iam
16 conteúdos publicados sobre este assunto.
Artigos· 10
IA & AgentesFable 5.1 no Bedrock: retenção de dados virou decisão de arquiteturaClaude Fable 5.1 chegou ao Bedrock em 1º de setembro de 2026 com 1M de contexto e uma condição que nenhum modelo anterior da Anthropic tinha: você precisa autorizar explicitamente a retenção de prompts e saídas por até 30 dias dentro da AWS. Isso não é uma caixinha de consentimento — é uma configuração de conta com raio de alcance organizacional, que colide com o SCP de zero data retention que a maioria dos ambientes regulados já tem escrito.Abrir IA & AgentesRAG sobre ServiceNow: o conector que apaga o user criteriaO conector nativo de ServiceNow do Amazon Bedrock Managed Knowledge Base chegou em 4 de setembro de 2026 e tira semanas de pipeline artesanal do caminho. Ele também instrui você a usar uma conta de serviço com knowledge_admin, que ignora o user criteria por knowledge base — e o conector não ingere ACL de documento. Este é o retro do piloto em que essas duas linhas de documentação se encontraram.Abrir IA & Agentes3LO no Bedrock Managed KB: 5 minutos de setup, 1 decisão irreversívelEm 4 de setembro de 2026 a AWS liberou o user-managed setup (3LO) para SharePoint, OneDrive e Confluence no Amazon Bedrock Managed Knowledge Base: você faz login com a sua própria conta e o data source sai em minutos. O que a documentação diz em letra miúda é que esse caminho não suporta controle de acesso por documento, e que a flag de ACL não muda depois do CreateDataSource. Este é o relato da migração que isso obriga — do protótipo em 3LO para um knowledge base de produção com ENTRA_ID_APP_ONLY, certificado e userContext.Abrir Segurança & ResiliênciaTBAC vs ARN Explícito vs SCP vs VPC Isolation no NeptuneO Neptune agora suporta Tag-Based Access Control (TBAC) para IAM, adicionando um quarto modelo de controle de acesso a um serviço que já oferecia isolamento por VPC, autenticação IAM com ARNs explícitos e Service Control Policies. Escolher o modelo certo — ou a combinação certa — tem implicações diretas em postura de segurança, velocidade de onboarding de times e custo operacional em plataformas de dados financeiros.Abrir Segurança & ResiliênciaIAM Roles para Stream Sessions: Comparativo de Estratégias de CredenciaisO suporte a IAM roles em sessões do Amazon GameLift Streams, lançado em julho de 2026, elimina a necessidade de chaves de acesso de longa duração em aplicações de streaming. Neste artigo, comparo as quatro abordagens de credenciais disponíveis — chaves estáticas, variáveis de ambiente, AWS Secrets Manager e IAM roles via RoleArn — usando critérios de segurança, complexidade operacional, custo e rastreabilidade. A conclusão é direta: IAM roles vence em quase todos os eixos relevantes para ambientes de produção.Abrir Segurança & ResiliênciaIAM Roles para GameLift Streams: O Fim das Credenciais EmbutidasO Amazon GameLift Streams passou a suportar IAM roles em sessões de streaming, eliminando a necessidade de credenciais de longa duração embutidas em bundles ou variáveis de ambiente. A mudança alinha o serviço ao mesmo mecanismo de container credential provider já consolidado no ECS e EKS — sem alteração de código na aplicação. Neste artigo, analiso o que essa feature realmente entrega, onde ainda existem limites relevantes e como adotá-la com rigor em ambientes de produção.Abrir Segurança & ResiliênciaAmazon Managed Grafana FedRAMP High: Observabilidade em Ambientes ReguladosO Amazon Managed Grafana alcançou autorização FedRAMP High nas regiões AWS GovCloud (US-East) e (US-West), desbloqueando observabilidade gerenciada para agências federais e setores com requisitos de conformidade rigorosos. Neste artigo, analiso o que essa autorização realmente significa em termos de arquitetura, os padrões de design que ela habilita e os anti-padrões que ainda persistem mesmo com o serviço autorizado.Abrir IA & AgentesOAuth no AWS MCP Server: Comparativo de Estratégias de Autenticação para AgentesO suporte OAuth nativo no AWS MCP Server muda o jogo para quem estava improvisando autenticação de agentes com credenciais estáticas ou fluxos