Em ambientes de nuvem, a identidade é o novo perímetro. Não existe firewall físico, porta de acesso ou rack protegido: o que separa um recurso crítico de um acesso indevido é, fundamentalmente, como permissões e identidades são gerenciadas.
Cloud IAM (Identity and Access Management em nuvem) é a disciplina responsável por essa gestão. Entender como ela funciona é condição básica para operar com segurança em qualquer plataforma de nuvem.
O que é Cloud IAM
Cloud IAM é o conjunto de políticas, mecanismos e ferramentas que controlam quem pode acessar o quê em ambientes de nuvem, seja um usuário humano, uma aplicação ou um serviço automatizado.
- define identidades: usuários, grupos, service accounts e workloads
- atribui permissões específicas a cada identidade
- controla o acesso a recursos como buckets, bancos de dados, APIs e instâncias
- registra e audita cada ação realizada em nome de uma identidade
Cada provedor de nuvem tem sua implementação própria: AWS IAM, Azure Active Directory (Entra ID) e Google Cloud IAM seguem lógicas similares, mas com terminologias e modelos de política distintos.
Identidades em ambientes de nuvem
Em nuvem, o conceito de identidade vai além do usuário humano:
- usuários e grupos: pessoas com acesso direto ao console ou APIs
- service accounts: identidades atribuídas a aplicações e serviços
- workload identities: identidades de cargas de trabalho em containers, pipelines e funções serverless
- identidades federadas: usuários autenticados via provedores externos (SSO, OIDC)
Gerenciar todas essas identidades com o mesmo rigor é o principal desafio do Cloud IAM. Identidades de serviço mal configuradas são uma das causas mais frequentes de incidentes de segurança em nuvem.
Como funcionam as permissões na nuvem
As permissões em Cloud IAM são baseadas em políticas. O modelo varia por provedor, mas o princípio é consistente:
- AWS: policies baseadas em JSON atribuídas a usuários, grupos ou roles
- Azure: RBAC com roles atribuídas a identidades sobre recursos ou grupos de recursos
- GCP: políticas de IAM atribuídas a membros sobre recursos específicos da hierarquia
Em todos os casos, o princípio de menor privilégio deve guiar a concessão de permissões: cada identidade deve ter acesso apenas ao que precisa para cumprir sua função, pelo menor tempo necessário.
Os principais riscos do Cloud IAM mal configurado
Permissões excessivas em nuvem criam riscos sérios e, muitas vezes, invisíveis:
- service accounts com acesso administrativo amplo
- chaves de API e credenciais de longa duração expostas em repositórios
- permissões herdadas por herança de hierarquia sem revisão
- ausência de MFA para acessos privilegiados ao console de nuvem
- políticas permissivas criadas durante desenvolvimento e nunca revisadas
Esses cenários são frequentemente explorados em ataques de movimentação lateral, onde um acesso inicial limitado é expandido por meio de permissões mal governadas.
Cloud IAM e CIEM
À medida que os ambientes de nuvem crescem, gerenciar permissões manualmente torna-se inviável. É nesse ponto que o CIEM (Cloud Infrastructure Entitlement Management) entra como complemento ao Cloud IAM.
- identifica permissões excessivas, não utilizadas ou mal configuradas
- oferece visibilidade sobre o que cada identidade efetivamente acessa
- automatiza a detecção de desvios em relação ao princípio de menor privilégio
- integra com os provedores de nuvem para aplicar correções em escala
Cloud IAM define as políticas. CIEM garante que elas sejam continuamente avaliadas e mantidas dentro dos limites desejados.
Cloud IAM como parte da estratégia de identidade corporativa
O Cloud IAM não deve operar isolado da estratégia de IAM corporativa. Organizações maduras integram as duas camadas:
- federação de identidades corporativas com os provedores de nuvem
- políticas de acesso consistentes entre ambientes on-premise e cloud
- ciclo de vida unificado: provisionamento e revogação de acessos em nuvem integrados ao IGA
- visibilidade centralizada sobre identidades humanas e não humanas em todos os ambientes
Tratar o Cloud IAM como um silo separado é um dos erros mais comuns — e mais custosos — na gestão de identidade em ambientes híbridos.