Blog

  • Como construir uma solução de sincronização automática para o Amazon Bedrock Knowledge Bases

    O problema: sincronização manual não escala

    O Amazon Bedrock Knowledge Bases permite que modelos de fundação (Foundation Models — FMs) e agentes de IA utilizem dados privados da organização para entregar respostas mais relevantes e precisas. Mas há um detalhe importante: sempre que documentos são adicionados, modificados ou excluídos no Amazon Simple Storage Service (Amazon S3), a base de conhecimento precisa ser ressincronizada — e, por padrão, esse processo é manual.

    Em ambientes com atualizações frequentes, múltiplas equipes fazendo upload de arquivos ao longo do dia ou aplicações como sistemas de suporte ao cliente que exigem acesso imediato às informações mais recentes, depender de sincronização manual é um gargalo real. Sem automação, requests de sync se acumulam, exigem supervisão humana e ficam sujeitos a atrasos ou simplesmente serem esquecidos.

    Para resolver isso, a AWS publicou um guia com uma solução automatizada que detecta eventos no S3 e dispara jobs de ingestão de forma inteligente, respeitando as cotas de serviço do Amazon Bedrock e oferecendo monitoramento abrangente.

    Restrições que a solução precisa respeitar

    Antes de entrar na arquitetura, é importante entender os limites impostos pelo Amazon Bedrock que qualquer solução de automação precisa considerar:

    • Máximo de 5 jobs de ingestão simultâneos por conta AWS
    • Máximo de 1 job por knowledge base
    • Máximo de 1 job por data source

    Além disso, a API StartIngestionJob tem um rate limit de 0,1 requisições por segundo — ou seja, uma requisição a cada 10 segundos por Região. Esses limites valem por Região AWS e podem mudar; consulte as cotas de serviço do Amazon Bedrock para informações atualizadas.

    Imagine um time de conteúdo atualizando vários arquivos durante uma release. Sem coordenação, os requests de sync se acumulam e ultrapassam os limites. Uma abordagem orquestrada resolve isso de forma transparente.

    Visão geral da solução

    A solução proposta é totalmente serverless, utiliza o AWS Serverless Application Model (AWS SAM) para deploy e não exige gerenciamento de infraestrutura. Ela é orientada a eventos e combina cinco serviços AWS para processar mudanças no S3 em tempo real enquanto gerencia os jobs de ingestão de forma inteligente:

    As cinco fases da arquitetura

    Fase 1: Detecção de mudanças nos documentos

    Quando um documento é criado, modificado ou excluído no S3, o EventBridge captura o evento imediatamente. Uma função Lambda processa esses eventos sequencialmente: extrai metadados do arquivo (caminho, tipo de mudança, timestamp), cria uma entrada de rastreamento no DynamoDB para fins de auditoria e envia uma mensagem para a fila SQS.

    # Event Processor Lambda extracts change information
    def lambda_handler(event, context):
        for record in event.get('Records', []):
            # Extract S3 information
            bucket = record['s3']['bucket']['name']
            key = record['s3']['object']['key']
            event_name = record['eventName']
    
            # Determine change type
            change_type = get_change_type(event_name)
    
            # Create tracking entry in DynamoDB
            tracking_table.put_item(
                Item={
                    'change_id': str(uuid.uuid4()),
                    'knowledge_base_id': kb_id,
                    'change_type': change_type,
                    'key': key,
                    'processed': False,
                    'timestamp': datetime.utcnow().timestamp()
                }
            )
    
            # Send immediate notification to SQS
            sqs.send_message(
                QueueUrl=QUEUE_URL,
                MessageBody=json.dumps({
                    'change_type': change_type,
                    'bucket': bucket,
                    'key': key,
                    'knowledge_base_id': kb_id
                })
            )

    Fase 2: Gerenciamento da fila

    O SQS atua como buffer para garantir que o rate limit entre os jobs de sync seja respeitado. Uma segunda função Lambda consome uma mensagem por vez da fila e inicia uma execução no Step Functions com os detalhes da mudança e a configuração da knowledge base.

    def lambda_handler(event, context):
        for record in event.get('Records', []):
            message = json.loads(record['body'])
            kb_id = message['knowledge_base_id']
    
            # Get or discover data source ID
            data_source_id = get_data_source_id(kb_id)
    
            # Start Step Functions workflow
            sfn_input = {
                'knowledge_base_id': kb_id,
                'data_source_id': data_source_id,
                'message': message
            }
    
            response = sfn.start_execution(
                stateMachineArn=STEP_FUNCTION_ARN,
                name=f"sync-{kb_id}-{int(datetime.utcnow().timestamp())}",
                input=json.dumps(sfn_input)
            )

    Fase 3: Sincronização orquestrada

    O Step Functions coordena o processo de sincronização com lógica de decisão para gerenciar as cotas. O fluxo verifica se há jobs ativos, inicia o sync imediatamente se as cotas permitirem ou aguarda 5 minutos antes de tentar novamente. Inclui também monitoramento do progresso e tratamento de falhas com retry automático.

    {
      "Comment": "Workflow for syncing documents to Amazon Bedrock Knowledge Base",
      "StartAt": "CheckServiceQuota",
      "States": {
        "CheckServiceQuota": {
          "Type": "Task",
          "Resource": "${CheckQuotaFunctionArn}",
          "Next": "EvaluateQuotaCheck"
        },
        "EvaluateQuotaCheck": {
          "Type": "Choice",
          "Choices": [
            {
              "Variable": "$.quota_check.all_quotas_ok",
              "BooleanEquals": true,
              "Next": "StartSyncJob"
            },
            {
              "Variable": "$.quota_check.all_quotas_ok",
              "BooleanEquals": false,
              "Next": "QuotaExceeded"
            }
          ]
        },
        "QuotaExceeded": {
          "Type": "Wait",
          "Seconds": 300,
          "Next": "CheckServiceQuota"
        },
        "StartSyncJob": {
          "Type": "Task",
          "Resource": "${StartSyncFunctionArn}",
          "Next": "MonitorSyncJob"
        }
      }
    }

    Fase 4: Processamento pela knowledge base

    Nesta fase, o Amazon Bedrock processa o conteúdo sincronizado: escaneia os documentos alterados, divide-os em chunks, converte cada trecho em embeddings vetoriais usando o modelo configurado e atualiza o índice vetorial — removendo embeddings desatualizados e inserindo os novos. O conteúdo atualizado fica imediatamente disponível para busca semântica.

    Fase 5: Monitoramento e alertas

    A solução inclui monitoramento completo: o DynamoDB registra o status de cada mudança de documento, o Amazon CloudWatch rastreia duração dos jobs, taxas de sucesso e utilização de cotas, alarmes são disparados quando a taxa de erros ultrapassa limites definidos, e notificações de sucesso ou falha são enviadas via Amazon SNS para os endereços configurados.

    Recursos-chave da solução

    Processamento de eventos em tempo real

    A integração com o EventBridge garante que mudanças no S3 sejam capturadas imediatamente, sem depender de processos agendados. A resposta é praticamente instantânea.

    Gerenciamento completo de cotas

    A solução valida os limites do serviço antes de disparar qualquer job:

    # Service quotas validation
    MAX_CONCURRENT_JOBS_PER_ACCOUNT = 5
    MAX_CONCURRENT_JOBS_PER_DATA_SOURCE = 1
    MAX_CONCURRENT_JOBS_PER_KB = 1
    MAX_FILE_SIZE_BYTES = 50 * 1024 * 1024 * 1024  # 50 GB
    MAX_TOTAL_SIZE_BYTES = 100 * 1024 * 1024 * 1024  # 100 GB
    
    def check_quotas(kb_id, data_source_id):
        # Get current active jobs
        response = bedrock.list_ingestion_jobs(
            knowledgeBaseId=kb_id,
            dataSourceId=data_source_id
        )
        active_jobs = [job for job in response['ingestionJobSummaries']
                       if job['status'] in ['STARTING', 'IN_PROGRESS']]
        return {
            'all_quotas_ok': len(active_jobs) == 0,
            'kb_quota_ok': len(active_jobs) < MAX_CONCURRENT_JOBS_PER_KB
        }

    Rate limiting inteligente via SQS

    A fila SQS é configurada para processar uma mensagem por vez, com retenção de 14 dias e dead letter queue para mensagens que falharem após 5 tentativas:

    SyncQueue:
      Type: AWS::SQS::Queue
      Properties:
        VisibilityTimeout: 300
        MessageRetentionPeriod: 1209600  # 14 days
        RedrivePolicy:
          deadLetterTargetArn: !GetAtt SyncQueueDLQ.Arn
          maxReceiveCount: 5
    
    SyncProcessorFunction:
      Events:
        SQSEvent:
          Type: SQS
          Properties:
            Queue: !GetAtt SyncQueue.Arn
            BatchSize: 1  # Process one message at a time

    Pré-requisitos para o deploy

    Antes de implantar a solução, é necessário ter:

    O tempo estimado para o deploy da infraestrutura é de 5 a 10 minutos.

