Category: Uncategorized

O Que Mudou na AWS

A AWS aprimorou significativamente as mensagens de erro de acesso negado ao incluir o Amazon Resource Name (ARN) da política que está causando a negação. Essa inovação complementa uma melhoria anterior de 2021 que já identificava o tipo de política envolvida. Agora, a plataforma vai além: fornece a identificação precisa da política responsável pela restrição.

É importante notar que o ARN da política é fornecido apenas em cenários envolvendo a mesma conta AWS ou a mesma organização. A funcionalidade está sendo distribuída gradualmente em todos os serviços AWS em todas as regiões.

Quais Políticas Recebem essa Melhoria?

A atualização abrange AWS Identity and Access Management (IAM) e AWS Organizations, cobrindo os seguintes tipos de políticas:

• Políticas de Controle de Serviço (SCPs — Service Control Policies)
• Políticas de Controle de Recursos (RCPs — Resource Control Policies)
• Políticas de Limite de Permissões (Permissions Boundaries)
• Políticas de Sessão (Session Policies)
• Políticas Baseadas em Identidade (Identity-Based Policies)

Comparação: Antes e Depois

Para ilustrar a diferença prática, considere um desenvolvedor tentando executar a ação ListRoles no IAM, mas sendo bloqueado por uma SCP:

Mensagem Anterior

An error occurred (AccessDenied) when calling the ListRoles operation: User: arn:aws:iam::123456789012:user/Matt is not authorized to perform: iam:ListRoles on resource: arn:aws:iam::123456789012:role/* with an explicit deny in a service control policy

Mensagem Aprimorada

An error occurred (AccessDenied) when calling the ListRoles operation: User: arn:aws:iam::123456789012:user/Matt is not authorized to perform: iam:ListRoles on resource: arn:aws:iam::123456789012:role/* with an explicit deny in a service control policy: arn:aws:organizations::987654321098:policy/o-qv5af4abcd/service_control_policy/p-2kgnabcd

Note a diferença fundamental: a mensagem aprimorada inclui o ARN completo da política — arn:aws:organizations::987654321098:policy/o-qv5af4abcd/service_control_policy/p-2kgnabcd — eliminando a necessidade de investigar todas as políticas do mesmo tipo.

Os Princípios por Trás da Melhoria

A AWS estruturou essa funcionalidade com três pilares principais:

1. Escopo Limitado para Segurança

Os ARNs das políticas aparecem apenas quando a solicitação origina-se da mesma conta ou da mesma organização que a política. Essa limitação reduz o fluxo de informações sensíveis.

2. Informação Contextual Sem Exposição de Detalhes

A mensagem fornece apenas o ARN da política — um identificador de recurso — e não o conteúdo completo do documento de política. Isso significa que as permissões específicas e condições não são reveladas. Usuários ainda precisam de permissões apropriadas para acessar o conteúdo real da política ou tomar ações corretivas.

3. Lógica de Autorização Inalterada

Essa melhoria afeta exclusivamente a mensagem de erro exibida. A lógica de tomada de decisão sobre autorização permanece a mesma — as mesmas políticas continuam negando ou permitindo acesso da forma anterior.

Benefícios Práticos para Organizações

Resolução Mais Rápida de Problemas

Anteriormente, ao receber um erro de acesso negado originário de uma SCP, era necessário revisar todas as SCPs da organização, determinar quais se aplicavam à conta e avaliar cada uma — um processo demorado. Com o ARN específico incluído na mensagem, qualquer pessoa com permissão adequada pode acessar a política identificada e resolver o problema em minutos.

Redução da Carga Investigativa

A precisão do diagnóstico elimina investigações desnecessárias, economizando tempo de administradores e desenvolvedores.

Comunicação Melhorada Entre Equipes

Mensagens claras com ARNs da política oferecem um ponto de referência comum, eliminando ambiguidades e reduzindo trocas de mensagens entre equipes de desenvolvimento e operações.

Validação Rápida de Controles de Segurança

Ao validar controles de segurança, o ARN na mensagem de erro fornece confirmação imediata de qual política está aplicando a restrição, permitindo que clientes verifiquem rapidamente se suas políticas estão funcionando conforme esperado.

Um Exemplo Prático: Diagnóstico em Ação

Imagine um cenário em que você tenta descrever snapshots do Amazon Relational Database Service (Amazon RDS) na região us-east-2:

aws rds describe-db-snapshots --region us-east-2

Você recebe um erro de acesso negado com a seguinte mensagem:

An error occurred (AccessDenied) when calling the DescribeDBSnapshots operation: User: arn:aws:sts::123456789012:assumed-role/ReadOnly/ReadOnlySession is not authorized to perform: rds:DescribeDBSnapshots on resource: arn:aws:rds:us-east-2:123456789012:snapshot:* with an explicit deny in a service control policy: arn:aws:organizations::987654321098:policy/o-qv5af4abcd/service_control_policy/p-lvi9abcd

O Que Essa Mensagem Nos Diz

• Tipo de negação: É uma negação explícita — não é simplesmente a ausência de permissão, mas uma política que nega ativa e intencionalmente a ação.
• Origem da negação: A restrição vem da SCP com o ARN específico: arn:aws:organizations::987654321098:policy/o-qv5af4abcd/service_control_policy/p-lvi9abcd

Passos para Resolução

Passo 1: Verifique se você tem permissão para visualizar a SCP. Se não tiver, contate o administrador e forneça a mensagem que inclui o ARN da política.

