduler consiga parar ou iniciar pelo menos uma task no deploy. Com 75% mínimo e 2 tasks, nada pode ser parado e o deploy trava.Make sure the scheduler can stop or start at least one task during a deployment. With 75% minimum and 2 tasks, nothing can be stopped and the deployment gets stuck.
• Para detectar falha rápido, use o deployment circuit breaker (falha quando as tasks não conseguem iniciar) e/ou alarmes do CloudWatch (falha por métricas da aplicação). Ambos suportam rollback para a revisão anterior do serviço.To detect failure fast, use the deployment circuit breaker (fails when tasks cannot start) and/or CloudWatch alarms (fails on application metrics). Both support rollback to the previous service revision.
• O ECS resolve a tag da imagem para o digest no início do deploy e usa o digest nas outras tasks, garantindo a mesma imagem em todas. Para pegar um digest atualizado, force um novo deploy (forceNewDeployment).ECS resolves the image tag to the digest at the start of the deployment and uses the digest for the other tasks, ensuring the same image everywhere. To pick up an updated digest, force a new deployment (forceNewDeployment).
• Variáveis de ambiente vindas do Parameter Store são resolvidas quando a task inicia: uma task em execução só vê o valor novo após um novo deploy. Veja Systems Manager e Secrets Manager.Environment variables from Parameter Store are resolved when the task starts: a running task only sees the new value after a new deployment. See Systems Manager and Secrets Manager.

aws ecs update-service --cluster meu-cluster --service minha-api --force-new-deploymentCopiarCopyCopiadoCopiedFalhouFailed

Com o load balancerWith the load balancer

O ALB consegue registrar tasks do ECS em um target group, inclusive escolhendo uma porta livre quando a task é agendada. Os health checks do target group definem se a task está saudável. Veja Load Balancer.The ALB can register ECS tasks in a target group, even choosing an unused port when the task is scheduled. The target group's health checks decide whether a task is healthy. See Load Balancer.

Session Manager

Ferramenta totalmente gerenciada para acessar instâncias EC2 (e servidores on-premises/VMs) por um shell interativo no navegador ou pela AWS CLI, sem abrir portas de entrada, sem bastion host e sem gerenciar chaves SSH.A fully managed tool to reach EC2 instances (and on-premises servers/VMs) through an interactive shell in the browser or the AWS CLI, with no inbound ports, no bastion hosts and no SSH keys to manage.

• Controle por IAM: as políticas definem quem pode abrir sessões e em quais nós; dá para conceder acesso temporário (ex.: plantão).IAM control: policies define who can open sessions and on which nodes; you can grant temporary access (e.g. on-call).
• Sem IP público: com VPC endpoints (AWS PrivateLink) do Systems Manager, o tráfego fica na rede da AWS. Veja VPC endpoints.No public IP: with Systems Manager VPC endpoints (AWS PrivateLink), traffic stays on the AWS network. See VPC endpoints.
• Port forwarding: redireciona uma porta da instância para uma porta local (útil para acessar um banco privado).Port forwarding: redirects an instance port to a local port (handy for reaching a private database).
• Auditoria: integra com CloudTrail, S3, CloudWatch Logs e EventBridge/SNS. Sessões de port forwarding ou SSH não têm log do conteúdo.Auditing: integrates with CloudTrail, S3, CloudWatch Logs and EventBridge/SNS. Port-forwarding or SSH sessions get no content logging.
• Pré-requisitos: o nó precisa ser gerenciado pelo Systems Manager (SSM Agent e permissões IAM; veja "Setting up Session Manager"). Na AWS CLI é preciso a versão 1.16.12 ou superior e o plugin do Session Manager.Prerequisites: the node must be managed by Systems Manager (SSM Agent and IAM permissions; see "Setting up Session Manager"). The AWS CLI needs version 1.16.12 or later plus the Session Manager plugin.

aws ssm start-session --target i-0123456789abcdef0CopiarCopyCopiadoCopiedFalhouFailed

Parameter Store

Armazém centralizado de configuração: valores nomeados (parameters) que a aplicação lê em tempo de execução, sem deixar valores fixos no código.A centralized configuration store: named values (parameters) the application reads at runtime, with no hardcoded values in code.