    Passo a passo do deploy

    Para implantar a solução, clone o repositório no GitHub e execute os comandos abaixo:

    git clone https://github.com/aws-samples/sample-automatic-sync-for-bedrock-knowledge-bases
    cd sample-automatic-sync-for-bedrock-knowledge-bases

    Em seguida, faça o build e o deploy guiado:

    sam build
    sam deploy --guided

    Durante o deploy, você será solicitado a informar os seguintes parâmetros:

    • Stack Name — nome para sua stack do CloudFormation (padrão: kb-auto-sync)
    • AWS Region — Região onde sua knowledge base existe (padrão: us-west-2)
    • KnowledgeBaseId — identificador da sua knowledge base no Amazon Bedrock
    • S3BucketName — nome do bucket S3 com seus documentos
    • S3KeyPrefix (opcional) — prefixo de pasta específico para sincronizar (ex: documents/)
    • NotificationsEmail (opcional) — e-mail para receber notificações dos jobs
    • MaxConcurrentJobs — número máximo de jobs simultâneos (padrão: 5)

    Exemplo de entrada durante o deploy:

    Setting default arguments for sam deploy
    ===============================
    Stack Name [kb-auto-sync]: my-kb-sync
    AWS Region [us-west-2]: us-east-1
    Parameter KnowledgeBaseId: kb-1234567890
    Parameter S3BucketName: my-document-bucket
    Parameter S3KeyPrefix: documents/
    Parameter NotificationsEmail: user@example.com
    Allow SAM CLI IAM role creation [Y/n]: Y
    Save arguments to configuration file [Y/n]: Y

    Considerações de custo

    A solução usa múltiplos serviços AWS com modelos de cobrança distintos. Para uma estimativa de uso típico com 10.000 documentos por mês:

    Os outros serviços têm custos mínimos para esse volume. No geral, a solução é bastante econômica para organizações que precisam de sincronização em tempo real.

    Troubleshooting: problemas mais comuns

    Falha no job de sincronização

    Pode ocorrer quando as permissões do IAM estão mal configuradas ou quando o tamanho dos documentos ultrapassa os limites permitidos. Para resolver: verifique o histórico de sincronização da data source no console do Amazon Bedrock, confirme que as permissões IAM estão corretas e valide que os documentos estão dentro dos tamanhos permitidos.

    Rate limiting

    Acontece quando muitas requisições de sync são processadas simultaneamente ou as cotas de serviço são atingidas. Para resolver: monitore as métricas no CloudWatch para identificar gargalos e ajuste as configurações de concorrência conforme necessário.

    Limpeza dos recursos

    Para evitar cobranças contínuas, remova a stack criada com um dos métodos abaixo.

    Via AWS SAM:

    # Deleção interativa (recomendada)
    sam delete \
      --stack-name kb-auto-sync \
      --region YOUR_REGION
    
    # Ou deleção não-interativa
    sam delete \
      --stack-name kb-auto-sync \
      --region YOUR_REGION \
      --no-prompts

    Via console do AWS CloudFormation: selecione a stack kb-auto-sync, clique em Delete e confirme. Aguarde a conclusão sem erros.

    Após a deleção, permanecerão: os documentos originais no S3, a knowledge base do Amazon Bedrock, os logs do CloudWatch (até o período de retenção expirar) e quaisquer recursos criados manualmente fora da stack.

    Recursos adicionais

    Para aprofundar o conhecimento sobre os temas abordados, a AWS disponibiliza os seguintes recursos:

    Fonte

    Build and deploy an automatic sync solution for Amazon Bedrock Knowledge Bases (https://aws.amazon.com/blogs/machine-learning/build-and-deploy-an-automatic-sync-solution-for-amazon-bedrock-knowledge-bases/)

  • Como estruturar um POC do AWS Security Hub para otimizar suas operações de segurança

    O que é o AWS Security Hub e por que fazer um POC?

    O AWS Security Hub chegou à disponibilidade geral trazendo uma proposta bastante ambiciosa: centralizar e priorizar os problemas críticos de segurança de toda a sua infraestrutura AWS em um único lugar. O serviço agrega, correlaciona e enriquece sinais nativos de segurança da AWS, transformando-os em insights acionáveis que permitem respostas mais rápidas e eficientes.

    Para times que ainda não conhecem o serviço na prática, a AWS oferece um período de teste gratuito que permite montar uma Prova de Conceito (POC) completa — sem grande investimento de tempo ou recursos logo de cara. Este guia percorre as etapas recomendadas para planejar e executar esse POC de forma estruturada.

    Entendendo o valor do Security Hub

    O Security Hub funciona como uma Plataforma de Proteção de Aplicações Nativas em Nuvem (CNAPP — Cloud-Native Application Protection Platform). Ele ingere sinais de múltiplos serviços AWS e soluções parceiras, consolidando tudo em uma visão única. As fontes de sinal incluem:

    Imagem original — fonte: Aws

    Na prática, o serviço entrega quatro capacidades principais em uma solução unificada:

    • Operações de segurança unificadas: todos os sinais de segurança em uma única visão consolidada, eliminando a necessidade de alternar entre múltiplas ferramentas. Isso inclui visibilidade sobre ambientes AWS, multi-cloud e on-premises.
    • Priorização inteligente: o Security Hub correlaciona findings analisando relações entre recursos e sinais de diferentes serviços, ajudando a identificar riscos críticos que seriam difíceis de perceber isoladamente.
    • Insights acionáveis: por meio de análise avançada, o serviço transforma findings correlacionados em insights claros e priorizados, permitindo entender rapidamente o impacto potencial e quais problemas representam maior risco.
    • Resposta e automação simplificadas: integração com sistemas de gestão de incidentes como Jira Cloud e ServiceNow, permitindo investigar riscos críticos a partir de um único painel, monitorar tendências e automatizar respostas.

    O papel do OCSF na integração de ferramentas

    O Security Hub adota o Framework Aberto de Esquema de Cibersegurança (OCSF — Open Cybersecurity Schema Framework) para padronizar os dados de segurança. Essa padronização simplifica como os findings são estruturados e analisados, permitindo integração e troca de dados entre diferentes ferramentas de segurança com formatos normalizados e consistentes.

    Ao planejar seu POC, é importante se familiarizar com as especificações OCSF que o Security Hub utiliza e confirmar que as ferramentas de análise ou sistemas de Informação de Segurança e Gerenciamento de Eventos (SIEM — Security Information and Event Management) que você pretende integrar suportam esse formato.

    Definindo critérios de sucesso

    Antes de habilitar qualquer serviço, é fundamental estabelecer critérios de sucesso que conectem os resultados do POC aos objetivos do negócio. Alguns exemplos de indicadores-chave de desempenho (KPI — Key Performance Indicator) recomendados:

    • Consolidação de alertas: medir a redução do esforço de correlação de eventos de segurança, especialmente os processos realizados fora da AWS ou via SIEM.
    • Melhoria no tempo de resposta: redução do Tempo Médio de Detecção (MTTD — Mean Time to Detect) e do Tempo Médio de Resposta (MTTR — Mean Time to Respond) para findings críticos, além de maior precisão na análise de caminhos de ataque.
    • Capacidades de automação: avaliar quais partes dos playbooks de resposta a incidentes podem ser automatizadas, incluindo roteamento automático de findings para as equipes corretas via Jira Cloud, ServiceNow ou ferramentas de terceiros.
    • Classificação de severidade e risco: reduzir o tempo para identificar recursos críticos e lacunas de cobertura afetados por novas vulnerabilidades, ameaças e configurações incorretas.

    Após definir os critérios, avalie a maturidade atual do ambiente: quais serviços de segurança já estão habilitados, quais são as cargas de trabalho críticas, e se há restrições organizacionais que possam impactar a implementação.

    Maximizando o valor do POC com os períodos de teste gratuito

    Para aproveitar ao máximo a avaliação, a AWS recomenda ativar os serviços subjacentes de forma coordenada, sobrepondo os períodos de teste gratuito disponíveis:

    • Security Hub: 30 dias de teste (capacidades do plano essencial)
    • GuardDuty: 30 dias de teste (cobre a maioria dos planos de proteção, exceto o GuardDuty Malware Protection)
    • Security Hub CSPM: 30 dias de teste
    • Macie: 30 dias de teste
    • Amazon Inspector: 15 dias de teste

    A recomendação é habilitar todos esses serviços simultaneamente para garantir pelo menos duas semanas de cobertura sobreposta, permitindo avaliar as capacidades completas de correlação e priorização de riscos. Se houver limitações, é possível iniciar o POC habilitando apenas o Security Hub CSPM e o Amazon Inspector.

    Dica importante: documente as datas de ativação e expiração dos testes. Crie lembretes no calendário e agende os marcos de avaliação do POC enquanto os serviços ainda estiverem ativos.