Passo 2: Se tiver as permissões necessárias, acesse a SCP através do Console de Gerenciamento AWS para AWS Organizations.

Passo 3: Procure por uma instrução Deny (negação) para a ação específica. No exemplo, a ação é rds:DescribeDBSnapshots.

Passo 4: Modifique a instrução para remover a Deny se ela não for mais aplicável. Para mais informações, consulte Atualizar uma política de controle de serviço (SCP).

Passo 5: Tente novamente a operação. Se continuar recebendo erros de acesso negado por razões ou políticas diferentes, repita o processo de diagnóstico.

Quando Essa Funcionalidade Estará Disponível

A atualização está sendo distribuída gradualmente em todos os serviços AWS em todas as regiões, com início previsto para o início de 2026.

Suporte e Assistência

Caso tenha dúvidas ou enfrente problemas relacionados a essa funcionalidade, entre em contato com AWS Support ou seu Technical Account Manager (TAM).

Fonte

Enhanced access denied error messages with policy ARNs (https://aws.amazon.com/blogs/security/enhanced-access-denied-error-messages-with-policy-arns/)

Novas certificações da AWS em conformidade e segurança

A Amazon Web Services (AWS) finalizou com êxito o ciclo anual de auditoria de recertificação sem achados em conformidade para um conjunto abrangente de normas internacionais. Os padrões validados incluem ISO 9001:2015, 27001:2022, 27017:2015, 27018:2019, 27701:2019, 20000-1:2018 e 22301:2019, além da certificação Cloud Security Alliance (CSA) STAR Cloud Controls Matrix (CCM) v4.0.

Ampliação do escopo de certificação

Como parte do processo de recertificação, o objetivo da auditoria foi expandir as certificações existentes para incorporar novos componentes ao escopo de validação. Dois elementos foram adicionados especificamente: a região Ásia Pacífico (Taipei) e o serviço AWS Deadline Cloud. Essas inclusões reforçam o compromisso da AWS em manter controles de segurança robustos e expandir a proteção de dados dos clientes em suas operações globais.

O que as normas ISO cobrem

As certificações ISO validadas abrangem áreas essenciais para operações em nuvem, incluindo gestão da qualidade, segurança da informação, segurança específica para ambientes em nuvem, proteção de privacidade, gestão de serviços e continuidade de negócios. Juntas, essas normas formam um framework completo que demonstra o comprometimento da AWS com padrões internacionais de segurança e confiabilidade.

Acesso às certificações e recursos

Clientes que desejam consultar a lista completa de serviços AWS certificados sob os padrões ISO e CSA STAR podem acessar a página ISO and CSA STAR Certified. Além disso, essas certificações estão disponíveis diretamente no AWS Management Console através do serviço AWS Artifact, facilitando a auditoria e conformidade para organizações que utilizam a plataforma.

Fonte

2025 ISO and CSA STAR certificates are now available with one additional service and one new region (https://aws.amazon.com/blogs/security/2025-iso-and-csa-star-certificates-are-now-available-with-one-additional-service-and-one-new-region/)

Simplificação na criação de funções IAM

A AWS Identity and Access Management (IAM) recebeu uma importante melhoria que torna o processo de criação e configuração de funções significativamente mais direto e eficiente. A novidade permite que você estabeleça e customize funções de acesso sem necessidade de alternar entre múltiplas abas ou navegadores.

Quando você realiza tarefas no console que envolvem configuração de funções, um novo painel aparece para definir as permissões necessárias. Essa abordagem integrada reduz a complexidade de um processo que tradicionalmente exigia navegação entre diferentes seções da plataforma.

Como as funções IAM funcionam

As funções do IAM desempenham um papel essencial na segurança das conexões entre serviços AWS. Elas habilitam conexões seguras entre diferentes serviços usando credenciais temporárias, eliminando completamente a necessidade de chaves de acesso hardcoded (fixas no código). Essa é uma prática de segurança fundamental em ambientes de produção.

Com essa integração, o processo de configuração de funções e permissões agora ocorre diretamente dentro dos fluxos de trabalho dos serviços, sem que você precise navegar para o console específico de IAM. Você pode tanto utilizar políticas padrão já disponíveis quanto usar um construtor simplificado de declarações para personalizar suas permissões conforme necessário.

Serviços e disponibilidade

Este recurso já está disponível ao trabalhar com os seguintes serviços AWS:

• Amazon EC2
• AWS Lambda
• Amazon EKS
• Amazon ECS
• AWS Glue
• AWS CloudFormation
• AWS Database Migration Service
• AWS Systems Manager
• AWS Secrets Manager
• Amazon Relational Database Service
• AWS IoT Core

No momento do anúncio, a funcionalidade está disponível na região US East (N. Virginia). A AWS planeja uma expansão gradual para serviços adicionais e outras regiões.

Mantendo a funcionalidade completa

A simplificação do processo não significa perda de funcionalidade. O novo painel integrado mantém toda a potência e controle fino do gerenciamento de funções IAM, permitindo que você configure permissões granulares e customize políticas com a mesma profundidade que teria acessando diretamente o console de IAM.

Para mais informações técnicas e detalhes de implementação, você pode consultar o guia do usuário de cada serviço específico ou a documentação de IAM.

