Deny por padrão e explicit deny

O modelo de autorização da AWS tem duas regras inamovíveis:

1. Deny por padrão — se nada concede, a request é negada.
2. Explicit deny vence — um Deny explícito sempre supera qualquer Allow.

Entender essas duas regras resolve 80% das dúvidas de "por que minha policy não está funcionando".

Para cada request, a AWS executa este fluxograma:

1. Existe algum Deny explícito em qualquer policy aplicável? → Deny.
2. Existe algum Allow aplicável? → Allow.
3. Caso contrário → Deny (implicit).

Deny explícito é a ferramenta para exceções negativas — "permita tudo, exceto isto":

• Proibir ações destrutivas mesmo para admins (ec2:TerminateInstances sem MFA).
• Bloquear regiões específicas (aws:RequestedRegion).
• Forçar uso de TLS (aws:SecureTransport).
• Impedir alteração de logs (s3:DeleteObject no bucket de CloudTrail).

Implicit deny é o que acontece quando você simplesmente não escreveu uma policy que cobre aquela ação/recurso. Não tem mensagem especial, não tem log diferente. Do ponto de vista do usuário, parece igual a um Deny explícito.

Para debugar, use o IAM Policy Simulator ou o campo errorMessage do CloudTrail — ele diz qual policy decidiu o Deny.

Escreva uma policy que permita tudo em S3, mas bloqueie a exclusão de objetos no bucket logs-imutaveis e no seu conteúdo. Use dois statements: um Allow amplo + um Deny específico.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PermitirS3",
      "Effect": "Allow",
      "Action": "s3:*",
      "Resource": "*"
    },
    {
      "Sid": "ProtegerLogs",
      "Effect": "Deny",
      "Action": "s3:DeleteObject",
      "Resource": "arn:aws:s3:::logs-imutaveis/*"
    }
  ]
}

Deny por padrão é o piso; explicit deny é o teto. Entre eles, a união dos Allows define o que é possível. Use Deny explícito com parcimônia, para proteger o que é crítico mesmo contra humanos com poder demais.

Esta lição fundamenta as boas práticas de gestão de permissões do Well-Architected Framework — dominar a avaliação é pré-requisito para qualquer design de permissões seguro.

• Ver pilar Identity and Access Management no Well-Architected Framework

• Policy evaluation logic
• IAM Policy Simulator