    Configurando o Security Hub

    Com os critérios de sucesso definidos, é hora de planejar a configuração. As principais decisões envolvem:

    • Administrador delegado: a partir da conta de gerenciamento do AWS Organizations, é possível definir um administrador delegado para o Security Hub. A recomendação da Arquitetura de Referência de Segurança AWS (AWS SRA) é usar o mesmo administrador delegado em todos os serviços de segurança para uma governança consistente.
    • Contas e regiões em escopo: definir quais contas e regiões AWS terão o Security Hub habilitado.
    • Integrações com serviços AWS: além das capacidades principais de CSPM e gerenciamento de vulnerabilidades, o Security Hub integra sinais de GuardDuty e Macie.
    • Integrações com terceiros: para gestão de tickets, o serviço integra com Jira Service Management Cloud e ServiceNow. Parceiros que já suportam ou pretendem suportar o esquema OCSF incluem Dynatrace, Netskope, Orca Security, SentinelOne, Sumo Logic, Tines, Wiz, entre outros como Arctic Wolf, CrowdStrike, DataBee, Datadog, Fortinet, IBM, Palo Alto Networks, Rapid7, Securonix, Sophos, Splunk, Trellix e Zscaler. Parceiros de serviços como Accenture, Caylent, Deloitte, IBM e Optiv também podem ajudar na adoção.
    • Estimativa de custos: utilize a Ferramenta de Estimativa de Custos do Security Hub para obter uma estimativa pré-habilitação com base no gasto atual em Amazon Inspector, Security Hub CSPM e GuardDuty.

    Preparando o deployment

    Com a configuração definida, o próximo passo é preparar o projeto com um plano estruturado. A linha do tempo sugerida é:

    • Antes da habilitação: validar a configuração dos serviços de segurança base (GuardDuty, Amazon Inspector, Security Hub CSPM e Macie) e obter as aprovações necessárias para o teste gratuito.
    • Dia 0: habilitar o serviço, familiarizar-se com o layout do Security Hub e iniciar o treinamento da equipe de segurança.
    • Semana 1: validar a cobertura desejada de detecção de ameaças, gerenciamento de vulnerabilidades e gerenciamento de postura em todas as contas e regiões.
    • Semana 2: conectar às ferramentas de Gerenciamento de Serviços de TI (ITSM — IT Service Management) e iniciar a criação de automações para cargas de trabalho e recursos críticos.
    • Semana 3: executar um exercício de simulação (tabletop exercise) em resposta a um finding de exposição selecionado.
    • Semana 4: analisar tendências de ameaças e exposições desde o dia 1 até a semana 4.

    Na parte de acessos e permissões, é recomendado configurar funções do AWS Identity and Access Management (IAM) alinhadas a uma matriz de Responsabilidade, Autoridade, Consulta e Informação (RACI), incluindo funções de gerenciamento de casos, escalonamento e acesso somente leitura usando Políticas Gerenciadas da AWS. Também é necessário configurar o acesso à conta de gerenciamento para delegação administrativa — veja os detalhes em Permissões necessárias para designar uma conta administradora delegada do Security Hub.

    Habilitando o Security Hub

    O Security Hub se integra ao AWS Organizations para facilitar o gerenciamento centralizado. O mínimo necessário para aproveitar as capacidades de correlação é habilitar o Security Hub CSPM e o Amazon Inspector. A combinação desses dois serviços fornece a telemetria necessária para o mecanismo de correlação do Security Hub e para os findings de exposição.

    Para habilitar o Security Hub para sua organização, acesse a conta de gerenciamento. Se for definir um administrador delegado, consulte a documentação sobre como configurar uma conta administradora delegada no Security Hub e aplique a política adequada para controle granular por região e por conta membro.

    O Security Hub oferece os planos Essentials, Threat Analytics e Extended. Após a habilitação, os findings de exposição são criados e analisados imediatamente — porém, pode levar até 6 horas para que um finding de exposição para um recurso específico seja gerado.

    Validando o deployment

    A etapa final é confirmar que o Security Hub está configurado corretamente e avaliar os resultados em relação aos critérios de sucesso definidos no início:

    • Validar políticas: verificar se as permissões para gerenciar contas membro e as restrições regionais estão configuradas corretamente.
    • Validar integrações: confirmar que os tickets no ServiceNow ou Jira Cloud estão sendo criados corretamente, verificando se há um ID de ticket associado aos findings no console do Security Hub.
    • Avaliar critérios de sucesso: determinar se os objetivos definidos no início do projeto foram alcançados.

    Conclusão

    O AWS Security Hub oferece uma abordagem estruturada para unificar e priorizar operações de segurança em nuvem. Seguindo as fases descritas — definição de critérios de sucesso, configuração, preparação e validação — é possível realizar uma avaliação completa aproveitando os períodos de teste gratuito sem incorrer em custos significativos.

    Durante o POC, vale manter o foco nos critérios predefinidos, mas também estar aberto a benefícios ou desafios inesperados que possam surgir. Para dúvidas técnicas, o time de conta AWS pode apoiar durante todo o processo.

    Recursos adicionais

    Fonte

    Optimize security operations through an AWS Security Hub POC (https://aws.amazon.com/blogs/security/how-to-develop-an-aws-security-hub-poc/)

  • AWS KMS agora rastreia o último uso de todas as chaves KMS

    O que mudou no AWS KMS

    A AWS anunciou uma melhoria importante no Serviço de Gerenciamento de Chaves (KMS): a partir de agora, o serviço registra automaticamente o último uso criptográfico de cada chave KMS. Isso elimina a necessidade de consultar e analisar logs manualmente para descobrir quando uma chave foi utilizada pela última vez.

    Para equipes de segurança e conformidade, essa visibilidade é um ganho real no dia a dia. Antes, identificar se uma chave estava ativa ou abandonada exigia cruzar dados do AWS CloudTrail de forma manual — um processo trabalhoso e sujeito a erros.

    O que é possível visualizar

    Com o novo recurso, é possível consultar, diretamente pelo console de gerenciamento do AWS KMS ou via API, as seguintes informações sobre cada chave:

    • O timestamp da última operação criptográfica realizada;
    • O tipo de operação que foi executada;
    • O ID do evento no AWS CloudTrail associado àquela operação.

    Casos de uso práticos

    A AWS destaca três aplicações diretas para esse novo recurso:

    • Identificar chaves sem uso para limpeza e organização do ambiente;
    • Confirmar que chaves críticas estão sendo usadas ativamente, o que é essencial para auditorias de conformidade;
    • Rastrear como as chaves são utilizadas em conjunto com o AWS CloudTrail, facilitando investigações e revisões de segurança.

    Proteção contra exclusão acidental

    Além da visibilidade, a atualização traz uma nova condition key chamada kms:TrailingDaysWithoutKeyUsage. Ela permite criar políticas que protegem chaves usadas recentemente contra exclusão acidental — ou seja, é possível configurar uma regra que impeça a remoção de qualquer chave que tenha sido utilizada nos últimos N dias.

    Esse tipo de proteção baseada em política reduz o risco operacional em ambientes onde múltiplas equipes gerenciam chaves, tornando o controle mais robusto sem depender apenas de processos manuais.

    Disponibilidade

    O recurso já está disponível em todas as regiões AWS onde o KMS opera, incluindo as regiões comerciais globais, as regiões AWS GovCloud (US) e as regiões AWS China. Para mais detalhes técnicos, a documentação oficial traz um guia completo sobre como determinar o uso passado de uma chave KMS no AWS KMS Developer Guide.

    Fonte

    AWS KMS now tracks last usage of all KMS keys (https://aws.amazon.com/about-aws/whats-new/2026/04/aws-kms-tracks-last-usage-kms-keys/)

  • Entendendo o AWS Service Authorization Reference: o que as políticas IAM realmente conseguem controlar

    O que as políticas IAM realmente conseguem controlar?

    Quem trabalha com segurança na AWS já se deparou com perguntas do tipo: “Consigo usar uma SCP do AWS Organizations para bloquear a criação de security groups que permitem tráfego de 0.0.0.0/0?” ou “Dá para impedir o upload de objetos no S3 que não estejam criptografados?” ou ainda “Posso bloquear funções Lambda com mais de 512 MB de memória alocada?”

    Algumas dessas situações são perfeitamente controláveis via políticas Gerenciamento de Identidade e Acesso (IAM). Outras, simplesmente não são. A diferença está em um princípio fundamental da autorização na AWS: as políticas tomam decisões com base nas informações disponíveis no contexto de autorização no momento da chamada de API. Se a informação não estiver nesse contexto, a política não tem como avaliá-la.

    A AWS publicou um post detalhado no blog de segurança explicando exatamente como usar o AWS Service Authorization Reference para descobrir o que é ou não controlável por políticas — e o que fazer quando as políticas não são suficientes.

    Como funciona o contexto de autorização na AWS

    Toda vez que uma requisição é feita à AWS — seja pelo console, pela Interface de Linha de Comando (AWS CLI) ou por um SDK — o serviço que recebe a requisição monta um contexto de requisição com as informações sobre aquela operação. É esse contexto que será usado para avaliar as políticas.

    Esse contexto segue o modelo PARC, com quatro componentes:

    • Principal: quem está fazendo a requisição, incluindo atributos como tags e contexto de sessão
    • Action (Ação): a operação de API solicitada (por exemplo, s3:PutObject ou ec2:RunInstances)
    • Resource (Recurso): o recurso AWS de destino, identificado pelo ARN (Nome de Recurso da Amazon)
    • Condition (Condição): contexto adicional disponível no momento da requisição, como endereço IP, horário, parâmetros de criptografia, status de MFA (Autenticação Multifator) e atributos específicos do serviço

    Para ilustrar, veja como seria o contexto de uma requisição de upload de objeto no Amazon S3:

    Principal: AIDA123456789EXAMPLE
    Action: s3:PutObject
    Resource: arn:aws:s3:::my-bucket/documents/samplereport.pdf
    Condition:
      aws:PrincipalTag/Department=Finance
      aws:RequestedRegion=us-east-1
      aws:SourceIp=x.x.x.x
      aws:MultiFactorAuthPresent=true
      s3:x-amz-server-side-encryption=AES256
      s3:x-amz-storage-class=STANDARD_IA

    Repare que o contexto inclui o método de criptografia e a classe de armazenamento especificados — e isso significa que uma política pode avaliar esses atributos. Por outro lado, o conteúdo real do arquivo, o tamanho do objeto ou padrões de dados internos não fazem parte do contexto, portanto não podem ser avaliados por políticas IAM.

