# Identity and Access Management para Amazon CloudFront
O AWS Identity and Access Management (IAM) é um serviço da AWS service (Serviço da AWS) que ajuda a controlar o acesso aos recursos da AWS de forma segura. Os administradores do IAM controlam quem pode ser *autenticado* (conectado) e *autorizado* (ter permissões) para usar os recursos do CloudFront. O IAM é um AWS service (Serviço da AWS) que pode ser usado sem custo adicional.
**Topics**
+ [Público](#security_iam_audience)
+ [Autenticação com identidades](#security_iam_authentication)
+ [Gerenciar o acesso usando políticas](#security_iam_access-manage)
+ [Como o Amazon CloudFront funciona com o IAM](security_iam_service-with-iam.md)
+ [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md)
+ [AWSPolíticas gerenciadas pela para Amazon CloudFront](security-iam-awsmanpol.md)
+ [Perfis vinculados ao serviço do CloudFront](using-service-linked-roles.md)
+ [Solução de problemas de identidade e acesso do Amazon CloudFront](security_iam_troubleshoot.md)
## Público
A forma como você usa o AWS Identity and Access Management (IAM) difere com base em seu perfil:
+ **Usuário do serviço**: solicite permissões ao seu administrador se você não conseguir acessar os atributos (consulte [Solução de problemas de identidade e acesso do Amazon CloudFront](security_iam_troubleshoot.md)).
+ **Administrador do serviço**: determine o acesso do usuário e envie solicitações de permissão (consulte [Como o Amazon CloudFront funciona com o IAM](security_iam_service-with-iam.md))
+ **Administrador do IAM**: escreva políticas para gerenciar o acesso (consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md))
## Autenticação com identidades
A autenticação é a forma como fazer login na AWS usando suas credenciais de identidade. Você precisa se autenticar como o Usuário raiz da conta da AWS, como um usuário do IAM ou assumindo um perfil do IAM.
Você pode fazer login como uma identidade federada usando credenciais de uma fonte de identidade, como o Centro de Identidade do AWS IAM (Centro de Identidade do IAM), autenticação única ou credenciais do Google/Facebook. Para ter mais informações sobre como fazer login, consulte [Como fazer login em sua Conta da AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) no *Guia do usuário do Início de Sessão da AWS*.
Para acesso programático, a AWS oferece um SDK e uma CLI para assinar solicitações criptograficamente. Para ter mais informações, consulte [AWS Signature Version 4 para solicitações de API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) no *Guia do usuário do IAM*.
### Usuário-raiz Conta da AWS
Ao criar uma Conta da AWS, você começa com uma identidade de login única chamada *usuário-raiz* da Conta da AWS, que tem acesso total a todos os recursos e Serviços da AWS. É altamente recomendável não usar o usuário-raiz em tarefas diárias. Consulte as tarefas que exigem credenciais de usuário-raiz em [Tarefas que exigem credenciais de usuário-raiz](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) no *Guia do usuário do IAM*.
### Identidade federada
Como prática recomendada, exija que os usuários humanos usem a federação com um provedor de identidades para acessar a Serviços da AWS usando credenciais temporárias.
Uma *identidade federada* é um usuário do seu diretório empresarial, de um provedor de identidades da web ou do Directory Service que acessa Serviços da AWS usando credenciais de uma fonte de identidade. As identidades federadas assumem funções que oferecem credenciais temporárias.
Para o gerenciamento de acesso centralizado, recomendamos Centro de Identidade do AWS IAM. Para saber mais, consulte [O que é o IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) no *Guia do usuário do Centro de Identidade do AWS IAM*.
### Usuários e grupos do IAM
Um *[usuário do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* é uma identidade com permissões específicas para uma única pessoa ou aplicação. É recomendável usar credenciais temporárias, em vez de usuários do IAM com credenciais de longo prazo. Para saber mais, consulte [Exigir que os usuários humanos usem a federação com um provedor de identidade para acessar a AWS usando credenciais temporárias](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) no *Guia do usuário do IAM*.