Fonte

AWS simplifies IAM role creation and setup in service workflows (https://aws.amazon.com/about-aws/whats-new/2026/03/aws-simplifies-iam-role-creation-and-setup/)

Conformidade Regulatória Suíça em Destaque

A AWS anunciou a disponibilidade do relatório de atestação Type II da Autoridade Supervisora do Mercado Financeiro Suíço (FINMA) referente a 2025, cobrindo 183 serviços em seu portfólio. A FINMA estabeleceu uma série de exigências e diretrizes específicas para instituições financeiras reguladas na Suíça que utilizam serviços terceirizados na nuvem.

Uma empresa de auditoria independente emitiu o relatório com objetivo de assegurar aos clientes que o ambiente de controles da AWS foi apropriadamente estruturado e está funcionando de maneira eficaz para suportar a conformidade com os requisitos da FINMA.

Período de Cobertura e Circulares Aplicáveis

O relatório mais recente cobre um período de 12 meses, de 1º de outubro de 2024 a 30 de setembro de 2025, abrangendo as seguintes circulares regulatórias:

• Circular 2018/03 – Externalização de Serviços para bancos, seguradoras e instituições financeiras selecionadas sob a Lei FinIA
• Circular 2023/01 – Riscos Operacionais e Resiliência para bancos
• Normas mínimas de Gestão de Continuidade de Negócios (BCM) propostas pela Associação Suíça de Seguros

Novos Serviços Adicionados ao Escopo

Na versão atualizada, a AWS incluiu cinco novos serviços ao escopo de conformidade FINMA:

• Amazon Verified Permissions
• AWS B2B Data Interchange
• AWS Resource Explorer
• AWS Security Incident Response
• AWS Transform

Acessando o Relatório

Clientes podem acessar o relatório FINMA ISAE 3000 através do AWS Artifact, um portal de autoatendimento que oferece acesso sob demanda a relatórios de conformidade. Para começar, faça login no AWS Artifact no Console de Gerenciamento da AWS ou consulte a documentação de Primeiros Passos com AWS Artifact.

Responsabilidade Compartilhada em Segurança

É importante destacar que segurança e conformidade representam uma responsabilidade compartilhada entre a AWS e seus clientes. Quando organizações migram sistemas e dados para a nuvem, as responsabilidades de segurança são distribuídas entre o cliente e o provedor de serviços em nuvem. Para compreender melhor essa divisão, consulte o Modelo de Responsabilidade Compartilhada de Segurança da AWS.

Instituições financeiras na Suíça que utilizam infraestrutura da AWS podem verificar mais informações sobre os programas de conformidade e segurança em Programas de Conformidade da AWS. Dúvidas adicionais podem ser encaminhadas à equipe de conformidade através da página de contato.

Fonte

2025 FINMA ISAE 3000 Type II attestation report available with 183 services in scope (https://aws.amazon.com/blogs/security/2025-finma-isae-3000-type-ii-attestation-report-available-with-183-services-in-scope/)

O que é o Policy no AgentCore

A AWS anunciou a disponibilidade geral do Policy no Amazon Bedrock AgentCore, uma solução que oferece às organizações controles centralizados e refinados sobre como os agentes de inteligência artificial interagem com ferramentas. O diferencial dessa abordagem está em sua arquitetura: o Policy opera fora do código do agente, permitindo que equipes de segurança, conformidade e operações definam regras de acesso e validação de entrada sem necessidade de modificar o código da aplicação.

Como funciona

O fluxo é relativamente simples, mas poderoso. As equipes podem criar políticas usando linguagem natural, que são convertidas automaticamente para Cedar, a linguagem de políticas de código aberto da AWS. Essas políticas são armazenadas em um mecanismo de políticas e vinculadas a um AgentCore Gateway, que atua como intermediário das requisições.

Quando um agente tenta acessar uma ferramenta, o AgentCore Gateway intercepta a requisição, compara com as políticas definidas e decide se deve permitir ou negar o acesso. Dessa forma, todos os acessos são avaliados antes de qualquer execução ocorrer, garantindo que os agentes operem dentro de limites bem definidos, mantendo visibilidade e governança sobre as operações.

Benefícios para organizações

Essa abordagem centralizada traz várias vantagens. As equipes de segurança ganham controle fino sobre quais ferramentas cada agente pode acessar, sem necesidade de envolver desenvolvedores a cada mudança de política. A conformidade regulatória fica mais robusta, já que as regras são aplicadas de forma consistente e auditável. Além disso, operações e governança tornam-se mais ágeis, permitindo ajustes rápidos de políticas conforme a necessidade.

Disponibilidade regional

O Policy no AgentCore está disponível em treze regiões da AWS: US East (N. Virginia), US East (Ohio), US West (Oregon), Asia Pacific (Mumbai), Asia Pacific (Seoul), Asia Pacific (Singapore), Asia Pacific (Sydney), Asia Pacific (Tokyo), Europe (Frankfurt), Europe (Ireland), Europe (London), Europe (Paris) e Europe (Stockholm).

Próximos passos

Organizações interessadas em começar a usar esse recurso podem acessar a documentação do Policy no AgentCore para conhecer todos os detalhes técnicos. Além disso, a AWS disponibiliza o AgentCore Starter Toolkit, um kit de início rápido que facilita os primeiros passos com a plataforma.

Fonte

Policy in Amazon Bedrock AgentCore is now generally available (https://aws.amazon.com/about-aws/whats-new/2026/03/policy-amazon-bedrock-agentcore-generally-available/)

Conformidade e segurança em nuvem: a certificação PiTuKri

A AWS anunciou a emissão do relatório de certificação PiTuKri ISAE 3000 Type II, abrangendo 183 serviços. Este é um marco importante para organizações que buscam validar a segurança de seus provedores de nuvem.