    O Service Authorization Reference: a fonte definitiva

    O Service Authorization Reference é a documentação oficial da AWS que lista, para cada serviço, quais ações podem ser controladas por políticas, quais tipos de recursos podem ser alvos dessas ações e — o mais importante — quais condition keys (chaves de condição) estão disponíveis para cada ação.

    As chaves de condição se dividem em duas categorias:

    • Chaves de condição globais: aplicáveis a qualquer serviço AWS (como aws:SourceIp, aws:PrincipalTag, etc.)
    • Chaves de condição específicas de serviço: definidas para uso com um serviço específico (como s3:x-amz-server-side-encryption ou ec2:InstanceType)

    A regra é simples: se a informação que você quer controlar não aparece como uma chave de condição nessa documentação, você não conseguirá controlá-la apenas com políticas IAM.

    Como usar o Service Authorization Reference na prática

    O processo para verificar se um requisito pode ser atendido por políticas IAM é direto:

    • Acesse a página do serviço específico no Service Authorization Reference — por exemplo, ações, recursos e chaves de condição para o Amazon S3
    • Localize a ação que você quer controlar (seja preciso, pois diferentes ações têm diferentes chaves disponíveis)
    • Examine a coluna de chaves de condição para aquela ação
    • Se a informação que você precisa não estiver listada como chave de condição, uma política IAM não será suficiente

    Como exemplo, ao examinar a ação RunInstances do Amazon Elastic Compute Cloud (Amazon EC2) na seção do EC2 no Service Authorization Reference, é possível ver que diferentes tipos de recursos têm chaves de condição diferentes. Para o tipo de recurso instance*, estão disponíveis chaves como ec2:InstanceType, ec2:EbsOptimized e aws:RequestTag/. Para network-interface*, há chaves como ec2:Subnet, ec2:Vpc e ec2:AssociatePublicIpAddress. O reference completo lista dezenas de chaves de condição para os vários tipos de recursos afetados pelo RunInstances.

    Acesso programático ao Service Authorization Reference

    Além da documentação em formato legível, a AWS disponibiliza o Service Authorization Reference em formato JSON para automação de fluxos de trabalho de gerenciamento de políticas. Para detalhes sobre a estrutura JSON e definições dos campos, consulte a documentação sobre acesso programático às informações simplificadas de serviços AWS. Desenvolvedores também podem usar o IAM MCP Server para operações IAM com assistentes de IA, gerenciando usuários, funções, políticas e permissões seguindo boas práticas de segurança.

    Exemplos práticos: o que é possível controlar com políticas IAM

    Exemplo 1: Exigir criptografia AES-256 em uploads no S3

    No Service Authorization Reference do Amazon S3, a chave de condição s3:x-amz-server-side-encryption está disponível para a ação s3:PutObject. Isso significa que é possível criar uma política que bloqueie uploads sem criptografia AES-256:

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "DenyUnencryptedObjectUploads",
          "Effect": "Deny",
          "Action": "s3:PutObject",
          "Resource": "arn:aws:s3:::my-bucket/*",
          "Condition": {
            "StringNotEquals": {
              "s3:x-amz-server-side-encryption": "AES256"
            }
          }
        }
      ]
    }

    Essa é uma política baseada em recurso que pode ser aplicada diretamente no bucket S3. Ela nega qualquer requisição PutObject que não especifique criptografia AES-256.

    Exemplo 2: Restringir tipos de instância EC2 por centro de custo

    No Service Authorization Reference do Amazon EC2, a chave ec2:InstanceType está disponível para a ação ec2:RunInstances. Combinando essa chave com a chave global aws:PrincipalTag/tag-key, é possível criar uma política baseada em identidade que aplica restrições diferentes dependendo do centro de custo do usuário:

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "AllowDevInstanceTypes",
          "Effect": "Allow",
          "Action": "ec2:RunInstances",
          "Resource": "arn:aws:ec2:*:*:instance/*",
          "Condition": {
            "StringEquals": {
              "aws:PrincipalTag/CostCenter": "Development"
            },
            "StringLike": {
              "ec2:InstanceType": "t3.*"
            }
          }
        },
        {
          "Sid": "AllowProdInstanceTypes",
          "Effect": "Allow",
          "Action": "ec2:RunInstances",
          "Resource": "arn:aws:ec2:*:*:instance/*",
          "Condition": {
            "StringEquals": {
              "aws:PrincipalTag/CostCenter": "Production"
            },
            "StringLike": {
              "ec2:InstanceType": [
                "m5.*",
                "c5.*",
                "r5.*"
              ]
            }
          }
        }
      ]
    }

    Com essa política, usuários com a tag CostCenter=Development só podem lançar instâncias T3 (mais econômicas), enquanto usuários de produção têm acesso às famílias M5, C5 e R5. Essa abordagem permite controle de custos dinâmico com base na identidade do solicitante. Atenção: recursos adicionais são necessários na política IAM para lançar instâncias EC2 com sucesso — consulte a documentação de lançamento de instâncias para a lista completa.

    Exemplo 3: Controle de acesso granular no DynamoDB por nome de usuário

    O Service Authorization Reference do Amazon DynamoDB expõe valores de chave de partição no contexto de autorização para as ações GetItem, PutItem e UpdateItem. Isso permite criar uma política em que cada usuário só acessa os itens onde a chave de partição corresponde ao seu próprio nome de usuário:

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "dynamodb:GetItem",
            "dynamodb:PutItem",
            "dynamodb:UpdateItem"
          ],
          "Resource": "arn:aws:dynamodb:us-east-1:111122223333:table/UserProfiles",
          "Condition": {
            "ForAllValues:StringEquals": {
              "dynamodb:LeadingKeys": ["${aws:username}"]
            }
          }
        }
      ]
    }

    Com essa política, se a usuária alice tentar acessar um item com chave de partição bob, a requisição será negada automaticamente.

    Cenários que exigem mais do que políticas IAM

    Alguns requisitos de segurança simplesmente não podem ser atendidos apenas com políticas IAM — e o Service Authorization Reference é a ferramenta certa para descobrir isso antes de perder tempo tentando.

    Cenário 1: Bloquear criação de regras de security group com 0.0.0.0/0 na porta 22

    A ação responsável por adicionar regras de entrada em security groups é a ec2:AuthorizeSecurityGroupIngress. Ao consultar o Service Authorization Reference do Amazon EC2 e examinar as chaves de condição disponíveis para a ação AuthorizeSecurityGroupIngress, encontramos apenas:

    Não há nenhuma chave de condição para blocos CIDR, números de porta ou protocolos. O contexto de autorização simplesmente não inclui essas informações — portanto, políticas IAM não conseguem controlar esses atributos.

    Solução alternativa: usar uma abordagem reativa com o AWS Config e a regra gerenciada INCOMING_SSH_DISABLED para detectar regras excessivamente permissivas. Também é possível combinar o Amazon EventBridge com Lambda para notificar a equipe de segurança ou reverter automaticamente a configuração não conforme. Para mais detalhes, a AWS publicou um guia sobre como reverter automaticamente e receber notificações sobre alterações em security groups da VPC.

    Cenário 2: Impedir criação de funções Lambda com mais de 512 MB de memória

    Seguindo a mesma metodologia, ao consultar o Service Authorization Reference do AWS Lambda e examinar as chaves de condição disponíveis para a ação CreateFunction com o tipo de recurso function*, encontramos apenas chaves como lambda:CodeSigningConfigArn, lambda:Layer e lambda:VpcIds. Não existe nenhuma chave de condição para alocação de memória, timeout, armazenamento efêmero ou seleção de runtime.

    Soluções alternativas:

    Princípios para trabalhar com políticas IAM de forma eficaz

    Com base no que a AWS detalhou, vale reforçar alguns pontos fundamentais:

    • Políticas controlam o que está no contexto de autorização, não todos os parâmetros visíveis na documentação de API
    • O Service Authorization Reference é a fonte definitiva: se algo não está listado como chave de condição, não é controlável via políticas
    • Ações diferentes têm contextos diferentes, mesmo dentro do mesmo serviço
    • Abordagens alternativas existem: AWS Config, EventBridge e controles específicos de serviços cobrem o que as políticas não alcançam
    • Segurança em camadas é essencial: combine controles preventivos, detectivos e responsivos para uma defesa em profundidade eficaz

    Próximos passos recomendados

    Para quem quer aprofundar o conhecimento em políticas IAM, a AWS sugere explorar o simulador de políticas IAM para testar e depurar políticas, ler sobre tipos de políticas IAM e quando usar cada uma, e assistir ao vídeo Entendendo a linguagem de políticas IAM da AWS: elementos, avaliação e boas práticas.

