Credenciais — long-term vs temporárias
Lição 2 · Módulo 1 — Átomos do IAM
O problema: provar quem você é
Todo principal que executa uma ação precisa provar quem é. Essa prova vem em forma de credenciais. Na AWS existem duas grandes famílias — entender a diferença é o que separa uma arquitetura segura de um vazamento no GitHub.
Long-term (longa duração)
- Access Key ID + Secret Access Key — par de strings associado a um IAM User.
- Válidas até serem revogadas manualmente.
- Ficam em
~/.aws/credentials, variáveis de ambiente, pipelines CI/CD…
Temporárias via STS
- Geradas pelo AWS STS (Security Token Service) quando alguém assume uma role.
- Compostas por 3 valores: Access Key ID, Secret Access Key e Session Token.
- Expiram em minutos/horas (15 min a 12 h).
- Se vazarem: impacto limitado à janela de expiração.
Por que roles > users para aplicações
Quando uma aplicação roda em EC2, Lambda, ECS ou EKS, o ambiente entrega credenciais temporárias automaticamente via metadata service. Seu código só precisa usar o SDK — ele busca, renova e descarta as credenciais sozinho. Nenhum segredo fica em disco.
| IAM User + access key | IAM Role | |
|---|---|---|
| Expiração | Nunca (até rotação manual) | Minutos/horas |
| Onde vive | Arquivo, variável, código | Metadata service / STS |
| Rotação | Manual | Automática |
| Vazamento | Impacto indefinido | Impacto até expirar |
Teste rápido
Qual destas credenciais indica um token STS temporário?
Resumo
Use roles sempre que possível. Access keys de IAM Users devem ser exceção — reservadas para humanos em casos onde federação/SSO não é viável, e mesmo assim com MFA obrigatória.
Referência Well-Architected
Esta lição está alinhada com a boa prática Use temporary credentials do Well-Architected Framework: preferir credenciais efêmeras (STS) sobre access keys permanentes.
Referências
Terminou esta lição?
Seu progresso fica salvo apenas neste navegador.