Um [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) especifica um conjunto de usuários do IAM e facilita o gerenciamento de permissões para grandes conjuntos de usuários. Para ter mais informações, consulte [Casos de uso de usuários do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) no *Guia do usuário do IAM*.
### Perfis do IAM
Uma *[perfil do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* é uma identidade com permissões específicas que oferece credenciais temporárias. É possível assumir um perfil [alternando de um usuário para um perfil do IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) ou chamando uma operação de API AWS CLI ou AWS. Para saber mais, consulte [Métodos para assumir um perfil](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) no *Manual do usuário do IAM*.
Os perfis do IAM são úteis para acesso de usuário federado, permissões de usuário do IAM temporárias, acesso entre contas, acesso entre serviços e aplicações em execução no Amazon EC2. Consulte mais informações em [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*.
## Gerenciar o acesso usando políticas
Você controla o acesso na AWS criando políticas e anexando-as a identidades ou recursos da AWS. Uma política define permissões quando associada a uma identidade ou a um recurso. A AWS avalia essas políticas quando a entidade principal faz uma solicitação. A maioria das políticas é armazenada na AWS como documentos JSON. Para ter mais informações sobre documentos de política JSON, consulte [Visão geral das políticas JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) no *Guia do usuário do IAM*.
Por meio de políticas, os administradores especificam quem tem acesso a que, definindo qual **entidade principal** pode realizar **ações** em quais **recursos** e sob quais **condições**.
Por padrão, usuários e perfis não têm permissões. Um administrador do IAM cria políticas do IAM e as adiciona aos perfis, os quais os usuários podem então assumir. As políticas do IAM definem permissões, independentemente do método usado para realizar a operação.
### Políticas baseadas em identidade
As políticas baseadas em identidade são documentos de políticas de permissão JSON que você anexa a uma identidade (usuário, grupo ou perfil). Essas políticas controlam quais ações as identidades podem realizar, em quais recursos e sob quais condições. Para saber como criar uma política baseada em identidade, consulte [Definir permissões personalizadas do IAM com as políticas gerenciadas pelo cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) no *Guia do Usuário do IAM*.
As políticas baseadas em identidade podem ser políticas *em linha* (incorporadas diretamente em uma única identidade) ou *políticas gerenciadas* (políticas autônomas anexadas a várias identidades). Para saber como escolher entre uma política gerenciada e políticas em linha, consulte [Escolher entre políticas gerenciadas e políticas em linha](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) no *Guia do usuário do IAM*.
### Políticas baseadas em recursos
Políticas baseadas em recursos são documentos de políticas JSON que você anexa a um recurso. Entre os exemplos estão *políticas de confiança de perfil* do IAM e *políticas de bucket* do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. É necessário [especificar uma entidade principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) em uma política baseada em recursos.
Políticas baseadas em recursos são políticas em linha localizadas nesse serviço. Não é possível usar as políticas gerenciadas pela AWS do IAM em uma política baseada em atributos.
### Outros tipos de política
A AWS permite outros tipos de política capazes de definir o máximo de permissões concedidas por tipos de política mais comuns:
+ **Limites de permissões**: definem o número máximo de permissões que uma política baseada em identidade pode conceder a uma entidade do IAM. Para saber mais sobre limites de permissões, consulte [Limites de permissões para identidades do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) no *Guia do usuário do IAM*.
+ **Políticas de Controle de Serviços (SCPs)**: as SCPs especificam o número máximo de permissões para uma organização ou uma unidade organizacional no AWS Organizations. Para saber mais, consulte [Políticas de controle de serviço](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) no *Guia do usuário do AWS Organizations*.
+ **Políticas de controle de recursos (RCPs)**: definem o número máximo de permissões disponíveis para recursos em suas contas. Consulte mais informações em [Resource control policies (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) no *Guia do usuário do AWS Organizations*.