    O ponto central é que as políticas IAM são ferramentas poderosas de prevenção, mas a segurança eficaz na AWS não depende de um único controle perfeito — ela vem da combinação inteligente de medidas preventivas, detectivas e responsivas.

    Fonte

    Can I do that with policy? Understanding the AWS Service Authorization Reference (https://aws.amazon.com/blogs/security/can-i-do-that-with-policy-understanding-the-aws-service-authorization-reference/)

  • Amazon Redshift Serverless agora usa escalabilidade orientada por IA como padrão para novos workgroups

    O que mudou

    A AWS tornou a escalabilidade orientada por IA (AI-driven scaling) o comportamento padrão para todos os novos workgroups criados no Amazon Redshift Serverless. Isso significa que, a partir de agora, qualquer novo workgroup já nasce com essa capacidade ativada — sem necessidade de configuração manual.

    Como funciona a escalabilidade orientada por IA

    Esse recurso utiliza aprendizado de máquina para prever a demanda de computação e ajustar automaticamente os recursos antes que as consultas entrem em fila. Na prática, o Redshift monitora os padrões de carga de trabalho e adapta os recursos computacionais com base na complexidade das queries, no volume de dados e no tamanho esperado da varredura de dados.

    O resultado é uma melhor relação preço-desempenho sem que o time precise fazer ajustes manuais constantes.

    Redução do custo de entrada

    Além de tornar o recurso padrão, a AWS expandiu o suporte para workloads com faixa de Unidades de Processamento do Redshift (RPU) Base entre 8 e 512 RPU. Anteriormente, o mínimo era 32 RPU. Essa mudança reduz significativamente o custo de entrada para quem deseja utilizar a escalabilidade orientada por IA, tornando o recurso acessível para cargas de trabalho menores.

    Controle de preço-desempenho

    O Amazon Redshift oferece um controle deslizante (slider) de preço-desempenho que permite escolher se a prioridade será custo, desempenho ou um equilíbrio entre ambos. Com base nessa escolha, o serviço também aplica otimizações adicionais automaticamente, incluindo visualizações materializadas automáticas e otimização automática de design de tabelas.

    Para configurar as metas de preço-desempenho, é possível usar o Console de Gerenciamento da AWS (AWS Management Console) ou as operações da API do Amazon Redshift. O alvo também pode ser modificado após a criação do workgroup.

    Disponibilidade

    A escalabilidade orientada por IA do Amazon Redshift Serverless está disponível em todas as regiões da AWS onde o Redshift Serverless opera. Para mais detalhes, consulte a página do produto Amazon Redshift Serverless e a documentação sobre escalabilidade e otimização orientada por IA.

    Fonte

    Amazon Redshift Serverless AI-driven scaling is now the default for new workgroups (https://aws.amazon.com/about-aws/whats-new/2026/04/amazon-redshift-serverless-ai-driven-scaling-default/)

  • Automatize tarefas repetitivas com o Amazon Quick Flows

    O problema que o Amazon Quick Flows resolve

    Pense numa segunda-feira típica: alguém da equipe passa horas copiando dados de sistemas diferentes para montar um relatório semanal, formatando tudo para diferentes públicos internos. Multiplique isso por toda a equipe ao longo do mês, e o volume de tempo perdido com tarefas manuais repetitivas se torna difícil de ignorar.

    É exatamente esse cenário que a AWS quer endereçar com o Amazon Quick Flows. A proposta é simples: você descreve em linguagem natural o que quer automatizar, e a ferramenta constrói o fluxo por você — sem código, sem conhecimento em aprendizado de máquina (ML).

    O que é o Amazon Quick Flows?

    O Amazon Quick Flows faz parte do Amazon Quick, uma coleção de funcionalidades com Inteligência Artificial (IA) que trabalham juntas para ajudar equipes a analisar dados, automatizar processos e obter insights por meio de conversas em linguagem natural.

    Com o Quick Flows especificamente, a ideia é transformar tarefas do dia a dia em fluxos automatizados — tanto para uso individual quanto para times inteiros. O usuário cria, personaliza e compartilha fluxos de IA construídos sob medida, conectados aos dados e às ações disponíveis dentro do Amazon Quick.

    Para começar, é necessário ter uma conta AWS ativa com o Amazon Quick habilitado e permissões de acesso ao Quick Flows. As instruções de configuração estão disponíveis no Guia do Usuário do Amazon Quick.

    Construindo o primeiro fluxo: análise financeira

    O exemplo introdutório apresentado pela AWS é um analisador de desempenho financeiro. O objetivo é criar um fluxo que colete dados de mercado em tempo real, analise métricas-chave e compile um resumo profissional a partir de um nome de empresa ou código de ação (ticker).

    O processo começa acessando o Quick Flows e descrevendo o que se quer em linguagem natural. No exemplo, o prompt solicita um fluxo com quatro componentes: coleta de dados de mercado em tempo real, análise de métricas financeiras (como índice Preço/Lucro, capitalização de mercado e receita), inteligência de notícias com manchetes recentes e análise profissional com recomendações de analistas.

    Após clicar em “Gerar”, o Quick Flows interpreta o prompt, identifica as etapas necessárias e monta um fluxo conectado automaticamente. Cada etapa é configurada com busca na web integrada, garantindo que os dados sejam coletados em tempo real — e não de bases estáticas.

    Depois de gerado, o fluxo pode ser testado imediatamente: basta inserir o nome ou ticker de uma empresa e executar. O resultado passa por cada etapa em ordem, coletando dados, analisando métricas, reunindo notícias e compilando o relatório final. É possível ainda conversar diretamente com o fluxo para ajustar o formato ou o nível de profundidade da análise.

    No editor visual, cada etapa aparece de forma clara, mostrando como os dados se movem do input até o output final. A partir daí, o usuário pode expandir o fluxo — adicionando, por exemplo, uma etapa para enviar o relatório por e-mail, publicar no Slack, salvar no SharePoint ou exportar como PDF ou documento Word. Também é possível agendar execuções periódicas.

    Os blocos de construção do Quick Flows

    O Quick Flows organiza suas capacidades em cinco categorias de etapas que podem ser combinadas para criar qualquer fluxo:

    • Respostas de IA: geram outputs, criam imagens a partir de texto, acionam agentes personalizados, fazem buscas na web, invocam o Quick Research e executam tarefas em sites.
    • Lógica de fluxo: controlam a execução do fluxo por meio de grupos de raciocínio que definem condições, loops ou validações.
    • Insights de dados: recuperam informações dos dados da empresa em espaços e bases de conhecimento, ou análises de dashboards e tópicos.
    • Ações: realizam operações de leitura e escrita em sistemas externos por meio de integrações prontas ou personalizadas.
    • Input do usuário: coletam informações por campos de texto ou upload de arquivos para iniciar e contextualizar o fluxo.

    Em termos de fontes de dados, o Quick Flows se conecta a planilhas e bancos de dados via Amazon Quick, repositórios de documentos como SharePoint, OneDrive, Google Drive ou Amazon Simple Storage Service (Amazon S3) via integrações, além de sistemas externos por meio de integrações de ações prontas ou customizadas.

    Caso avançado: automação de onboarding de funcionários

    Para demonstrar capacidades mais sofisticadas — como lógica condicional e integrações com sistemas externos — a AWS apresenta um segundo exemplo: a automação do processo de integração (onboarding) de novos colaboradores.

    O cenário é realista: um especialista de Recursos Humanos (RH) com três novos funcionários entrando na semana precisa criar registros no sistema de informações de RH, redigir e-mails de boas-vindas personalizados com base nas políticas da empresa, e coordenar com a área de Tecnologia da Informação (TI) a criação de crachás, pedido de equipamentos e configuração de e-mail. Tarefas manuais que consomem horas toda semana.

    O fluxo de onboarding começa coletando dados do novo funcionário (nome, sobrenome, e-mail) via campos de texto. Em seguida, consulta uma API de informações de funcionários para verificar se o e-mail já está cadastrado no sistema.

    Aqui entra um conceito central do Quick Flows: o grupo de raciocínio (reasoning group). Ele funciona como uma instrução “se-então”: se o funcionário já existe no sistema, o fluxo encerra; se não existe, ele segue em frente e executa seis etapas em sequência — criar o registro do funcionário, gerar o e-mail de boas-vindas, enviar o e-mail, gerar o ticket de solicitação de crachá, criar o ticket e resumir os resultados do onboarding.

    Imagem original — fonte: Aws

    Para criar esse fluxo, basta descrever o processo em linguagem natural. Um prompt eficaz para esse caso incluiria: coletar informações do novo contratado, verificar se ele já existe no sistema, criar o registro caso seja novo, gerar um e-mail de boas-vindas personalizado com as políticas da empresa, enviar o e-mail com o gestor em cópia, criar tickets de TI para crachá e equipamentos, e fornecer um resumo de todas as ações realizadas.

    Para quem quiser praticar com esse exemplo em sua própria conta AWS, a AWS disponibiliza o workshop A Complete Guide to Amazon Quick, com infraestrutura simulada de RH e TI. O processo envolve seguir as instruções de configuração no ritmo próprio e depois acessar o módulo de Flows do workshop.

