IAM e cotas do AWS STS - AWS Identity and Access Management

IAM e cotas do AWS STS

O AWS Identity and Access Management (IAM) e o AWS Security Token Service (STS) têm cotas que limitam o tamanho dos objetos. Isso afeta como um objeto é nomeado, o número de objetos que podem ser criados e o número de caracteres que podem ser usados ao transmitir um objeto.

nota

Para obter informações no nível da conta sobre o uso e as cotas do IAM use a operação da API GetAccountSummary ou o comando da AWS CLI get-account-summary.

Requisitos de nome do IAM

Os nomes do IAM têm os seguintes requisitos e restrições:

  • Os documentos de política podem conter apenas os seguintes caracteres Unicode: guia horizontal (U+0009), linefeed (U+000A), retorno de carro (U+000D) e caracteres no intervalo de U+0020 a U+00FF.

  • Os nomes de usuários, grupos, funções, políticas, perfis da instância e certificados de servidor devem ser alfanuméricos, incluindo os seguintes caracteres comuns: mais (+), igual (=), vírgula (,), ponto final (.), arroba (@), sublinhado (_) e hífen (-). Os nomes de caminhos devem começar e terminar com uma barra (/).

  • Os nomes de usuários, grupos, funções e perfis de instância devem ser exclusivos na conta. Eles não são diferenciados por maiúsculas e minúsculas, por exemplo, você não pode criar dois grupos denominados ADMINS e admins.

  • O valor do ID externo que terceiros usam para assumir uma função deve ter no mínimo 2 e no máximo 1.224 caracteres. O valor deve ser alfanumérico sem espaço em branco. Ele também pode incluir os seguintes símbolos: mais (+), igual (=), vírgula (,), ponto (.), arroba (@), dois pontos (:), barra (/) e hífen (-). Para obter mais informações sobre o ID externo, consulte Como usar um ID externo ao conceder acesso aos seus recursos da AWS a terceiros.

  • Os nomes de políticas para as políticas em linha devem ser exclusivos para o usuário, grupo ou perfil em que eles são incorporados. Os nomes podem conter caracteres latinos básicos (ASCII), exceto os seguintes caracteres reservados: barra invertida (\), barra (/), asterisco (*), ponto de interrogação (?) e espaço em branco. Esses caracteres são reservados de acordo com a RFC 3986, seção 2.2.

  • As senhas de usuário (perfis de login) podem conter caracteres latinos básicos (ASCII).

  • Os alias do ID da Conta da AWS devem ser exclusivos entre os produtos da AWS e devem ser alfanuméricos, seguindo as convenções de nomeação do DNS. Um alias deve ser em letras minúsculas, não deve iniciar ou terminar com um hífen, não pode conter dois hifens consecutivos e não pode ser um número de 12 dígitos.

Para obter uma lista de caracteres latinos básicos (ASCII), vá até a Tabela de códigos latinos básicos (ASCII) da Biblioteca do Congresso.

Cotas de objetos do IAM

As cotas, também conhecidas como limites na AWS, são os valores máximos para recursos, ações e itens na sua Conta da AWS. Use o Service Quotas para gerenciar as cotas do IAM.

Para ver a lista de endpoints e cotas de serviço do IAM, consulte Endpoints e cotas do AWS Identity and Access Management no Referência geral da AWS.

Para solicitar um aumento da cota

  1. Siga o procedimento de login adequado para o tipo de usuário, conforme descrito no tópico Como fazer login naAWS  no Guia do usuário do AWS Sign-In para entrar no AWS Management Console.

  2. Abra o console do Service Quotas.

  3. No painel de navegação, escolha Serviços da AWS.

  4. Na barra de navegação, selecione a região US East (N. Virginia). Depois, procure IAM.

  5. Selecione AWS Identity and Access Management (IAM), escolha uma cota e siga as instruções para solicitar um aumento de cota.

Para obter mais informações, consulte Solicitar um aumento de cota no Guia do usuário do Service Quotas.

Para ver um exemplo de como solicitar um aumento de cotas do IAM usando o console do Service Quotas, assista ao vídeo a seguir.

Você pode solicitar um aumento nas cotas padrão para cotas ajustáveis do IAM. Solicitações até o maximum quota são automaticamente aprovadas e são concluídas em poucos minutos.

A tabela a seguir lista os recursos para os quais a área de aumento de cotas pode ser aprovada automaticamente.

Cotas ajustáveis para recursos do IAM
Recurso Cota padrão Cota máxima
Políticas gerenciadas pelo cliente por conta 1500 5000
Grupos por conta 300 500
Perfis de instância por conta 1000 5000
Políticas gerenciadas por perfil 10 20
Políticas gerenciadas por usuário 10 20
Duração da política de confiança da função 2048 caracteres 4096 caracteres
Funções por conta 1000 5000
Certificados de servidor por conta 20 1000

Cotas do IAM Access Analyzer

Para ver a lista de endpoints e cotas de serviço do IAM Access Analyzer, consulte Endpoints e cotas do IAM Access Analyzer no Referência geral da AWS.

