Entendendo ARNs e Endpoints de Serviço

Um ARN (nome de recurso da Amazon) é o ID exclusivo de cada recurso na AWS. As políticas e os registros apontam para os recursos por ARN, portanto é essencial aprender a ler um.

Um ARN tem um formato fixo separado por dois-pontos: arn:partition:service:region:account-id:resource. Cada parte restringe o que está sendo nomeado, portanto até um ARN longo pode ser entendido rapidamente. Veja o exemplo.

A partição geralmente é aws, com partições especiais para GovCloud e a China, e o segmento de serviço identifica o serviço, como s3 ou iam. Essas partes definem primeiro o contexto geral.

O segmento de região identifica a Região, ficando vazio para serviços globais, e o account-id é o proprietário de 12 dígitos. Em operações entre contas, esse número revela quem é o proprietário do recurso.

A última parte é o próprio recurso, às vezes com um prefixo como role/. Ela pode identificar um item específico ou, com um caractere curinga, vários itens. As políticas do IAM geralmente têm como alvo essa parte.

As políticas do IAM colocam ARNs no campo Resource para indicar exatamente a que uma ação se aplica. Ler esses ARNs informa imediatamente se uma permissão é restrita ou perigosamente ampla.

Um caractere curinga (*) em um ARN corresponde a vários recursos — bucket/* significa todos os objetos dentro do bucket. Um * sozinho corresponde a tudo, o que quase sempre é permissivo demais. Fique atento a isso.

Um endpoint de serviço é a URL que sua solicitação realmente alcança, como s3.us-east-1.amazonaws.com. A maioria é regional, e por isso a cobertura é definida por Região.

Um endpoint da VPC permite que seus recursos alcancem serviços da AWS de forma privada, sem passar pela internet pública. Isso mantém o tráfego na AWS e reduz sua exposição.

Os ARNs identificam o "o quê" e os endpoints definem o "onde" de uma solicitação. Juntos, eles permitem escrever políticas precisas — muitas vezes, essa é a chave de um cenário de prova sobre privilégio mínimo.

Os ARNs também aparecem fora do campo Resource: em condições de políticas e nos registros do CloudTrail. Lê-los com fluência ajuda você a escrever regras mais restritas e rastrear quem fez o quê.

Decifre um ARN.

Um ARN identifica exclusivamente cada recurso, e as políticas apontam para ele em seu campo Resource — caracteres curinga amplos comprometem o privilégio mínimo. Os endpoints da VPC alcançam serviços de forma privada.