+ **Políticas de sessão**: políticas avançadas transmitidas como um parâmetro durante a criação de uma sessão temporária para um perfil ou um usuário federado. Para saber mais, consulte [Políticas de sessão](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) no *Guia do usuário do IAM*.
### Vários tipos de política
Quando vários tipos de política são aplicáveis a uma solicitação, é mais complicado compreender as permissões resultantes. Para saber como a AWS determina se deve permitir ou não uma solicitação quando há vários tipos de política envolvidos, consulte [Lógica da avaliação de políticas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) no *Guia do usuário do IAM*.
# Como o Amazon CloudFront funciona com o IAM
Antes de usar o IAM para gerenciar o acesso ao CloudFront, saiba quais recursos do IAM estão disponíveis para uso com o CloudFront.
**Recursos do IAM que você pode usar com o Amazon CloudFront**
| Recurso do IAM | Suporte do CloudFront |
| --- | --- |
| [Políticas baseadas em identidade](#security_iam_service-with-iam-id-based-policies) | Sim |
| [Políticas baseadas em recurso](#security_iam_service-with-iam-resource-based-policies) | Não |
| [Ações de políticas](#security_iam_service-with-iam-id-based-policies-actions) | Sim |
| [Recursos de políticas](#security_iam_service-with-iam-id-based-policies-resources) | Sim |
| [Chaves de condição de política (específicas do serviço)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Sim |
| [ACLs](#security_iam_service-with-iam-acls) | Não |
| [ABAC (tags em políticas)](#security_iam_service-with-iam-tags) | Parcial |
| [Credenciais temporárias](#security_iam_service-with-iam-roles-tempcreds) | Sim |
| [Sessões de acesso direto (FAS)](#security_iam_service-with-iam-principal-permissions) | Não |
| [Perfis de serviço](#security_iam_service-with-iam-roles-service) | Não |
| [Perfis vinculados ao serviço](#security_iam_service-with-iam-roles-service-linked) | Sim |
Para obter uma visão geral de como o CloudFront e outros serviços da AWS funcionam com a maioria dos recursos do IAM, consulte [Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) no *Guia do usuário do IAM*.
## Políticas baseadas em identidade para o CloudFront
**Compatível com políticas baseadas em identidade:** sim
As políticas baseadas em identidade são documentos de políticas de permissões JSON que podem ser anexados a uma identidade, como usuário do IAM, grupo de usuários ou perfil. Essas políticas controlam quais ações os usuários e perfis podem realizar, em quais recursos e em que condições. Para saber como criar uma política baseada em identidade, consulte [Definir permissões personalizadas do IAM com as políticas gerenciadas pelo cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) no *Guia do Usuário do IAM*.
Com as políticas baseadas em identidade do IAM, é possível especificar ações e recursos permitidos ou negados, assim como as condições sob as quais as ações são permitidas ou negadas. Para saber mais sobre todos os elementos que podem ser usados em uma política JSON, consulte [Referência de elemento de política JSON do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) no *Guia do usuário do IAM*.
### Exemplos de políticas baseadas em identidade para o CloudFront
Para visualizar exemplos de políticas baseadas em identidade do CloudFront, consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md).
## Políticas baseadas em recursos no CloudFront
**Compatibilidade com políticas baseadas em recursos:** não
Políticas baseadas em recursos são documentos de políticas JSON que você anexa a um recurso. São exemplos de políticas baseadas em recursos as *políticas de confiança de perfil* do IAM e as *políticas de bucket* do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. Para o atributo ao qual a política está anexada, a política define quais ações uma entidade principal especificado pode executar nesse atributo e em que condições. É necessário [especificar uma entidade principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) em uma política baseada em recursos. As entidades principais podem incluir contas, usuários, perfis, usuários federados ou Serviços da AWS.
Para permitir o acesso entre contas, é possível especificar uma conta inteira ou as entidades do IAM em outra conta como a entidade principal em uma política baseada em recursos. Consulte mais informações em [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*.
