Amazon EventBridge e AWS Identity and Access Management

Para acessar a Amazon EventBridge, você precisa de credenciais que AWS possam ser usadas para autenticar suas solicitações. Suas credenciais devem ter permissões para acessar os recursos da AWS, como recuperar dados de eventos de outros recursos da AWS. As seções a seguir fornecem detalhes sobre como você pode usar o AWS Identity and Access Management(IAM) e como ajudar EventBridge a proteger seus recursos controlando quem pode acessá-los.

Tópicos

• Autenticação
• Controle de acesso
• Como gerenciar permissões de acesso aos seus recursos do Amazon EventBridge
• Usando políticas baseadas em identidade (políticas do IAM) para a Amazon EventBridge
• Como usar políticas baseadas em recursos para esquemas do Amazon EventBridge
• Prevenção contra o ataque “Confused deputy” em todos os serviços
• Políticas baseadas em recursos para esquemas do Amazon EventBridge
• Referência de permissões do Amazon EventBridge
• Uso de condições de política do IAM para controle de acesso refinado
• Usar perfis vinculados a serviço do EventBridge

Autenticação

Você pode acessar a AWS usando qualquer um dos seguintes tipos de identidade:

• Usuário raiz da conta da AWS: ao se cadastrar na AWS, é fornecido um endereço de e-mail e uma senha que são associados à sua conta. Estas são suas credenciais raiz e elas fornecem acesso total a todos os seus recursos da AWS.

  Importante

  Por motivos de segurança, recomendamos que você use as credenciais raiz somente para criar um administrador, que é um usuário do IAM com permissões totais na sua conta. Depois, você pode usar esse administrador para criar outros usuários e funções do com permissões limitadas. Para mais informações, consulte Melhores práticas do IAM e Criar um grupo e um usuário administrador no Guia do usuário do IAM.

• Usuário do IAM — Um usuário do IAM é uma identidade em sua conta que tem permissões específicas, por exemplo, permissão para enviar dados de eventos para um alvo em EventBridge. É possível usar credenciais de login do IAM para acessar páginas da web seguras da AWS, como o AWS Management Console, os Fóruns de discussão da AWS ou o AWS Support Center.

  Além das credenciais de login, você também pode gerar chaves de acesso para cada usuário. É possível usar essas chaves ao acessar serviços da AWS de forma programática para assinar sua solicitação com criptografia, seja com um dos vários SDKs ou usando o AWS Command Line Interface (AWS CLI). Se não usar ferramentas da AWS, você mesmo deverá assinar a solicitação com o Signature Version 4, um protocolo para a autenticação de solicitações da API de entrada. Para obter mais informações sobre a autenticação de solicitações, consulte Processo de cadastramento do Signature versão 4 na Referência geral da Amazon Web Services.

• Perfil do IAM: um perfil do IAM é uma identidade do IAM que é possível criar em sua conta com permissões específicas. É semelhante a um usuário do IAM mas não está associada a uma pessoa específica. Um perfil do IAM permite obter chaves de acesso temporárias que podem acessar os serviços e recursos da AWS. Os perfis do IAM com credenciais temporárias são úteis nas seguintes situações:

  • Acesso de usuário federado: em vez de criar um usuário, é possível usar identidades já existente do AWS Directory Service, o diretório de usuário da sua empresa ou um provedor de identidades (IdP) da web. Eles são conhecidos como usuários federados. A AWS atribui um perfil a um usuário federado quando o usuário solicita o acesso por meio de um provedor de identidades. Para obter mais informações sobre usuários federados, consulte Usuários federados e funções no Manual do usuário do IAM.

  • Acesso entre contas: é possível usar um perfil do IAM em sua conta para conceder, a outra conta, permissões de acesso aos recursos de sua conta. Para ver um exemplo, consulte o Tutorial: delegar acesso em AWS usando funções do IAM no Manual do usuário do IAM.

  • Acesso de serviço da AWS: é possível usar um perfil do IAM em sua conta para conceder permissões de serviço da AWS para acessar os recursos de sua conta. Por exemplo, é possível criar um perfil que permita ao Amazon Redshift carregar os dados armazenados em um bucket do Amazon S3 em um cluster do Amazon Redshift. Para mais informações, consulte Criar uma função para delegar permissões a um serviço da AWS, no Manual do usuário do IAM.

  • Aplicativos em execução no Amazon EC2 — Para aplicativos do Amazon EC2 que precisam de acesso EventBridge, você pode armazenar chaves de acesso na instância do EC2 ou usar uma função do IAM para gerenciar credenciais temporárias. Para atribuir um perfil da AWS a uma instância do EC2, crie um perfil de instância anexado à instância. Um perfil de instância contém o perfil e fornece credenciais temporárias para aplicações em execução na instância do EC2. Para obter mais informações, consulte Uso de funções para aplicações no Amazon EC2 no Manual do usuário do IAM.

Controle de acesso

Para criar ou acessar EventBridge recursos, você precisa de credenciais e permissões válidas. Por exemplo, para invocar destinos do AWS Lambda, o Amazon Simple Notification Service (Amazon SNS) e o Amazon Simple Queue Service (Amazon SQS) (Amazon SQS), é preciso ter permissões para esses serviços.