/minha-app/prod/db-host        # hierarquia: /app/ambiente/nome
/minha-app/staging/db-hostCopiarCopyCopiadoCopiedFalhouFailed

• Hierarquia: agrupe por caminho (ex.: /app/ambiente/chave) para buscar e filtrar vários parâmetros de uma vez e dar permissões IAM por prefixo (ler /minha-app/prod/* mas não /minha-app/dev/*).Hierarchy: group by path (e.g. /app/env/key) to fetch and filter several parameters at once and grant IAM permissions per prefix (read /my-app/prod/* but not /my-app/dev/*).
• Versões: guarda as 100 versões mais recentes de cada parâmetro.Versions: keeps the 100 most recent versions of each parameter.
• Camadas: standard (sem custo adicional; até 10.000 parâmetros por conta/Region, valor de até 4 KB) e advanced (até 100.000; 8 KB; políticas de parâmetro e compartilhamento entre contas; cobrado). Valores da documentação em 2026-10-13; confira a página de preços.Tiers: standard (no extra charge; up to 10,000 parameters per account/Region, value up to 4 KB) and advanced (up to 100,000; 8 KB; parameter policies and cross-account sharing; billed). Values per the docs on 2026-10-13; check the pricing page.
• Integrações: ECS/Fargate injetam parâmetros como variáveis de ambiente; Lambda tem extensão; CloudFormation e CodeBuild leem parâmetros. Há também parâmetros públicos que apontam para as AMIs atuais.Integrations: ECS/Fargate inject parameters as environment variables; Lambda has an extension; CloudFormation and CodeBuild read parameters. There are also public parameters pointing to current AMIs.

• Em vez de credenciais fixas no código, a aplicação faz uma chamada em tempo de execução ao Secrets Manager. Assim, quem inspeciona a aplicação não encontra a senha.Instead of hardcoded credentials, the application makes a runtime call to Secrets Manager. Anyone inspecting the application will not find the password.
• Rotação automática:Automatic rotation: troca segredos de longo prazo por segredos de curta duração. Como as credenciais não ficam com a aplicação, rotacionar não exige alterar e redeployar os clientes. A rotação (exceto a gerenciada) usa uma função Lambda, cobrada pelo preço do Lambda.replaces long-term secrets with short-term ones. Since credentials are not stored with the app, rotating them does not require changing and redeploying clients. Rotation (except managed rotation) uses a Lambda function, charged at Lambda rates.
• Criptografia:Encryption: com AWS KMS. A chave gerenciada aws/secretsmanager é gratuita; chaves próprias são cobradas pela tarifa do KMS.with AWS KMS. The managed key aws/secretsmanager is free; your own keys are charged at KMS rates.
• Versionamento:Versioning: versões com staging labels. Também há acesso entre contas e log de auditoria detalhado.versions with staging labels. There are also cross-account access and fine-grained audit logging.
• Custo:Cost: paga-se por segredo por mês e por chamada de API, sem taxa mínima. Segredos marcados para exclusão não são cobrados. Veja a página de preços.you pay per secret per month and per API call, with no minimum fees. Secrets marked for deletion are not charged. See the pricing page.

Integração com o RDSRDS integration

Ao criar um banco, a opção Manage master credentials in AWS Secrets Manager guarda a senha do usuário master em um segredo (com KMS opcional). O RDS Proxy também conecta no banco usando credenciais guardadas no Secrets Manager. Veja RDS.When creating a database, the Manage master credentials in AWS Secrets Manager option stores the master user password in a secret (with optional KMS). RDS Proxy also connects to the database using credentials stored in Secrets Manager. See RDS.

Motores suportados: Db2, MariaDB, SQL Server, MySQL, Oracle e PostgreSQL (o Aurora tem guia próprio). A AWS recomenda o RDS como escolha padrão para a maioria dos bancos relacionais; em um banco sobre EC2, instalação, patch do SO e do banco, backup e alta disponibilidade ficam por sua conta.Supported engines: Db2, MariaDB, SQL Server, MySQL, Oracle and PostgreSQL (Aurora has its own guide). AWS recommends RDS as the default choice for most relational databases; with a database on EC2, installation, OS and database patching, backups and high availability are on you.

