Sign-in forte e MFA

Credenciais vazam — por phishing, reuso em sites comprometidos, malware, ou simples descuido. A AWS recomenda que toda identidade humana use um segundo fator de autenticação (MFA) e políticas de senha fortes.

A account password policy define regras mínimas para senhas de IAM Users:

• Comprimento mínimo (recomendado ≥ 14 caracteres).
• Mistura de maiúsculas, minúsculas, números e símbolos.
• Rotação periódica (ex.: 90 dias).
• Prevenção de reuso das últimas N senhas.
• Usuário pode trocar a própria senha.

Multi-Factor Authentication exige algo que você sabe (senha) + algo que você tem (token). Tipos suportados pela AWS:

• Passkeys / WebAuthn / FIDO2 — resistente a phishing, recomendado.
• Dispositivo virtual (Google Authenticator, Authy, 1Password) — TOTP de 6 dígitos.
• Hardware key (YubiKey) — FIDO/U2F físico.
• SMS — não recomendado, vulnerável a SIM swap.

O root user é a conta que você criou com o e-mail ao abrir a conta AWS. Poderes ilimitados, não pode ser restringido por IAM. Regras de ouro:

1. Habilite MFA hoje, de preferência com hardware key.
2. Não crie access keys para o root.
3. Não use o root no dia a dia — crie um IAM Identity Center user admin.
4. Guarde as credenciais em local seguro com acesso restrito — password manager corporativo com vault dedicado, MFA de hardware com backup em local físico diferente, e códigos de recuperação arquivados separadamente.

Você pode exigir MFA para operações sensíveis usando a condition key aws:MultiFactorAuthPresent:

1
2
3
4
5
6

{
  "Effect": "Deny",
  "Action": "ec2:TerminateInstances",
  "Resource": "*",
  "Condition": { "BoolIfExists": { "aws:MultiFactorAuthPresent": "false" } }
}

Esse statement nega TerminateInstances para qualquer request sem MFA — mesmo de um principal com admin.

Senha forte é piso; MFA é o teto mínimo. Para humanos, use IAM Identity Center com MFA fornecido pelo IdP. Para o root user, MFA com hardware key e nunca use no dia a dia.

Esta lição está alinhada com a boa prática Use strong sign-in mechanisms do Well-Architected Framework.

• Ver boa prática no Well-Architected Framework

• Using multi-factor authentication (MFA)
• Enable MFA for privileged users
• AWS account root user