    Como escrever prompts eficazes para o Quick Flows

    Um bom prompt para o Quick Flows deve contemplar quatro elementos: quais informações coletar (“reunir dados do funcionário”), quais decisões tomar (“verificar se já existe no sistema”), quais ações executar (“criar registro do funcionário”) e qual conteúdo gerar (“e-mail de boas-vindas personalizado”).

    Frases que descrevem operações em sistemas externos — como “cria o registro” ou “envia o e-mail” — se traduzem em etapas de ação que se integram com os conectores do Quick. Frases que sugerem geração de conteúdo a partir de dados internos se tornam etapas de output conectadas a bases de conhecimento. E expressões de lógica condicional — como “verifica se já existe” — disparam a criação automática de grupos de raciocínio.

    Variáveis: a cola entre as etapas

    Cada etapa de um fluxo gera uma variável — um contêiner nomeado que armazena informações para uso nas etapas seguintes. Por exemplo, quando alguém digita “João Silva” no campo Nome, esse valor fica disponível como @Nome em todo o fluxo.

    Sem variáveis, cada etapa operaria de forma isolada, sem acesso aos dados produzidos pelas etapas anteriores. Elas são o que permite, por exemplo, que o prompt de criação de registro use @Nome, @Sobrenome e @Email coletados lá no início do fluxo.

    Dicas práticas para começar

    • Teste o prompt antes de criar o fluxo. Use o assistente de chat do Quick para validar a abordagem. Você pode perguntar, por exemplo, como extrair dados de um dashboard e formatá-los como relatório semanal antes de automatizar o processo.
    • Comece com conjuntos de dados menores. O Quick tem limite de tamanho de contexto. Para processar listas grandes (como e-mails), use a funcionalidade de loop do grupo de raciocínio para operar um item por vez. Consulte a documentação de limites do Flows.
    • Escreva um prompt completo de uma vez. O Quick Flows funciona melhor com prompts bem elaborados que descrevem todo o fluxo. Se precisar de ajuda, peça ao próprio Quick para melhorar seu prompt. Veja as boas práticas de prompting no workshop.
    • Pergunte sobre integrações de ações. Você não precisa conhecer as APIs de cor. Basta perguntar ao assistente de chat como usar um conector específico e quais parâmetros ele aceita.
    • Mapeie o fluxo antes de criar. Entenda quais dados entram, quais ações precisam ser executadas e em que ordem. Desenhar ou escrever os passos antes de montar o fluxo ajuda muito.
    • Peça ajuda a um agente de chat. É possível pedir a um agente que ajude a projetar e construir fluxos. Um exemplo prático está disponível no workshop do Amazon Quick.

    Limpeza de recursos

    Para evitar cobranças desnecessárias, a AWS recomenda excluir os fluxos criados para testes, cancelar execuções agendadas e, para quem realizou o workshop, seguir as instruções de limpeza para remover a infraestrutura implantada. As cobranças do Amazon Quick são baseadas em uso, então remover fluxos e agendamentos inativos ajuda a controlar os custos.

    Próximos passos

    O Amazon Quick Flows representa uma aposta da AWS em democratizar a automação de processos — colocando nas mãos de qualquer profissional a capacidade de criar fluxos inteligentes sem escrever uma linha de código. Para quem quer explorar na prática, os caminhos sugeridos são: acessar o Amazon Quick e criar o primeiro fluxo usando os prompts de exemplo, completar o workshop A Complete Guide to Amazon Quick para experiência hands-on, e identificar uma tarefa repetitiva do dia a dia para descrever em linguagem natural. Para dúvidas e recursos adicionais, a Comunidade do Amazon Quick reúne perguntas, eventos e materiais de aprendizado.

    Fonte

    Automate repetitive tasks with Amazon Quick Flows (https://aws.amazon.com/blogs/machine-learning/automate-repetitive-tasks-with-amazon-quick-flows/)

  • CloudTroop Weekly #009 — 2026-w17





    CloudTroop Weekly #009 — 2026-w17

    26 de abril de 2026

    Resumo da Semana

    A semana foi dominada por avanços que tornam agentes de IA viáveis em ambientes corporativos reais. Lambda agora monta buckets S3 como sistema de arquivos, o AgentCore Gateway ganhou egresso seguro para VPCs privadas e o ToolSimulator resolve o problema de testes sem chamadas reais a APIs externas. No campo de segurança, o Secrets Manager ativou criptografia pós-quântica por padrão e o Security Hub Extended unificou visibilidade multicloud. Para quem escala GenAI, o Bedrock ganhou atribuição granular de custos e o SageMaker automatiza a escolha de GPU para inferência.

    O que muda na prática

    • Agentes de IA podem acessar dados em S3 e redes privadas corporativas sem gambiarras de arquitetura — as barreiras técnicas que travavam adoção em produção caíram significativamente.
    • Criptografia pós-quântica no Secrets Manager é automática: sem mudança de código, toda organização que usa o serviço já está protegida contra ataques 'coleta agora, decifra depois'.
    • Rastrear custos de GenAI por usuário, aplicação ou tenant via Bedrock e CUR 2.0 deixa de ser workaround para virar recurso nativo — chargeback de IA generativa agora tem suporte real.

    Ações da semana

    • Se você tem agentes de IA em desenvolvimento, configure o ToolSimulator esta semana para eliminar dependências de APIs externas nos testes e desbloquear o pipeline de CI/CD.
    • Acesse o Cost and Usage Report (CUR 2.0) e ative a atribuição de custos do Bedrock por aplicação — leva menos de 30 minutos e entrega visibilidade imediata para justificar investimentos em GenAI.

    Top 10 da Semana

    1

    AWS Secrets Manager habilita criptografia pós-quântica por padrão

    Proteção automática contra ataques 'coleta agora, decifra depois' sem mudança de código é uma decisão de segurança que afeta toda organização que usa Secrets Manager.

    Para quem: Engenheiros de segurança, arquitetos e times de compliance que gerenciam segredos em produção na AWS.

    Segurança, Criptografia

    2

    AWS Security Hub Extended unifica segurança multicloud com parceiros

    Uma solução empresarial que integra CrowdStrike, Okta e Splunk ao ecossistema AWS em modelo pay-as-you-go muda a equação de custo e complexidade para times de segurança multicloud.

    Para quem: CISOs, arquitetos de segurança e times de operações que gerenciam ambientes híbridos ou multicloud.

    Segurança, Multicloud

    3

    Lambda monta buckets S3 como sistema de arquivos com S3 Files

    Elimina a necessidade de baixar dados para funções Lambda, habilitando agentes de IA com estado persistente e pipelines de ML sem overhead de transferência.

    Para quem: Desenvolvedores serverless e engenheiros de ML que constroem pipelines de IA ou agentes com estado na AWS.

    Serverless, IA

    4

    Amazon Bedrock ganha atribuição granular de custos por usuário e app

    Rastrear gastos de IA por tenant, aplicação ou usuário via CUR 2.0 é pré-requisito para chargeback e otimização financeira em organizações que escalam uso de GenAI.

    Para quem: FinOps, arquitetos de plataforma e líderes técnicos que precisam justificar e controlar custos de IA generativa.

    FinOps, IA

    5

    Bedrock AgentCore Gateway e Identity ganham egresso de VPC seguro

    Agentes de IA que precisam acessar recursos privados na VPC do cliente agora têm suporte nativo, removendo uma barreira crítica para adoção em ambientes corporativos.

    Para quem: Arquitetos de soluções e engenheiros de plataforma que implantam agentes de IA em redes privadas corporativas.

    Agentes IA, Rede

    6

    SageMaker AI automatiza escolha de GPU e config de inferência GenAI

    Reduzir de semanas para horas a decisão de infraestrutura de inferência com benchmarks reais de latência, throughput e custo impacta diretamente o time-to-production de modelos.

    Para quem: Engenheiros de ML e arquitetos que implantam modelos de IA generativa em produção no SageMaker.

    MLOps, Inferência

    7

    AWS Network Firewall suporta 10M de domínios maliciosos via Marketplace

    Escalar proteção de rede com inteligência de ameaças de parceiros como Infoblox e ThreatSTOP diretamente no firewall gerenciado reduz fricção operacional e amplia cobertura de segurança.

    Para quem: Engenheiros de segurança de rede e times de SOC que gerenciam perímetro e conformidade com sanções internacionais.

    Segurança de Rede

    8

    ToolSimulator: testes seguros e escaláveis para agentes de IA

    Testar agentes de IA sem chamadas reais a APIs externas resolve dependências, efeitos colaterais e exposição de dados sensíveis — problemas que travam times que levam agentes para produção.

    Para quem: Engenheiros de software e times de QA que desenvolvem e validam agentes de IA com ferramentas externas.

    Agentes IA, Testes

    9

    EC2 permite ocultar recursos de serviços gerenciados no console e API

    Reduzir ruído visual de recursos provisionados por EKS, ECS e Lambda no console melhora governança e evita confusão operacional em contas com múltiplos serviços gerenciados.

    Para quem: Engenheiros de plataforma e times de operações que gerenciam contas AWS com workloads EKS, ECS ou Lambda em escala.

    Operações, Governança

    10

    ETL open-source converte logs customizados para formato OCSF

    Padronizar logs de segurança em OCSF é pré-requisito para integração com Amazon Security Lake e análise unificada de ameaças, especialmente em ambientes com fontes heterogêneas.