## Ações de políticas do CloudFront
**Compatível com ações de políticas:** sim
Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**.
O elemento `Action` de uma política JSON descreve as ações que podem ser usadas para permitir ou negar acesso em uma política. Incluem ações em uma política para conceder permissões para executar a operação associada.
Para ver uma lista das ações do CloudFront, consulte [Ações definidas pelo Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions) na *Referência de autorização do serviço*.
As ações de políticas no CloudFront usam o seguinte prefixo antes da ação:
```
cloudfront
```
Para especificar várias ações em uma única declaração, separe-as com vírgulas.
```
"Action": [
"cloudfront:action1",
"cloudfront:action2"
]
```
Para visualizar exemplos de políticas baseadas em identidade do CloudFront, consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md).
## Recursos de políticas do CloudFront
**Compatível com recursos de políticas:** sim
Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**.
O elemento de política JSON `Resource` especifica o objeto ou os objetos aos quais a ação se aplica. Como prática recomendada, especifique um recurso usando seu [nome do recurso da Amazon (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Para ações em que não é possível usar permissões em nível de recurso, use um curinga (\$1) para indicar que a instrução se aplica a todos os recursos.
```
"Resource": "*"
```
Para ver uma lista dos tipos de recursos do CloudFront e seus ARNs, consulte [Tipos de recursos definidos pelo Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-resources-for-iam-policies) na *Referência de autorização do serviço*. Para saber com quais ações você pode especificar o ARN de cada recurso, consulte [Ações definidas pelo Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions).
Para visualizar exemplos de políticas baseadas em identidade do CloudFront, consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md).
## Chaves de condição de políticas para o CloudFront
**Compatível com chaves de condição de política específicas de serviço:** sim
Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**.
O elemento `Condition` especifica quando as instruções são executadas com base em critérios definidos. É possível criar expressões condicionais que usem [agentes de condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), como “igual a” ou “menor que”, para fazer a condição da política corresponder aos valores na solicitação. Para ver todas as chaves de condição globais da AWS, consulte [Chaves de contexto de condição globais da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) no *Guia do usuário do IAM*.
Para ver uma lista de chaves de condição do CloudFront, consulte [Chaves de condição do Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-policy-keys) na *Referência de autorização do serviço*. Para saber com quais ações e recursos você pode usar a chave de condição, consulte [Ações definidas pelo Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions).
Para visualizar exemplos de políticas baseadas em identidade do CloudFront, consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md).
## ACLs no CloudFront
**Compatível com ACLs:** não
As listas de controle de acesso (ACLs) controlam quais entidades principais (membros, usuários ou perfis da conta) têm permissões para acessar um recurso. As ACLs são semelhantes às políticas baseadas em recursos, embora não usem o formato de documento de política JSON.
## ABAC com o CloudFront
**Compatível com ABAC (tags em políticas):** parcial
O controle de acesso por atributo (ABAC) é uma estratégia de autorização que define permissões com base em atributos chamados de tags. Você pode anexar tags a entidades do IAM e recursos da AWS e, em seguida, projetar políticas de ABAC para permitir operações quando a tag da entidade principal corresponder à tag no recurso.
Para controlar o acesso baseado em tags, forneça informações sobre as tags no [elemento de condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) de uma política usando as `aws:ResourceTag/key-name`, `aws:RequestTag/key-name` ou chaves de condição `aws:TagKeys`.
Se um serviço for compatível com as três chaves de condição para cada tipo de recurso, o valor será **Sim** para o serviço. Se um serviço for compatível com as três chaves de condição somente para alguns tipos de recursos, o valor será **Parcial**
Para saber mais sobre o ABAC, consulte [Definir permissões com autorização do ABAC](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) no *Guia do usuário do IAM*. Para visualizar um tutorial com etapas para configurar o ABAC, consulte [Usar controle de acesso por atributo (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) no *Guia do usuário do IAM*.