ConceitosConcepts

Acesso e segurançaAccess and security

• Public access: "Yes" dá um IP público ao banco; para isso todas as subnets do DB subnet group precisam de internet gateway. "No" deixa o acesso só de dentro da VPC. O acesso final é sempre controlado pelo Security Group: libere a porta do banco só do SG da aplicação."Yes" gives the database a public IP; for that every subnet in the DB subnet group needs an internet gateway. "No" keeps access to inside the VPC only. Final access is always controlled by the Security Group: allow the database port only from the application's SG.
• Master user: usuário criado com a instância, com privilégios altos mas não equivalentes a superusuário total (a lista varia por motor). O nome não pode ser alterado depois. A AWS recomenda não usar o master na aplicação: crie um usuário com o mínimo de privilégios.the user created with the instance, with high but not full-superuser privileges (the list varies by engine). The name cannot be changed later. AWS recommends not using the master in your application: create a user with minimum privileges.
• Secrets Manager: a opção Manage master credentials in AWS Secrets Manager guarda a senha master em um segredo. Veja Secrets Manager.the Manage master credentials in AWS Secrets Manager option stores the master password in a secret. See Secrets Manager.
• Encryption / KMS: criptografia em repouso é opção na criação; com ela você escolhe a chave KMS.encryption at rest is a creation-time option; with it you pick the KMS key.
• Deletion protection: impede apagar o banco por engano (no console, é ligada por padrão ao criar uma instância de produção).prevents accidental deletion (in the console it is on by default when you create a production instance).
• RDS Proxy: mantém um pool de conexões e as compartilha, ajuda a aplicação a escalar e a suportar picos, e se reconecta ao standby em falhas. Fica na mesma VPC do banco e não é publicamente acessível; só funciona para MariaDB, MySQL e PostgreSQL (entre os motores listados). Tem cobrança própria; veja os preços.keeps and shares a connection pool, helps the application scale and absorb spikes, and reconnects to the standby on failures. It lives in the same VPC as the database and is not publicly accessible; among the listed engines it works for MariaDB, MySQL and PostgreSQL. It has its own pricing; see prices.

Multi-AZ

Multi-AZ traz redundância de dados e suporte a failover, elimina congelamentos de I/O e reduz picos de latência em backups. É recomendado para produção; para desenvolvimento e teste dá para criar sem standby. Não confunda com read replicas (escalam leitura, replicação assíncrona). O IP do banco muda no failover: conecte-se sempre pelo nome DNS (endpoint).Multi-AZ gives data redundancy and failover support, eliminates I/O freezes and minimizes latency spikes during backups. It is recommended for production; for development and testing you can create without a standby. Do not confuse it with read replicas (they scale reads, asynchronous replication). The database's IP changes on failover: always connect through the DNS name (endpoint).

BackupsBackups

• Backups automáticos: o RDS faz um snapshot do volume da instância na janela de backup e guarda pelo backup retention period que você define, permitindo restaurar a qualquer ponto no tempo dentro do período. Só ocorrem com o banco no estado available. Para qualquer banco que importe, use retenção de 1 dia ou mais.Automated backups: RDS takes a volume snapshot of the instance during the backup window and keeps it for the backup retention period you set, letting you restore to any point in time within it. They only happen while the database is in the available state. For any database that matters, use a retention of 1 day or more.
• Snapshots manuais: você cria quando quiser; não são apagados quando a instância é excluída (até 100 manuais por Region, segundo a página lida). Backups automáticos são apagados com a instância, a não ser que você escolha retê-los; o snapshot final é opcional.Manual snapshots: you create them whenever you want; they are not deleted when the instance is deleted (up to 100 manual per Region per the page read). Automated backups are deleted with the instance unless you choose to retain them; the final snapshot is optional.
• O primeiro snapshot tem o banco completo; os seguintes são incrementais. Backups ficam no S3 e geram custo de armazenamento.The first snapshot holds the full database; later ones are incremental. Backups live in S3 and incur storage cost.

Storage autoscalingStorage autoscaling

Você define um Maximum storage threshold. O RDS aumenta o storage quando o espaço livre cai a 10% ou menos do alocado por pelo menos 5 minutos, e as modificações anteriores terminaram (máximo de quatro por 24 h). O aumento é do maior valor entre 10 GiB, 10% do alocado e o crescimento previsto. Não precisa de reinício nem causa downtime.You set a Maximum storage threshold. RDS grows storage when free space falls to 10% or less of the allocated for at least 5 minutes and previous modifications have completed (at most four per 24 h). The increase is the greater of 10 GiB, 10% of allocated, and predicted growth. No reboot and no downtime.