O PiTuKri (Criteria to Assess the Information Security of Cloud Services) foi desenvolvido pela Agência Finlandesa de Transportes e Comunicações (Traficom). O framework estabelece 52 critérios distribuídos em 11 domínios de segurança, funcionando como um guia estruturado para avaliação de provedores de computação em nuvem.

O que significa essa certificação

A emissão do relatório ISAE 3000 Type II por uma firma de auditoria independente constitui uma validação de que o ambiente de controle da AWS foi adequadamente projetado e está operando de forma eficaz para atender aos requisitos do PiTuKri. Em outras palavras, a certificação demonstra que a AWS cumpre os padrões de segurança estabelecidos pela Traficom para provedores de serviços em nuvem.

O relatório abrange o período de 12 meses, de 1º de outubro de 2024 a 30 de setembro de 2025.

Novos serviços incluídos no escopo

A AWS expandiu seu portfólio certificado com cinco novos serviços nesta versão do relatório:

• Amazon Verified Permissions
• AWS B2B Data Interchange
• AWS Resource Explorer
• AWS Security Incident Response
• AWS Transform

Acessando o relatório completo

O relatório PiTuKri ISAE 3000 está disponível através do AWS Artifact, um portal de autoatendimento que oferece acesso sob demanda a relatórios de conformidade da AWS. Para consultá-lo, faça login no AWS Artifact no Console de Gerenciamento da AWS, ou conheça mais detalhes no guia de primeiros passos com AWS Artifact.

Responsabilidade compartilhada em segurança

É importante ressaltar que segurança e conformidade na nuvem envolvem responsabilidades compartilhadas. Quando organizações migram seus sistemas e dados para a nuvem, as responsabilidades de segurança se dividem entre o cliente e o provedor de serviços em nuvem. Consulte o Modelo de Responsabilidade Compartilhada de Segurança da AWS para compreender melhor como essa divisão funciona em sua infraestrutura.

Para mais informações sobre programas de conformidade e segurança, consulte a documentação sobre Programas de Conformidade da AWS.

Próximos passos

Se sua organização avalia provedores de nuvem sob critérios de conformidade europeus ou adota o framework PiTuKri como referência, este relatório fornece evidências independentes sobre os controles de segurança implementados pela AWS. Dúvidas adicionais podem ser encaminhadas para a equipe de conformidade da AWS através da página de contato.

Fonte

2025 PiTuKri ISAE 3000 Type II attestation report available with 183 services in scope (https://aws.amazon.com/blogs/security/2025-pitukri-isae-3000-type-ii-attestation-report-available-with-183-services-in-scope/)

Automatizando a análise de segurança

As organizações enfrentam desafios significativos ao tentar detectar e responder rapidamente a eventos de segurança de contas de usuários, como múltiplas tentativas de login de locais incomuns. Embora informações de segurança existam espalhadas por várias aplicações, a correlação manual de dados e a execução de ações corretivas frequentemente atrasam a resposta efetiva. A AWS apresenta uma abordagem integrada que combina o Amazon Quick Suite com o Tines para automatizar o processo de investigação e remediação, integrando dados de múltiplas ferramentas de segurança e fornecendo insights visuais para tomada de decisão mais rápida.

O Amazon Quick Suite: espaço de trabalho digital alimentado por IA

O Amazon Quick Suite funciona como um espaço de trabalho digital que fornece aos usuários de negócio capacidades de IA em nível de agente para responder questões rapidamente e transformar insights em ações. A plataforma integra pesquisa alimentada por IA, inteligência de negócios (BI) e automação em uma única aplicação.

O diferencial do Quick Suite está na sua capacidade de construir fluxos de trabalho automatizados onde múltiplos assistentes de IA trabalham conjuntamente, utilizando dados corporativos e internet para responder perguntas de negócio com maior velocidade e precisão. Os usuários conectam aplicações adicionais ao Quick Suite por meio de integrações nativas e do Protocolo de Contexto de Modelo (Model Context Protocol — MCP), um padrão que normaliza a comunicação entre assistentes de IA e ferramentas externas.

Tines: plataforma de fluxo de trabalho com suporte a MCP

O Tines se apresenta como uma plataforma inteligente de orquestração de fluxos de trabalho com um servidor MCP integrado. Um servidor MCP é um programa que expõe as capacidades de uma aplicação através de um protocolo padronizado, permitindo que assistentes de IA os chamem como ferramentas.

No Tines, você define ferramentas MCP que leem ou escrevem em aplicações internas ou de terceiros. O Quick Suite pode consultar essas ferramentas diretamente. Com trilhas de auditoria completas no Tines, as organizações mantêm visibilidade e governança em cada fluxo de trabalho. Esse padrão permite que usuários do Quick Suite tragam dados proprietários ou isolados para seus fluxos de trabalho orientados por IA, sem necessidade de implantar nova infraestrutura ou escrever código de integração customizado.

Caso de uso: investigação e remediação orquestrada de segurança

Para equipes de segurança, manter-se à frente de eventos requer análise regular de dados de segurança de contas. Essa tarefa envolve triagem de informações de múltiplas fontes para determinar se há indicadores que justifiquem análise mais profunda dos dados. O Quick Suite e o Tines permitem investigar e remediar eventos de segurança usando linguagem natural, levando a decisões mais rápidas sem necessidade de scripts customizados ou correlação manual entre aplicações.