    Para quem: Engenheiros de segurança e times de SIEM que precisam normalizar logs customizados para análise centralizada.

    Segurança, Compliance


  • Protegendo seus segredos contra os riscos quânticos do futuro com AWS Secrets Manager

    O risco quântico que já exige ação hoje

    Computadores quânticos suficientemente poderosos ainda não existem, mas a ameaça que eles representam para a criptografia convencional já é real — e precisa ser endereçada agora. O motivo é um vetor de ataque chamado coleta agora, decifra depois (HNDL — Harvest Now, Decrypt Later): adversários capturam tráfego cifrado hoje e guardam para decifrar no futuro, quando tiverem acesso a hardware quântico capaz de quebrar os algoritmos assimétricos tradicionais.

    É dentro desse contexto que a AWS vem executando seu plano de migração para criptografia pós-quântica (PQC). Parte central desse plano é garantir que os clientes consigam atualizar o lado cliente de suas cargas de trabalho para suportar confidencialidade resistente a computadores quânticos — e a AWS reconhece que essa é uma responsabilidade compartilhada, descrita no modelo de responsabilidade compartilhada de PQC.

    O que mudou no AWS Secrets Manager

    O AWS Secrets Manager utiliza SSL/TLS para comunicação com recursos AWS, suportando TLS 1.2 e 1.3 em todas as regiões. A novidade é que o serviço agora habilita e prefere, por padrão, a troca de chaves híbrida pós-quântica nas conexões TLS iniciadas pelos clientes que suportam essa capacidade.

    A abordagem híbrida pós-quântica combina criptografia tradicional (como X25519) com algoritmos pós-quânticos (ML-KEM) para estabelecer conexões TLS. Isso garante proteção tanto contra ataques clássicos atuais quanto contra ameaças futuras de computadores quânticos.

    Vale destacar: os segredos em repouso já estavam protegidos por chaves gerenciadas pelo AWS Key Management Service (AWS KMS). A criptografia simétrica, quando bem implementada, é considerada resistente a computadores quânticos. A vulnerabilidade quântica recai sobre a criptografia assimétrica — exatamente o que é usado na troca de chaves TLS. Para aprofundar o tema, a AWS disponibilizou a sessão AWS re:Inforce 2025 – Post-Quantum Cryptography Demystified.

    Quais clientes já suportam a troca de chaves híbrida por padrão

    A AWS anunciou que os seguintes clientes do Secrets Manager já habilitam e preferem a troca de chaves pós-quântica ao iniciar conexões:

    Para clientes baseados em SDK, a troca de chaves híbrida pós-quântica está disponível nas versões listadas abaixo. Os requisitos variam por linguagem, versão e sistema operacional:

    As bibliotecas de cache do Secrets Manager são construídas sobre os SDKs e herdam o comportamento de TLS deles. Para Java, tanto a flag do driver JDBC quanto a flag de cache Java precisam ser habilitadas para ativar a troca de chaves híbrida.

    Quando o endpoint do serviço Secrets Manager detecta que o cliente anuncia suporte à troca de chaves pós-quântica durante o handshake TLS, ele a seleciona automaticamente. Atualizar para as versões listadas é a única ação necessária.

    Como verificar se suas conexões estão usando a troca de chaves híbrida

    Para a maioria dos clientes, não será necessário monitoramento contínuo após a atualização. No entanto, equipes de segurança e compliance podem querer confirmar que as chamadas de API do Secrets Manager estão de fato negociando a troca de chaves híbrida. A verificação pode ser feita tanto no lado servidor, via AWS CloudTrail, quanto no lado cliente, com ferramentas como Wireshark ou as ferramentas de desenvolvedor dos navegadores.

    Fonte

    Protecting your secrets from tomorrow’s quantum risks (https://aws.amazon.com/blogs/security/protecting-your-secrets-from-tomorrows-quantum-risks/)

  • Construindo Agentes de IA para RH com Visier e Amazon Quick

    O problema que essa integração resolve

    Profissionais de RH, finanças e operações lidam diariamente com um desafio clássico: as informações que precisam para tomar decisões estão espalhadas em sistemas diferentes. Dados de headcount vivem em um lugar, metas orçamentárias em outro, políticas internas em um terceiro. Cruzar tudo isso manualmente consome horas e ainda assim o resultado pode estar desatualizado.

    É exatamente esse problema que a integração entre a Visier e o Amazon Quick via Protocolo de Contexto de Modelo (MCP) se propõe a resolver. A ideia central é simples: conectar dados ao vivo da força de trabalho com o contexto organizacional interno, tudo acessível por meio de perguntas em linguagem natural.

    Os componentes da solução

    Amazon Quick

    O Amazon Quick é descrito pela AWS como um workspace de Inteligência Artificial (IA) agêntica. Ele funciona como uma interface unificada para usuários de negócio, reunindo conhecimento corporativo, inteligência de negócios e automação de fluxos de trabalho em um único lugar. Seus agentes inteligentes recuperam informações e raciocinam sobre múltiplas camadas de dados simultaneamente, entregando respostas prontas para ação.

    Visier

    A Visier é uma plataforma de IA para força de trabalho baseada em nuvem que unifica dados de Sistema de Informação de Recursos Humanos (HRIS), folha de pagamento, gestão de talentos e rastreamento de candidatos em uma única camada de inteligência. Ela permite responder perguntas complexas sobre a força de trabalho em minutos, por meio do seu assistente de IA chamado Vee, apoiado por métricas pré-construídas e benchmarks do setor baseados em registros anonimizados de funcionários.

    Por meio do seu servidor MCP, a Visier atua como um conector universal que entrega insights governados sobre pessoas diretamente nas ferramentas de IA corporativa onde as decisões são tomadas.

    O Protocolo de Contexto de Modelo (MCP)

    O MCP é um padrão aberto que permite que agentes de IA se conectem a fontes de dados e ferramentas externas. Funciona como um adaptador universal: o Amazon Quick consegue se comunicar com o agente analista Vee da Visier de forma estruturada e segura, sem precisar construir integrações customizadas do zero. A Visier expõe suas capacidades de análise de força de trabalho por meio de um servidor MCP, e o Amazon Quick inclui um cliente MCP nativo que descobre essas ferramentas e as disponibiliza para seus agentes e automações.

    Benefícios para empresas

    A integração endereça desafios reais do dia a dia corporativo. Entre os principais benefícios destacados:

    • Inteligência unificada da força de trabalho: o Amazon Quick orquestra dados ao vivo da Visier com o conhecimento interno da empresa, entregando respostas sintetizadas que nenhum sistema produziria sozinho.
    • Acesso em linguagem natural: usuários fazem perguntas conversacionais e recebem respostas atribuídas à fonte — seja um dado ao vivo da Visier ou um documento de política interna.
    • Fluxos de trabalho automatizados e repetíveis: revisões periódicas de força de trabalho, alertas de limites e briefings pré-reunião podem ser configurados uma vez e entregues automaticamente, sem esforço manual.
    • Acesso a dados governado e seguro: o servidor MCP da Visier aplica políticas de governança de dados para expor apenas informações autorizadas. O conhecimento corporativo no Quick Spaces mantém os controles de acesso existentes.
    • Redução do tempo para obter insights: o que antes exigia horas de cruzamento manual de planilhas pode ser feito rapidamente a partir de uma única interface.

    Pré-requisitos

    Para configurar essa integração, são necessários:

    Para mais detalhes sobre a configuração do Amazon Quick, a documentação oficial está disponível.

    Como configurar a integração

    Passo 1: Configurar o servidor MCP da Visier

    A Visier fornece um servidor MCP pré-construído que expõe suas capacidades de análise como ferramentas MCP. No console de administração da Visier, é necessário navegar até Configurações > API e Integrações, habilitar o servidor MCP, configurar as credenciais de autenticação e os escopos de acesso a dados, e anotar a URL do endpoint e os detalhes de autenticação. As instruções detalhadas estão na documentação MCP da Visier.

    Passo 2: Adicionar a Visier como integração MCP no Amazon Quick

    No Amazon Quick, o processo passa por acessar Integrações no painel de navegação esquerdo, selecionar a aba Ações, localizar o bloco do Protocolo de Contexto de Modelo (MCP) e criar uma nova integração. É necessário informar um nome descritivo, uma descrição opcional e a URL do endpoint do servidor MCP da Visier obtida no passo anterior. Depois, selecionar o método de autenticação correspondente e inserir as credenciais. Após criada, o Amazon Quick descobre automaticamente as ferramentas expostas pelo servidor MCP da Visier — como ask_vee_question, search_metrics e list_analytic_object_property_values.

    Para mais informações sobre a integração MCP no Amazon Quick, consulte Integrar ferramentas externas com agentes Amazon Quick usando MCP e a documentação de integração MCP.

    Passo 3: Organizar o conhecimento corporativo nos Spaces

    Os agentes do Amazon Quick utilizam os Spaces como fronteira contextual. Tudo que a organização sabe — políticas internas, documentos de planejamento, conhecimento específico de equipes — é construído dentro de um Space e disponibilizado ao agente no momento da consulta. O passo seguinte é fazer upload dos documentos internos relevantes para o Quick Spaces, criando um Space chamado “Planejamento de Força de Trabalho” e carregando documentos como orçamentos de headcount, diretrizes de remuneração, fluxos de aprovação e requisitos de conformidade.