Nomes: instância vs. bancoNames: instance vs. database

Presigned URL

Link temporário que dá acesso a um objeto por tempo limitado, sem mexer na bucket policy. Usa as credenciais de quem gerou a URL; para funcionar, essa identidade precisa ter a permissão da operação (ex.: s3:GetObject). Serve para download (GET) e upload (PUT) direto no S3, sem passar pelo seu servidor. Se já existir um objeto com a mesma key, o upload o substitui.A temporary link granting access to one object for a limited time, without touching the bucket policy. It uses the credentials of whoever generated the URL; for it to work, that identity needs the operation's permission (e.g. s3:GetObject). It serves direct download (GET) and upload (PUT) to S3, bypassing your server. If an object with the same key already exists, the upload replaces it.

• Validade: pelo console, de 1 minuto a 12 horas; pela AWS CLI/SDKs, até 7 dias (credenciais de usuário IAM com Signature V4).Lifetime: from the console, 1 minute to 12 hours; from the AWS CLI/SDKs, up to 7 days (IAM user credentials with Signature V4).
• Pegadinha: se a URL foi gerada com credenciais temporárias (role, STS, perfil da EC2/ECS), ela expira junto com a credencial, mesmo que você tenha pedido prazo maior. O S3 confere a validade no momento da requisição: um download já iniciado continua, mas retomar depois do prazo falha.Gotcha: if the URL was generated with temporary credentials (role, STS, EC2/ECS profile) it expires together with the credential, even if you asked for a longer period. S3 checks validity at request time: a download already running continues, but resuming after expiry fails.
• A URL é um "bearer token": quem a tiver acessa o objeto. Proteja-a e, se quiser, restrinja com condições (ex.: s3:signatureAge, origem de rede).The URL is a bearer token: whoever holds it reaches the object. Protect it and, if you want, restrict with conditions (e.g. s3:signatureAge, network origin).

CustosCosts

A cobrança do S3 é por uso, sem taxas mínimas ou de excedente. Valores reais ficam na página de preços do S3 (as cifras da anotação antiga foram removidas). Pontos que a documentação destaca:S3 billing is pay-as-you-go, with no minimum or overage fees. Real values are on the S3 pricing page (the figures in the old note were removed). Points the docs highlight:

• Armazenamento por classe, requisições e transferência de dados.Storage per class, requests and data transfer.
• Classes IA e Glacier têm taxa de recuperação, duração mínima de armazenamento e tamanho mínimo cobrado.IA and Glacier classes have a retrieval fee, a minimum storage duration and a minimum billable size.
• Transições de lifecycle têm custo por requisição (não há taxa de recuperação nas transições).Lifecycle transitions have a per-request cost (there is no retrieval charge on transitions).

Classes de armazenamentoStorage classes

Todas as classes são projetadas para alta durabilidade (11 noves, 99,999999999%, exceto a legada Reduced Redundancy). A diferença está em acesso, disponibilidade, custo e regras mínimas:All classes are designed for high durability (eleven 9s, 99.999999999%, except the legacy Reduced Redundancy). The difference is access, availability, cost and minimum rules:

Existe ainda o S3 Express One Zone (latência de um dígito de milissegundo em uma única AZ). Os tamanhos mínimos faturáveis (128 KB nas IA e Glacier IR) e as disponibilidades por classe estão na tabela de comparação oficial. Correção: o "Glacier" da anotação antiga virou três classes, e só duas exigem restauração.There is also S3 Express One Zone (single-digit millisecond latency in one AZ). Minimum billable sizes (128 KB for IA and Glacier IR) and per-class availability are in the official comparison table. Correction: the old note's "Glacier" is now three classes, and only two need a restore.

Lifecycle rules

Um conjunto de regras no bucket que faz o S3 agir sobre grupos de objetos. Dois tipos de ação: transition (mover para uma classe mais barata) e expiration (apagar quando expirar). As regras valem para objetos existentes e futuros; uma bucket policy não consegue impedir a ação do lifecycle.A set of rules on the bucket that makes S3 act on groups of objects. Two kinds of action: transition (move to a cheaper class) and expiration (delete when it expires). Rules apply to existing and future objects; a bucket policy cannot prevent the lifecycle action.