O que o Tines pode fazer quando conectado ao Quick Suite e às suas ferramentas de segurança:

• Analisar endereços de protocolo de internet (IP) no VirusTotal para avaliar risco de evento
• Recuperar detalhes de contas do Okta e BambooHR
• Revisar logs de autenticação e atividade de usuários no AWS CloudTrail
• Sinalizar endereços IP suspeitos e, após aprovação do analista, bloqueá-los no CrowdStrike

Visualização e análise de dados no Quick Suite:

Uma vez conectado, você pode visualizar os dados para obter insights imediatos, como:

• Mapeamento geográfico de tentativas de login com pontuação de risco
• Linha do tempo da atividade do usuário antes e depois de logins suspeitos
• Correlação entre contas e sistemas afetados
• Rastreamento do status de remediação para eventos de segurança

Isso permite fazer perguntas em linguagem natural, por exemplo:

• Mostrar todas as tentativas de login de países de alto risco nas últimas 24 horas
• Exibir linha do tempo de atividade do usuário
• Listar todos os sistemas que o usuário acessou
• Gerar relatório de ações de remediação tomadas para o evento de segurança

Explore casos de uso adicionais na biblioteca de histórias do Tines.

Visão geral da solução

O Tines pode ajudar a integrar-se com serviços que expõem uma API, automatizar a recuperação ou transformação desses dados e fornecer o fluxo de trabalho resultante como servidor MCP. O cliente MCP no Quick Suite pode conectar-se diretamente ao servidor MCP do Tines e acessar as ferramentas definidas nele.

Benefícios do padrão de integração:

• Uma camada de integração simples e governada entre Quick Suite e ferramentas internas ou externas
• A capacidade de conectar sistemas que atualmente não possuem servidor MCP
• Uma forma simples e poderosa de criar novas ferramentas MCP para fontes de dados customizadas sem necessidade de engenharia ou desenvolvimento customizado
• Conectividade segura e consistente sem necessidade de manter scripts ou servidores customizados

Componentes da arquitetura:

• Quick Suite: conecta-se ao servidor MCP do Tines usando o cliente MCP do Quick Suite, recupera os dados e habilita análise através de chat e dashboards
• Servidor MCP do Tines: um endpoint publicado que expõe o fluxo de trabalho como ferramenta MCP
• API de segurança ou TI: qualquer API REST que retorna dados de rede, endpoint, asset ou configuração
• Fluxo de trabalho do Tines: uma sequência de ações que recupera, normaliza ou enriquece os dados

Pré-requisitos para implementação

Para implantar essa solução, você deve ter:

• Uma conta do Quick Suite dentro de sua conta AWS com inscrição Professional e função de usuário Author ou superior. Consulte a documentação sobre integração do Protocolo de Contexto de Modelo (MCP) para mais informações
• Um tenant do Tines. Todos os planos, incluindo a Community Edition gratuita, suportam a criação de servidores MCP
• Credenciais de API para o sistema de segurança ou TI escolhido

Criando o servidor MCP no Tines

Você pode importar um servidor MCP da biblioteca de histórias do Tines para seu tenant Tines. Alternativamente, siga estas etapas para criar um servidor MCP customizado:

• Crie uma nova Story
• Abra o navegador de Templates e pesquise por MCP
• Arraste a ação MCP para o storyboard
• Escolha MCP Server no painel direito e anote a URL do servidor MCP para conectar o Quick Suite
• Adicione quantas ferramentas forem necessárias para seu fluxo de trabalho a partir da lista de templates ou configure ferramentas customizadas
• Conecte as ferramentas com sua conta nas aplicações associadas usando métodos padrão de autenticação (como chave API ou OAuth)

Você pode importar um servidor MCP da biblioteca de histórias do Tines para seu tenant.

Conectando Quick Suite ao servidor MCP do Tines

Siga estas etapas para conectar o Quick Suite ao servidor MCP do Tines:

• No console do Quick Suite, escolha Integrations no painel de navegação Connections
• Escolha a aba Actions em Existing integrations
• Escolha o sinal de adição próximo a Model Context Protocol
• Na página Create integration, insira um nome e descrição para sua integração Tines
• Para MCP server endpoint, insira a URL do servidor MCP de seu MCP server em sua Story Tines, então escolha Next
• Na próxima página, configure as definições de autenticação e escolha Create and continue para ver as ferramentas do seu servidor MCP Tines
• Escolha Next para completar a conexão

Consultando e visualizando dados no Quick Suite

Após a conexão, você pode usar o assistente de chat do Quick Suite para recuperar e explorar dados em tempo real, gerar dashboards e gráficos visuais a partir dos resultados retornados e combinar esses dados com datasets AWS existentes para análise mais ampla.

O Quick Suite seleciona e recupera automaticamente dados de sua integração Tines com base no conteúdo das mensagens de chat. Isso oferece uma forma simples e escalável de operacionalizar dados de segurança e TI usando as capacidades de BI e IA no Quick Suite.

Limpeza de recursos

Para evitar incorrer em cobranças contínuas, limpe os recursos que você criou como parte dessa solução.

Começando com o Quick Suite

Comece com o Quick Suite para criar uma instância do Quick Suite em sua conta AWS e visite a página inicial do Tines para se inscrever em uma conta Community Edition do Tines. Uma vez que você tenha acesso, poderá criar seu primeiro servidor MCP e conectar suas ferramentas de segurança e TI existentes usando os templates pré-construídos do Tines. Finalmente, configure o Quick Suite para acessar suas novas fontes de dados e comece a analisar dados através de consultas em linguagem natural.