O CloudFront permite o uso do ABAC para recursos do CloudFront que permitem tags, como distribuições, locatário ou armazenamentos confiáveis.
## Usar credenciais temporárias com o CloudFront
**Compatível com credenciais temporárias:** sim
As credenciais temporárias dão acesso de curto prazo aos recursos da AWS e são criadas automaticamente quando você usa a federação ou alterna os perfis. A AWS recomenda a você gerar credenciais temporárias dinamicamente, em vez de usar chaves de acesso de longo prazo. Para ter mais informações, consulte [Credenciais de segurança temporárias no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) e [Serviços da Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) no *Guia do usuário do IAM*.
## Sessões de acesso direto do CloudFront
**Compatível com sessões de acesso direto (FAS):** não
As Sessões de Acesso Direto (FAS) usam as permissões da entidade principal chamando um AWS service (Serviço da AWS), bem como o AWS service (Serviço da AWS) solicitante, para fazer solicitações a serviços downstream. Para obter detalhes da política ao fazer solicitações de FAS, consulte [Sessões de acesso direto](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
## Perfis de serviço do CloudFront
**Compatível com perfis de serviço:** não
O perfil de serviço é um [perfil do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) que um serviço assume para executar ações em seu nome. Um administrador do IAM pode criar, modificar e excluir um perfil de serviço do IAM. Para saber mais, consulte [Criar um perfil para delegar permissões a um AWS service (Serviço da AWS)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) no *Guia do Usuário do IAM*.
**Atenção**
Alterar as permissões de um perfil de serviço pode interromper a funcionalidade do CloudFront. Edite perfis de serviço somente quando o CloudFront fornecer orientação para isso.
## Funções vinculadas ao serviço do CloudFront
**Compatibilidade com perfis vinculados a serviços:** sim
Um perfil vinculado a serviço é um tipo de perfil de serviço vinculado a um AWS service (Serviço da AWS). O serviço pode presumir o perfil de executar uma ação em seu nome. Perfis vinculados ao serviço aparecem em sua Conta da AWS e são de propriedade do serviço. Um administrador do IAM pode visualizar, mas não editar as permissões para perfis vinculados ao serviço.
O CloudFront usa perfis vinculados ao serviço para realizar ações em seu nome. Consulte mais informações sobre como criar ou gerenciar perfis vinculados ao serviço do CloudFront em [Perfis vinculados ao serviço do CloudFront](using-service-linked-roles.md). Para ter mais informações sobre como criar ou gerenciar perfis vinculadas ao serviço do Lambda@Edge, consulte [Funções vinculadas ao serviço para o Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Para obter detalhes sobre como criar ou gerenciar perfis vinculados a serviços, consulte [Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Encontre um serviço na tabela que inclua um `Yes` na coluna **Perfil vinculado ao serviço**. Escolha o link **Sim** para visualizar a documentação do perfil vinculado a serviço desse serviço.
# Exemplos de políticas baseadas em identidade do Amazon CloudFront
Por padrão, usuários e funções não têm permissão para criar nem modificar recursos do CloudFront. Para conceder permissão aos usuários para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM.
Para saber como criar uma política baseada em identidade do IAM usando esses exemplos de documento de política JSON, consulte [Criar políticas do IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) no *Guia do usuário do IAM*.
Para obter detalhes sobre ações e tipos de recurso definidos pelo CloudFront, por exemplo, o formato dos ARNs para cada um dos tipos de recurso, consulte [Ações, recursos e chaves de condição do Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html) na *Referência de autorização do serviço*.