    Cenário de uso: preparando uma reunião de liderança

    Para ilustrar a integração, o artigo original apresenta dois usuários fictícios — Maya, parceira de negócios de RH, e David, gerente de finanças — que precisam preparar juntos um briefing para uma reunião de liderança. A organização conectou a Visier ao Amazon Quick via MCP e carregou documentos internos no Quick Spaces, incluindo metas de saúde da força de trabalho para o ano fiscal, políticas de retenção e templates de briefing de risco.

    A conversa entre os dois e o agente Amazon Quick percorre seis turnos progressivos:

    • Turno 1 — Visão geral: David pergunta quantos funcionários a empresa tem e quantos estão nos EUA. O agente consulta a Visier via MCP e retorna os números ao vivo.
    • Turno 2 — Orçamento vs. realidade: David pergunta como o headcount nos EUA se compara às metas de distribuição. O agente consulta a Visier para os dados ao vivo e o documento de metas no Quick Spaces para comparar com o alvo aprovado.
    • Turno 3 — Panorama de tempo de serviço: Maya pergunta sobre o tempo médio de serviço e quais funções têm os maiores índices. O agente recupera os dados da Visier e os marcos relevantes da política de retenção no Quick Spaces.
    • Turno 4 — Tempo de serviço vs. limites da política: Maya verifica se a média atual atende ao threshold definido na política. O agente compara o dado ao vivo da Visier com o limite armazenado no Quick Spaces.
    • Turno 5 — Verificação de alta performance: Maya consulta quantos funcionários de alta performance existem e se a proporção está dentro do recomendado. O agente cruza o dado da Visier com o Playbook de Retenção de Alta Performance no Quick Spaces.
    • Turno 6 — Síntese do briefing: David e Maya pedem um resumo dos principais riscos de saúde da força de trabalho. O agente consolida todos os dados dos turnos anteriores, cruza cada métrica com os thresholds e políticas correspondentes, sinaliza os riscos e apresenta as ações recomendadas de cada documento de política.

    Automação com Quick Flows

    Além das consultas conversacionais, o Amazon Quick oferece o Quick Flows, um motor de automação de fluxos de trabalho que permite definir sequências de múltiplos passos e executá-las em um agendamento ou sob demanda. Um fluxo pode recuperar dados de fontes conectadas, aplicar lógica e comparações, gerar saídas formatadas e entregar os resultados em um destino como uma caixa de entrada ou canal do Slack — tudo sem intervenção manual.

    O artigo original apresenta um exemplo de fluxo chamado “Weekly Workforce Health Score” (Pontuação Semanal de Saúde da Força de Trabalho), que executa toda segunda-feira às 8h da manhã. Em seis passos sequenciais, ele:

    • Recupera da Visier quatro métricas ao vivo: headcount global total, headcount nos EUA, tempo médio de serviço e contagem de funcionários de alta performance.
    • Busca no Quick Spaces as metas e thresholds internos correspondentes a cada métrica.
    • Calcula indicadores como percentual de headcount em relação à meta, gap de headcount nos EUA, proporção de alta performance e buffer de tempo de serviço acima da zona de atenção.
    • Atribui uma pontuação a cada métrica (Em Dia: 25 pontos; Precisa de Atenção: 15 pontos; Abaixo da Meta: 5 pontos; Revisão Imediata Necessária: 0 pontos) e soma as quatro para gerar uma pontuação composta de 0 a 100.
    • Para métricas com pontuação abaixo do ideal, recupera as ações de intervenção recomendadas nos documentos de política do Quick Spaces.
    • Gera um briefing formatado com a pontuação composta, uma tabela de métricas com valores reais, metas, gaps e pontuações, e as ações recomendadas por prioridade.

    Quick Research: análise profunda e autônoma

    O Amazon Quick também oferece o Quick Research, uma capacidade de análise profunda projetada para perguntas que abrangem múltiplas fontes e exigem síntese. Diferente de uma conversa interativa, o Quick Research opera de forma autônoma: o usuário descreve o resultado que precisa em linguagem natural, e o Amazon Quick determina quais bases de conhecimento internas, fontes de dados conectadas e referências externas consultar, montando um relatório estruturado e com atribuição de fontes.

    No cenário do artigo, Maya usa o Quick Research antes da reunião para solicitar um relatório de benchmarking da força de trabalho comparando a organização com pares do setor em três dimensões: tempo de serviço dos funcionários, proporções de alta performance e distribuição geográfica da força de trabalho. O Quick Research automaticamente consulta as três camadas: dados ao vivo da Visier via MCP, metas de política interna do Quick Space de Planejamento de Força de Trabalho, e benchmarks externos do setor via web.

    Monitoramento e observabilidade

    Para administradores que precisam de visibilidade sobre o que está sendo acessado, com que frequência e por quem, o Amazon Quick se integra ao Amazon CloudWatch para expor métricas do conector de ações MCP, como contagens de invocação e taxas de erro. Cada interação de chat pode ser entregue via Amazon CloudWatch Logs para destinos como Amazon Simple Storage Service (Amazon S3) ou Amazon Data Firehose, para análise e retenção de longo prazo. Para auditoria e conformidade, o AWS CloudTrail fornece um registro completo de chamadas de API e ações administrativas em todo o ambiente Amazon Quick.

    Conclusão

    A integração entre Visier e Amazon Quick via MCP demonstra um padrão que vai além da análise de pessoas: qualquer cenário em que inteligência de negócios especializada precise ser combinada com contexto organizacional interno pode se beneficiar dessa arquitetura. O valor não está em nenhum dos sistemas isoladamente — o Amazon Quick fornece a camada de orquestração e contexto corporativo, a Visier fornece a inteligência sobre a força de trabalho, e o MCP fornece a conexão segura e padronizada entre os dois. Para o usuário final, a experiência é simples: fazer uma pergunta e receber uma resposta que combina tudo que a organização sabe, pronta para agir.

    Para começar, a documentação do Amazon Quick cobre configuração do ambiente, integrações e criação de agentes. Para o lado da Visier, a documentação do Servidor MCP da Visier detalha a configuração, autenticação e o conjunto completo de ferramentas de análise disponíveis. Mais informações sobre a plataforma de IA da Visier estão em visier.com. Para um aprofundamento em como o Amazon Quick se conecta a fontes externas via MCP, o artigo Integrar ferramentas externas com agentes Amazon Quick usando MCP é uma boa referência.

    Fonte

    Building Workforce AI Agents with Visier and Amazon Quick (https://aws.amazon.com/blogs/machine-learning/building-workforce-ai-agents-with-visier-and-amazon-quick/)

  • Amazon Connect ganha oito novas métricas para medir desempenho de agentes de IA

    O que foi anunciado

    A AWS anunciou a disponibilização de oito novas métricas no Amazon Connect voltadas especificamente para monitorar e aprimorar o desempenho de agentes de Inteligência Artificial (IA) em interações com clientes. Entre as novidades, destacam-se métricas como taxa de sucesso de objetivos, pontuação de fidelidade e precisão na seleção de ferramentas.

    O que essas métricas permitem monitorar

    Com esse conjunto de indicadores, equipes que utilizam o Amazon Connect passam a ter visibilidade real sobre a qualidade das interações conduzidas por agentes de IA. Na prática, é possível acompanhar:

    • Se os agentes de IA conseguiram de fato resolver as solicitações dos clientes;
    • O nível de fidelidade das respostas geradas — incluindo a detecção de alucinações contextuais, ou seja, quando o agente produz informações incorretas ou inventadas;
    • A precisão com que o agente seleciona e utiliza as ferramentas disponíveis para cada situação;
    • O feedback direto dos clientes, por meio de avaliações do tipo curtir/não curtir, quando esse recurso estiver habilitado.

    Como acessar as novas métricas

    As oito novas métricas podem ser acessadas de três formas distintas:

    • Pelo painel de desempenho de agentes de IA do próprio Amazon Connect;
    • Via API GetMetricDataV2, para quem prefere integrar os dados a fluxos de análise personalizados;
    • Por meio do data lake zero-ETL, que facilita a integração com ferramentas de análise já existentes na organização — sem a necessidade de pipelines de transformação de dados.

    Disponibilidade

    O recurso já está disponível em todas as regiões da AWS onde o Amazon Connect com agentes de IA é suportado. Para consultar a documentação completa e entender como configurar o painel de desempenho, a AWS disponibilizou o Guia do Administrador do Amazon Connect. Quem quiser conhecer mais sobre a plataforma em geral pode acessar o site oficial do Amazon Connect.

    Por que isso importa

    Monitorar agentes de IA em produção ainda é um desafio para muitas equipes. Ter métricas nativas dentro da própria plataforma de atendimento reduz a complexidade operacional e permite que times de CX (Experiência do Cliente) e engenharia atuem com mais precisão na melhoria contínua dos fluxos automatizados. A detecção de alucinações, em especial, é um ponto crítico para garantir que o cliente receba respostas confiáveis — e agora isso pode ser rastreado diretamente no Amazon Connect.

    Fonte

    Amazon Connect now provides eight new metrics to measure and improve AI agent performance (https://aws.amazon.com/about-aws/whats-new/2026/04/amazon-connect-ai-agent-metrics/)