Para mais detalhes, consulte o Guia do Usuário do Amazon Quick Suite e a documentação do servidor MCP do Tines.

Conclusão

A conexão entre Quick Suite e Tines através do MCP transforma a forma como as organizações analisam seus dados de segurança e TI. Essa solução reduz a necessidade de código de integração customizado e fornece governança centralizada de integrações, recuperação de dados padronizada e visibilidade operacional aprimorada. Equipes de segurança e TI podem estender suas capacidades analíticas para qualquer sistema habilitado para API através de uma camada única e auditável que escala em todo seu cenário de ferramentas.

Fonte

How Tines enhances security analysis with Amazon Quick Suite (https://aws.amazon.com/blogs/machine-learning/how-tines-enhances-security-analysis-with-amazon-quick-suite/)

Expansão significativa de cobertura no AWS Config

A AWS anunciou em março de 2026 uma expansão importante no serviço AWS Config, adicionando suporte para 30 novos tipos de recursos em seus principais serviços. Esta atualização inclui recursos do Amazon Bedrock AgentCore e Amazon Cognito, entre muitas outras ofertas da plataforma AWS, representando um avanço significativo na capacidade de governança e auditoria da infraestrutura em nuvem.

Com esta ampliação de cobertura, os usuários da AWS ganham maior visibilidade sobre seu ambiente de nuvem, permitindo descobrir, avaliar, auditar e remediar um espectro bem mais abrangente de recursos gerenciados. Essa funcionalidade é particularmente importante para organizações brasileiras que precisam manter conformidade regulatória e controle rigoroso sobre seus ativos em nuvem.

Como a atualização funciona automaticamente

Uma vantagem importante desta atualização é que ela opera de forma transparente. Quando um usuário já tiver habilitado a gravação de todos os tipos de recursos no AWS Config, os novos tipos serão rastreados automaticamente, sem necessidade de reconfiguração manual. Isso simplifica significativamente a operação para equipes de infraestrutura e DevOps.

Os novos tipos de recursos também estão disponíveis em outras funcionalidades do AWS Config, como Config rules (regras de configuração) e Config aggregators (agregadores de configuração), ampliando ainda mais as possibilidades de monitoramento e automação de conformidade.

Novos tipos de recursos agora suportados

O AWS Config agora pode monitorar os seguintes tipos de recursos em todas as regiões da AWS onde esses serviços estão disponíveis:

• AWS::AppSync::DataSource
• AWS::Batch::ConsumableResource
• AWS::Bedrock::DataSource
• AWS::BedrockAgentCore::Gateway
• AWS::BedrockAgentCore::Memory
• AWS::Cognito::IdentityPoolRoleAttachment
• AWS::Cognito::LogDeliveryConfiguration
• AWS::Cognito::UserPoolUICustomizationAttachment
• AWS::Connect::RoutingProfile
• AWS::DataBrew::Dataset
• AWS::DataBrew::Job
• AWS::DataBrew::Project
• AWS::DataBrew::Recipe
• AWS::DataBrew::Ruleset
• AWS::DataBrew::Schedule
• AWS::Deadline::LicenseEndpoint
• AWS::Deadline::QueueEnvironment
• AWS::Detective::OrganizationAdmin
• AWS::GameLift::ContainerFleet
• AWS::GameLift::ContainerGroupDefinition
• AWS::GameLift::GameServerGroup
• AWS::GameLift::Location
• AWS::IoT::TopicRule
• AWS::Omics::ReferenceStore
• AWS::PCAConnectorAD::Template
• AWS::PCAConnectorSCEP::Challenge
• AWS::ResourceExplorer2::View
• AWS::ResourceGroups::Group
• AWS::Scheduler::ScheduleGroup
• AWS::VerifiedPermissions::IdentitySource

Disponibilidade e próximos passos

Todos esses tipos de recursos estão disponíveis em todas as regiões da AWS onde os serviços correspondentes estão operacionais. Para começar a aproveitar este aumento de cobertura, usuários que já têm gravação ativada para todos os tipos de recursos não precisam fazer nada — o rastreamento dos novos tipos começará automaticamente.

Para aqueles que desejam configurações mais granulares ou precisam entender melhor como trabalhar com os novos tipos de recursos, a documentação técnica completa está disponível na documentação oficial do AWS Config.

Fonte

AWS Config now supports 30 new resource types (https://aws.amazon.com/about-aws/whats-new/2026/03/aws-config-new-resource-types/)

Introdução: Agentes de IA e Controle de Acesso na AWS

Conforme agentes de IA se integram nos fluxos de trabalho de desenvolvimento na Amazon Web Services (AWS), surge um desafio importante: como conceder a esses agentes permissões para operar com recursos AWS sem criar modelos de controle de acesso paralelos e sem comprometer a segurança? A AWS respondeu a essa demanda durante o evento re:Invent 2025, apresentando quatro servidores gerenciados do Protocolo de Contexto do Modelo (MCP) em fase de visualização prévia.

A abordagem inovadora da plataforma oferece flexibilidade significativa: os agentes de IA trabalham com suas credenciais AWS existentes, aproveitando as mesmas políticas de Identidade e Acesso (IAM) já estabelecidas. Ao mesmo tempo, as organizações ganham a capacidade de implementar controles de governança específicos para diferenciar chamadas de API realizadas por agentes de IA daquelas executadas diretamente por desenvolvedores.