Prazos de exemplo. Respeite as durações mínimas das classes (30/90/180 dias): apagar ou mover cedo gera cobrança proporcional.Example timings. Respect the classes' minimum durations (30/90/180 days): deleting or moving early incurs a pro-rated charge.

Static website hosting

O S3 pode hospedar um site estático: páginas com conteúdo estático, possivelmente com scripts no navegador (SPA, HTML puro). É preciso configurar um index document e permissões de acesso. A AWS recomenda usar o AWS Amplify Hosting para servir o conteúdo do S3 com CDN (CloudFront) e URL HTTPS. Se o bucket usa criptografia SSE-KMS, é obrigatório servir via CloudFront com origin access control (OAC), pois SSE-KMS não suporta usuários anônimos.S3 can host a static website: pages with static content, possibly with client-side scripts (SPA, plain HTML). You must configure an index document and access permissions. AWS recommends using AWS Amplify Hosting to serve S3 content through a CDN (CloudFront) with an HTTPS URL. If the bucket uses SSE-KMS encryption, you must serve through CloudFront with origin access control (OAC), because SSE-KMS does not support anonymous users.

Tipos de registroRecord types

E-mail profissional no seu domínio exige o domínio e registros MX apontando para o provedor de e-mail. A AWS não recomenda mais o tipo SPF: use um TXT.Professional email on your domain needs the domain and MX records pointing to your email provider. AWS no longer recommends the SPF type: use a TXT record.

Provar que o domínio é seuProving the domain is yours

O padrão da AWS para certificados é a validação por DNS: o ACM entrega um CNAME único e você o cria na zona. Veja ACM.AWS's standard for certificates is DNS validation: ACM hands you a unique CNAME and you create it in the zone. See ACM.

Hosted Zones

Uma hosted zone é um contêiner de registros que dizem como rotear o tráfego de um domínio e seus subdomínios. Ela tem o mesmo nome do domínio. O preço por zona e por consulta está na página de preços do Route 53 (o valor fixo da anotação antiga foi removido).A hosted zone is a container of records telling how to route traffic for a domain and its subdomains. It has the same name as the domain. Per-zone and per-query pricing is on the Route 53 pricing page (the old note's fixed value was removed).

NS & SOA

Ao criar uma zona pública, o Route 53 cria os registros NS (quatro name servers) e SOA. Para que a internet use essa zona, vá ao registrador do domínio (onde ele foi registrado) e configure os quatro name servers do NS padrão da zona. Para delegar um subdomínio a outra zona, crie um NS na zona do domínio raiz.When you create a public zone, Route 53 creates the NS records (four name servers) and SOA. For the internet to use that zone, go to the domain's registrar (where it was registered) and set the four name servers from the zone's default NS record. To delegate a subdomain to another zone, create an NS record in the root domain's zone.

Apontar o domínio para o ALBPointing the domain at the ALB

Crie um registro Alias do tipo A (e AAAA, se o ALB tiver IPv6) para o ALB. Quando o IP do load balancer muda, o Route 53 passa a responder com o novo sem você fazer nada. Para um alias a um recurso AWS você não define o TTL (vale o padrão do recurso) e não paga a consulta. O Alias funciona também no apex (exemplo.com.br), onde o CNAME não é permitido.Create an Alias record of type A (and AAAA, if the ALB has IPv6) for the ALB. When the load balancer's IP changes, Route 53 starts answering with the new one without you doing anything. For an alias to an AWS resource you do not set the TTL (the resource's default applies) and queries are not charged. Alias also works at the apex (example.com), where CNAME is not allowed.

• O alias precisa ter o mesmo nome e tipo da consulta (A ou AAAA) para ser respondido.The alias must match the query's name and type (A or AAAA) to be answered.
• Há políticas de roteamento além da simples: weighted, latency, failover, geolocation e geoproximity também aceitam alias.There are routing policies beyond simple: weighted, latency, failover, geolocation and geoproximity also accept alias.
• Para HTTPS, emita o certificado no ACM (a validação por DNS cria um CNAME nesta mesma zona).For HTTPS, issue the certificate in ACM (DNS validation creates a CNAME in this same zone).