**Topics**
+ [Práticas recomendadas de política](#security_iam_service-with-iam-policy-best-practices)
+ [Permitir que os usuários visualizem suas próprias permissões](#security_iam_id-based-policy-examples-view-own-permissions)
+ [Permissões para acessar o CloudFront programaticamente](#security_iam_id-based-policy-examples-programmatic-access-all)
+ [Permissões necessárias para usar o console do CloudFront](#security_iam_id-based-policy-examples-console-required-permissions)
+ [Exemplos de política gerenciada pelo cliente](#security_iam_id-based-policy-examples-sdk-cli)
## Práticas recomendadas de política
As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do CloudFront em sua conta. Essas ações podem incorrer em custos para sua Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:
+ **Comece com as políticas gerenciadas pela AWS e avance para as permissões de privilégio mínimo**: para começar a conceder permissões a seus usuários e workloads, use as *políticas gerenciadas pela AWS*, que concedem permissões para muitos casos de uso comuns. Elas estão disponíveis em seus Conta da AWS. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo cliente da AWS que são específicas para seus casos de uso. Para saber mais, consulte [Políticas gerenciadas pela AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [Políticas gerenciadas pela AWS para funções de trabalho](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) no *Guia do usuário do IAM*.
+ **Aplique permissões de privilégio mínimo**: ao definir permissões com as políticas do IAM, conceda apenas as permissões necessárias para executar uma tarefa. Você faz isso definindo as ações que podem ser executadas em recursos específicos sob condições específicas, também conhecidas como *permissões de privilégio mínimo*. Para saber mais sobre como usar o IAM para aplicar permissões, consulte [Políticas e permissões no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) no *Guia do usuário do IAM*.
+ **Use condições nas políticas do IAM para restringir ainda mais o acesso**: é possível adicionar uma condição às políticas para limitar o acesso a ações e recursos. Por exemplo, é possível escrever uma condição de política para especificar que todas as solicitações devem ser enviadas usando SSL. Também pode usar condições para conceder acesso a ações de serviço, se elas forem usadas por meio de um AWS service (Serviço da AWS) específico, como o CloudFormation. Para saber mais, consulte [Elementos da política JSON do IAM: condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) no *Guia do usuário do IAM*.
+ **Use o IAM Access Analyzer para validar suas políticas do IAM a fim de garantir permissões seguras e funcionais**: o IAM Access Analyzer valida as políticas novas e existentes para que elas sigam a linguagem de política do IAM (JSON) e as práticas recomendadas do IAM. O IAM Access Analyzer oferece mais de cem verificações de política e recomendações práticas para ajudar a criar políticas seguras e funcionais. Para saber mais, consulte [Validação de políticas do IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) no *Guia do Usuário do IAM*.
+ **Exigir autenticação multifator (MFA)**: se houver um cenário que exija usuários do IAM ou um usuário raiz em sua Conta da AWS, ative a MFA para obter segurança adicional. Para exigir MFA quando as operações de API forem chamadas, adicione condições de MFA às suas políticas. Para saber mais, consulte [Configuração de acesso à API protegido por MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) no *Guia do Usuário do IAM*.
Para saber mais sobre as práticas recomendadas do IAM, consulte [Práticas recomendadas de segurança no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) no *Guia do usuário do IAM*.
## Permitir que os usuários visualizem suas próprias permissões
Este exemplo mostra como criar uma política que permita que os usuários do IAM visualizem as políticas gerenciadas e em linha anexadas a sua identidade de usuário. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando a AWS CLI ou a API da AWS.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Permissões para acessar o CloudFront programaticamente
Veja a seguir uma política de permissões. O `Sid`, ou o ID de instrução, é opcional.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowAllCloudFrontPermissions",
"Effect": "Allow",
"Action": ["cloudfront:*"],
"Resource": "*"
}
]
}
```
------
A política concede permissões para executar todas as operações do CloudFront, o que é suficiente para acessar o CloudFront de forma programática. Se estiver usando o console para acessar o CloudFront, consulte [Permissões necessárias para usar o console do CloudFront](#security_iam_id-based-policy-examples-console-required-permissions).
Para visualizar uma lista de ações e o ARN que podem ser especificadas para conceder ou negar permissão para usar cada ação, consulte [Ações, recursos e chaves de condição do Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html) na *Referência de autorização do serviço*.
