O que mudou no SageMaker Unified Studio
A AWS anunciou uma novidade importante para equipes que operam em ambientes corporativos com políticas de segurança rígidas: o Amazon SageMaker Unified Studio passou a suportar limites de permissões (permissions boundaries) personalizados do Controle de Acesso e Identidade (IAM). Com isso, organizações que utilizam Políticas de Controle de Serviço (SCP) e exigem que todas as funções IAM sejam criadas com um limite de permissões definido podem adotar o SageMaker Unified Studio sem precisar flexibilizar sua postura de segurança.
Antes dessa atualização, esse tipo de requisito era um obstáculo real: a criação de projetos no SageMaker Unified Studio provisionava funções IAM sem respeitar automaticamente as SCPs corporativas, o que forçava administradores a intervir manualmente ou a abrir exceções nas políticas — algo que muitas equipes de segurança simplesmente não aceitam.
Como funciona na prática
Quando um usuário cria um projeto no SageMaker Unified Studio, a plataforma provisiona automaticamente três funções IAM:
- Uma função de usuário do projeto (project user role)
- Uma função de serviço do Amazon Bedrock (Amazon Bedrock service role)
- Uma função de execução do Bedrock Lambda (Bedrock Lambda execution role)
Com a nova funcionalidade, os administradores podem definir um limite de permissões diretamente na configuração do Tooling blueprint. A partir daí, todas as três funções são criadas já com esse limite de permissões aplicado — satisfazendo os requisitos das SCPs no momento da criação, sem que nenhuma intervenção adicional do administrador seja necessária.
Controle centralizado e automático
Outro ponto relevante dessa atualização é que o limite de permissões também restringe o que as funções provisionadas podem fazer. Isso significa que os administradores mantêm controle sobre as permissões em nível de projeto mesmo à medida que novos projetos são criados — sem precisar revisar cada um individualmente.
E como a configuração é feita no nível do blueprint, ela se aplica automaticamente a todos os novos projetos criados a partir dali. Ou seja, o controle é centralizado e consistente por padrão.
Disponibilidade
O recurso já está disponível em todas as regiões da AWS onde o Amazon SageMaker Unified Studio está disponível. Para entender como configurar os parâmetros do blueprint, a AWS disponibiliza a documentação Gerenciar parâmetros do Tooling blueprint.
Fonte
Amazon SageMaker adds permissions boundaries for SCP compliance (https://aws.amazon.com/about-aws/whats-new/2026/05/amazon-sagemaker-scp/)
Leave a Reply