Cotas do IAM Roles Anywhere

Para ver a lista de endpoints e cotas de serviço do IAM Roles Anywhere, consulte Endpoints e cotas do serviço AWS Identity and Access Management Roles Anywhere no Referência geral da AWS.

Limites de caracteres do IAM e do STS

Veja a seguir as contagens máximas de caracteres e limites de tamanho para IAM e o AWS STS. Você não pode solicitar um aumento dos limites a seguir.

Descrição Limite
Alias de um ID de Conta da AWS 3 a 63 caracteres
Para políticas em linha Você pode adicionar quantas políticas em linha desejar a um usuário, função ou grupo da IAM. No entanto, o tamanho total de política agregado (tamanho total de todas as políticas em linha) por entidade não pode exceder os seguintes limites:
  • O tamanho da política de usuário não pode exceder 2.048 caracteres.

  • O tamanho da política de perfil não pode exceder 10.240 caracteres.

  • O tamanho da política de grupo não pode exceder 5.120 caracteres.

nota

O IAM; não conta espaços em branco ao calcular o tamanho de uma política em relação a esses limites.

Para políticas gerenciadas
  • O tamanho de cada política gerenciada não pode exceder 6,144 caracteres.

nota

O IAM; não conta espaços em branco ao calcular o tamanho de uma política em relação a esse limite.

Nome de grupo 128 caracteres
Nome do perfil de instância 128 caracteres
Senha para um perfil de login 1 a 128 caracteres
Path 512 caracteres
Nome da política 128 caracteres
Nome da função 64 caracteres
Importante

No entanto, se você pretende usar um perfil com o recurso Alternar perfil no AWS Management Console, Path e RoleName combinados não podem exceder 64 caracteres.

Duração da sessão da função

12 horas

Quando você assume uma função a partir da AWS CLI ou da API, pode usar o parâmetro da CLI duration-seconds ou o parâmetro da API DurationSeconds para solicitar uma sessão de função mais longa. É possível especificar um valor de 900 segundos (15 minutos) até a configuração da duração máxima da sessão para a função, que pode variar de 1 a 12 horas. Se você não especificar um valor para o parâmetro DurationSeconds, as credenciais de segurança serão válidas por uma hora. Os usuários do IAM que trocam de perfis no console recebem a duração máxima da sessão ou o tempo restante na sessão do usuário, o que for menor. A configuração da duração máxima da sessão não limita as sessões assumidas por serviços da AWS. Para saber como visualizar o valor máximo para sua função, consulte Visualizar a configuração de duração máxima da sessão para uma função.

Nome da sessão da função 64 caracteres
Políticas de sessão da função
  • O tamanho do documento de política JSON passado e todos os caracteres ARN de política gerenciada passados combinados não podem exceder 2.048 caracteres.

  • Você pode passar, no máximo, 10 ARNs de política gerenciada ao criar uma sessão.

  • Você pode passar apenas um documento de política JSON ao criar uma sessão temporária de forma programática para uma função ou para um usuário federado.

  • Além disso, uma conversão da AWS compacta as políticas de sessão e as tags de sessão transmitidas em um formato binário compactado que tem uma cota separada. O elemento de resposta PackedPolicySize indica, em porcentagem, o quão perto as políticas e tags da sua solicitação estão do limite de tamanho superior.

  • Recomendamos que você passe políticas de sessão usando a AWS CLI ou API da AWS. O AWS Management Console pode adicionar informações adicionais da sessão do console à política compactada.

Tags de sessão da função
  • As tags de sessão devem atender ao limite de chave de tag de 128 caracteres e ao limite de valor de tag de 256 caracteres.

  • Você pode passar até 50 tags de sessão.

  • Uma conversão da AWS compacta as políticas de sessão e as tags de sessão passadas em um formato binário compactado que têm um limite separado. Você pode passar tags de sessão usando o AWS CLI ou API da AWS. O elemento de resposta PackedPolicySize indica, em porcentagem, o quão perto as políticas e tags da sua solicitação estão do limite de tamanho superior.

Resposta de autenticação SAML codificada em base64 100.000 caracteres

Esse limite de caracteres se aplica à CLI assume-role-with-saml ou à operação de API AssumeRoleWithSAML.

Chave de tag 128 caracteres

Esse limite de caracteres se aplica a tags em recursos do IAM e tags de sessão.

Valor da tag 256 caracteres

Esse limite de caracteres se aplica a tags em recursos do IAM e tags de sessão.

Os valores da etiqueta podem estar vazios, o que significa que os valores da etiqueta podem ter 0 caractere.

IDs únicos criados pelo IAM

128 caracteres. Por exemplo:

  • IDs de usuários que começam com AIDA

  • IDs de grupos que começam com AGPA

  • IDs de função que começam com AROA

  • IDs de políticas gerenciadas que começam com ANPA

  • IDs de certificado de servidor que começam com ASCA

nota

Isso não é destinado a ser uma lista completa, nem é uma garantia de que os IDs de um determinado tipo começam apenas com a combinação de letras especificadas.

Nome do usuário 64 caracteres