Os Servidores MCP Gerenciados da AWS

A AWS lançou quatro servidores remotos gerenciados do MCP: AWS, EKS e ECS, além do SageMaker. Diferentemente das implementações locais, esses servidores são hospedados e gerenciados pela AWS, eliminando a necessidade de instalação e manutenção manual. A plataforma oferece atualizações automáticas, resiliência, escalabilidade e auditoria completa através do AWS CloudTrail.

Por exemplo, o AWS MCP Server permite aos agentes de IA acessar documentação de AWS e executar chamadas para mais de 15 mil APIs disponíveis, possibilitando que realizem tarefas complexas e em múltiplas etapas, como configurar redes privadas virtuais (VPCs) ou estabelecer alarmes no Amazon CloudWatch.

Contextos de IAM Padronizados: O Cerne do Controle

O ponto central da solução reside em dois contextos de IAM padronizados que funcionam consistentemente em todos os servidores MCP gerenciados pela AWS:

As Duas Chaves de Contexto Principais

aws:ViaAWSMCPService (booleano) — Assume o valor verdadeiro quando a requisição provém através de um servidor MCP gerenciado pela AWS. Utilize essa chave para permitir ou negar todas as ações iniciadas pelo MCP.

aws:CalledViaAWSMCP (cadeia de texto, valor único) — Contém o identificador do serviço principal do servidor MCP (por exemplo, aws-mcp.amazonaws.com, eks-mcp.amazonaws.com, ecs-mcp.amazonaws.com). Empregue essa chave quando precisar permitir ou negar ações originadas de servidores MCP específicos. Conforme novos servidores MCP forem disponibilizados, esse campo incorporará seus identificadores, permitindo configurar acesso refinado aos recursos AWS através de políticas de IAM e de controle de serviço (SCP).

Implementando Políticas de Segurança em Camadas

Para organizações que desejam desabilitar completamente o acesso via servidores MCP em toda a organização ou em unidades organizacionais específicas, é possível utilizar uma política de controle de serviço (SCP) para negar ações quando acessadas através dos servidores MCP:

{ "Version": "2012-10-17", "Statement": [ { "Sid": "DenyAllActionsViaMCP", "Effect": "Deny", "Action": "*", "Resource": "*", "Condition": { "Bool": { "aws:ViaAWSMCPService": "true" } } } ] }

Em outro cenário, você pode autorizar agentes de IA utilizando o AWS MCP Server a ler baldes do Amazon Simple Storage Service (Amazon S3), mas recusar operações de exclusão. O AWS MCP Server fornece a ferramenta aws___call_aws, capaz de executar qualquer operação de API da AWS, incluindo operações de S3:

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowS3ReadOperations", "Effect": "Allow", "Action": [ "s3:GetObject", "s3:ListBucket" ], "Resource": "*" }, { "Sid": "DenyDeleteWhenAccessedViaMCP", "Effect": "Deny", "Action": [ "s3:DeleteObject", "s3:DeleteBucket" ], "Resource": "*", "Condition": { "Bool": { "aws:ViaAWSMCPService": "true" } } } ] }

Você também pode restringir o acesso apenas a servidores MCP específicos. Por ilustração, permitir operações EKS somente quando chamadas através do servidor MCP para EKS, não através do servidor MCP geral da AWS:

{ "Version": "2012-10-17", "Statement": [ { "Sid": "AllowEKSOperationsViaEKSMCP", "Effect": "Allow", "Action": "eks:*", "Resource": "*", "Condition": { "StringEquals": { "aws:CalledViaAWSMCP": "eks-mcp.amazonaws.com" } } }, { "Sid": "DenyEKSOperationsViaOtherMCP", "Effect": "Deny", "Action": "eks:*", "Resource": "*", "Condition": { "StringNotEquals": { "aws:CalledViaAWSMCP": "eks-mcp.amazonaws.com" } } } ] }

Simplificação do Modelo de Autorização

Baseando-se em retorno dos clientes, a AWS está simplificando o modelo de autorização para funcionar de forma equivalente ao AWS Command Line Interface (AWS CLI) e aos SDKs que você já utiliza. A partir de breve, deixará de ser necessário separar ações de IAM específicas do MCP (como aws-mcp:InvokeMCP) para interagir com servidores MCP gerenciados pela AWS.

Nessa abordagem revisada, o servidor MCP adiciona os contextos padronizados de IAM (aws:ViaAWSMCPService e aws:CalledViaAWSMCP) à sua requisição e a encaminha ao serviço AWS a jusante. O servidor MCP continua autenticando a requisição utilizando SigV4 como antes. Posteriormente, o serviço a jusante realiza a verificação de autorização com base em suas políticas de IAM vigentes, que podem referenciar essas chaves de contexto para implementar controle refinado.

Isso signifi que seus agentes de IA funcionam com suas credenciais AWS existentes e com as permissões de nível de serviço, dispensando a necessidade de ações de IAM isoladas para MCP e diminuindo a complexidade operacional.

Segurança em Profundidade com VPC Endpoints

A AWS está desenvolvendo suporte para pontos de extremidade de nuvem privada virtual (VPC endpoints) nos servidores MCP gerenciados, atendendo à demanda de clientes em setores regulados que exigem controles a nível de rede. Organizações em segmentos como serviços financeiros e saúde necessitam de comunicação via rede privada para cumprir mandatos de conformidade.