Cognito customizados. Mas 'suporte OAuth' não é uma decisão de arquitetura — é um ponto de partida. Neste artigo, faço um bake-off honesto entre quatro estratégias de autenticação para agentes de IA em ambientes financeiros, com trade-offs reais, números plausíveis e uma recomendação direta.Abrir Dados & PlataformasAdmin Shell no GameLift Streams: acesso seguro sem SSH em sessões ao vivoO Amazon GameLift Streams agora oferece acesso de terminal seguro a sessões ativas via SSM Session Manager, sem SSH, sem portas abertas e sem credenciais de infraestrutura. Esse mecanismo tem implicações arquiteturais sérias para equipes que operam plataformas de streaming em escala — especialmente no que tange a auditoria, blast radius e controle de acesso efêmero. Neste artigo, analiso como o recurso funciona internamente, onde ele pode falhar e como integrá-lo com segurança em ambientes financeiramente críticos.Abrir Segurança & ResiliênciaUma Organização ou Várias? O Postmortem que Ninguém Quer EscreverA decisão entre uma única AWS Organization e múltiplas organizações parece estratégica no papel, mas se torna operacional no pior momento possível — durante um incidente. Este artigo reconstrói o padrão de falha mais comum que observo em ambientes financeiros e propõe remediações concretas baseadas nos pilares do AWS Well-Architected.Abrir Architecture Studies· 6
Decisão (ADR)Web Search do Bedrock no GovCloud: um ADR sobre grounding reguladoEm 2 de setembro de 2026 a AWS levou o tool server-side Web Search do Amazon Bedrock para o GovCloud (US-West). Escrevi este ADR porque a decisão real não é "usar ou não busca web" — é escolher em que modo de recuperação você opera, e o default do parâmetro `external_web_access` empurra times regulados exatamente para o lado errado, com HTTP 200 e sem erro visível.Abrir Decisão (ADR)ADR: IAM Role Sessions no GameLift Streams — Eliminando Credenciais EstáticasO Amazon GameLift Streams passou a suportar IAM roles por sessão em julho de 2026, eliminando a necessidade de credenciais estáticas em bundles de aplicação. Este artigo analisa a decisão arquitetural por trás dessa mudança, os padrões de segurança envolvidos e as consequências operacionais para times que constroem plataformas de streaming com acesso a recursos AWS.Abrir Design Doc / RFCDesign Doc: Governança de Modelos Frontier no Bedrock com GPT, Claude e NovaEste documento propõe uma arquitetura de AI Gateway para orquestrar e governar múltiplos modelos frontier — OpenAI GPT-5.5/GPT-4.5, Anthropic Claude, Amazon Nova e modelos especializados — dentro do Amazon Bedrock. O design cobre roteamento inteligente, guardrails, prompt registry, logging de inferência, IAM por tenant, data residency e política de fallback, com foco em auditabilidade e controle de custos em ambientes enterprise.Abrir Design Doc / RFCDesign Doc: Zero Trust na AWS para Acesso a Serviços InternosEste documento propõe uma arquitetura Zero Trust na AWS onde identidade, contexto e postura do dispositivo substituem o perímetro de rede como mecanismo primário de controle de acesso. O design cobre segmentação de workloads, acesso adaptativo via IAM Identity Center e Verified Access, e instrumentação de auditoria contínua. O objetivo é eliminar a confiança implícita baseada em localização de rede sem introduzir fricção operacional excessiva.Abrir PlaybookPlaybook: Como Blindar um Agente de IA — As Camadas de DefesaAgentes de IA expõem superfícies de ataque que firewalls tradicionais não cobrem: injeção de prompt, exfiltração via tool call, saída não controlada. Este playbook descreve as quatro camadas de defesa — borda, conteúdo, ferramentas e saída — e o que cada uma barra, onde falha e como compô-las sem redundância inútil.Abrir PlaybookPlaybook: Zero-Trust na AWS do Zero — 6 Passos que Cabem num SprintZero-trust não é um produto nem um projeto de seis meses — é um conjunto de decisões de arquitetura que você pode começar a implementar hoje. Este playbook apresenta seis passos concretos e priorizados para eliminar confiança implícita na AWS, reduzir blast radius e construir auditoria contínua, sem paralisar entregas.Abrir 