Com os VPC endpoints, todo o tráfego de agentes de IA permanece na rede privada, eliminando exposição através da internet pública. Quando você configura um ponto de extremidade VPC, o servidor MCP realiza uma verificação de autorização no nível do endpoint VPC antes de encaminhar requisições aos serviços AWS a jusante. Isso estabelece uma estratégia de defesa em profundidade, onde você controla acesso tanto no perímetro de rede (VPC endpoint) quanto no nível de serviço (políticas de IAM).

Você pode combinar VPC endpoints com as chaves de contexto aws:ViaAWSMCPService e aws:CalledViaAWSMCP para implantar controles de segurança em camadas que satisfaçam os critérios específicos de governança e conformidade da sua organização. Detalhes adicionais sobre chaves de contexto e padrões de exemplo estarão disponíveis quando o suporte para VPC endpoints for lançado.

Considerações Importantes para Implementação

Ao executar a autorização de IAM para servidores MCP, você precisa tomar decisões sobre padrões de implementação, design de políticas e práticas operacionais. As seguintes recomendações podem ajudar na escolha da abordagem correta para seu ambiente:

Desenho de Políticas de IAM

Conceda apenas o acesso necessário e refine as políticas regularmente, removendo permissões não utilizadas ao longo do tempo. Use as chaves de contexto para diferenciar chamadas através de soluções de IA de ações diretas de desenvolvedores, mantendo uma postura de segurança coerente em sua infraestrutura.

Segurança e Conformidade

Os VPC endpoints ajudam a atender aos requisitos de comunicação de rede privada em setores regulados. Eles proporcionam um mecanismo adicional de segurança para ambientes que enfrentam exigências estritas de isolamento de rede e conformidade regulatória.

Iniciando a Jornada

Comece com o padrão de implementação que se alinha às suas necessidades atuais. Inicie com políticas de IAM restritivas e flexibilize-as conforme você compreenda melhor os requisitos de seus agentes de IA. Monitore os registros do CloudTrail para observar quais ações seus agentes de IA realizam e utilize esses dados para refinar suas políticas progressivamente.

Conclusão

A AWS entrega às organizações o controle necessário para governar o acesso de agentes de IA aos recursos AWS através dos Servidores MCP Gerenciados, utilizando as mesmas políticas de IAM e ferramentas nas quais você já confia. Os contextos padronizados de IAM (aws:ViaAWSMCPService e aws:CalledViaAWSMCP) estão disponíveis em todos os servidores MCP gerenciados pela AWS, oferecendo controle granular para diferenciar chamadas via soluções de IA de ações iniciadas por pessoas em nível de serviço.

Em lançamentos futuros, os servidores MCP gerenciados da AWS funcionarão sem a necessidade de ações de IAM isoladas através de endpoints públicos, simplificando a gestão de políticas de IAM. Haverá também suporte para VPC endpoints, com segurança aprimorada mediante autorização em duas fases e controles de perímetro de rede para organizações que exigem restrições de acesso adicionais.

Consulte a documentação específica de seu servidor MCP gerenciado para confirmar se oferece suporte ao novo modelo de autorização de endpoint público e aos VPC endpoints. Seja você desenvolvendo assistentes de codificação com IA ou construindo aplicações com agentes autônomos, comece a implementar esses controles hoje para proteger seus fluxos de trabalho de IA, mantendo ao mesmo tempo a flexibilidade de definir regras de acesso que reflitam a postura de segurança da sua organização.

Fonte

Understanding IAM for Managed AWS MCP Servers (https://aws.amazon.com/blogs/security/understanding-iam-for-managed-aws-mcp-servers/)

Controles de Criptografia em VPC ganham modelo de precificação

A AWS anunciou a transição para um modelo de precificação para os Controles de Criptografia em VPC, um recurso de segurança e conformidade que permite às organizações auditar e aplicar criptografia em trânsito para todos os fluxos de tráfego dentro de e entre Nuvens Privadas Virtuais (VPCs) em uma região.

Como funcionam os Controles de Criptografia em VPC

O recurso oferece dois modos de operação distintos:

• Modo Monitor: detecta a presença de qualquer tráfego não criptografado dentro da VPC, permitindo uma análise do cenário atual sem impor restrições.
• Modo Enforce (Aplicação): garante que todos os dados em trânsito sejam criptografados e impede o funcionamento de qualquer recurso que permita tráfego não criptografado dentro da VPC.

Modelo de precificação a partir de março de 2026

A partir de 1º de março de 2026, os Controles de Criptografia em VPC deixaram o período de preview gratuito e passaram a funcionar sob um modelo de preço por hora. A cobrança segue a seguinte lógica:

• Cada VPC não vazia (aquela que possui interfaces de rede) com Controles de Criptografia habilitados em modo monitor ou modo enforce será cobrada por uma taxa horária fixa.
• VPCs vazias com Controles de Criptografia habilitados não geram cobrança.
• Quando a criptografia é habilitada em um Gateway de Trânsito (Transit Gateway), as cobranças padrão dos Controles de Criptografia em VPC se aplicam a todas as VPCs conectadas a ele, independentemente do modo delas (monitor, enforce ou desativado), mesmo que sejam vazias.

Próximos passos

Para compreender melhor como funcionam os Controles de Criptografia em VPC e consultar os preços detalhados por região, a AWS disponibiliza documentação sobre Controles de Criptografia em VPC e a página de precificação de VPC, onde é possível encontrar as informações mais atualizadas para planejar o investimento em segurança de dados em trânsito.

Fonte

AWS announces pricing for VPC Encryption Controls (https://aws.amazon.com/about-aws/whats-new/2026/03/vpc-encryption-controls-pricing/)