## Permissões necessárias para usar o console do CloudFront
Para permitir acesso total ao console do CloudFront, conceda as permissões na seguinte política de permissões:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:*",
"cloudwatch:DescribeAlarms",
"cloudwatch:PutMetricAlarm",
"cloudwatch:GetMetricStatistics",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets",
"s3:PutBucketPolicy"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
Veja por que as permissões são necessárias:
**`acm:ListCertificates`**
Permite que você visualize uma lista de certificados do ACM quando estiver criando e atualizando distribuições por meio do console do CloudFront e quiser configurar o CloudFront para exigir HTTPS entre o visualizador e o CloudFront ou entre o CloudFront e a origem.
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`cloudfront:*`**
Permite executar todas as ações do CloudFront.
**`cloudwatch:DescribeAlarms` e `cloudwatch:PutMetricAlarm`**
Permite criar e exibir alarmes do CloudWatch no console do CloudFront. Consulte também `sns:ListSubscriptionsByTopic` e `sns:ListTopics`.
Essas permissões não serão necessárias se você não estiver usando o console do CloudFront.
**`cloudwatch:GetMetricStatistics`**
Permite que o CloudFront renderize as métricas do CloudWatch no console do CloudFront.
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`elasticloadbalancing:DescribeLoadBalancers`**
Quando estiver criando e atualizando distribuições, permite que você visualize uma lista de balanceadores de carga do Elastic Load Balancing na lista de origens disponíveis.
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`iam:ListServerCertificates`**
Permite que você visualize uma lista de certificados no repositório de certificados do IAM quando estiver criando e atualizando distribuições por meio do console do CloudFront e quiser configurar o CloudFront para exigir HTTPS entre o visualizador e o CloudFront ou entre o CloudFront e a origem.
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`s3:ListAllMyBuckets`**
Quando estiver criando e atualizando distribuições, permite que você execute as seguintes operações:
+ Visualizar uma lista de buckets do S3 na lista de origens disponíveis.
+ Visualizar uma lista de buckets do S3 nos quais você pode salvar logs de acesso..
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`S3:PutBucketPolicy`**
Ao criar ou atualizar distribuições que restringem o acesso a buckets do S3, permite que um usuário atualize a política do bucket para conceder acesso à identidade de acesso de origem do CloudFront. Para obter mais informações, consulte [Usar uma identidade de acesso à origem (herdada, não recomendado)](private-content-restricting-access-to-s3.md#private-content-restricting-access-to-s3-oai).
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`sns:ListSubscriptionsByTopic` e `sns:ListTopics`**
Ao criar alarmes do CloudWatch no console do CloudFront, permite escolher um tópico do SNS para notificações.
Essas permissões não serão necessárias se você não estiver usando o console do CloudFront.
**`waf:GetWebACL` e `waf:ListWebACLs`**
Permite exibir uma lista de ACLs da Web do AWS WAF no console do CloudFront.
Essas permissões não serão necessárias se você não estiver usando o console do CloudFront.
### Ações somente de permissão para o console do CloudFront
Você pode realizar as ações do CloudFront a seguir na página do [Pacote Promocional de Segurança do CloudFront](https://console.aws.amazon.com//cloudfront/v3/home#/savings-bundle/overview). As ações de API a seguir não devem ser chamadas pelo seu código e não estão incluídas na AWS CLI e nos SDKs da AWS.
****
| Ação | Descrição |
| --- | --- |
| `CreateSavingsPlan` | Concede permissão para criar um Savings Plans. |
| `GetSavingsPlan` | Concede permissão para obter um Savings Plans. |
| `ListRateCards` | Concede permissão para listar cartões de tarifa do CloudFront para a conta. |
| `ListSavingsPlans` | Concede permissão para listar Savings Plans na conta. |
| `ListUsages` | Concede permissão para listar a utilização do CloudFront. |
| `UpdateSavingsPlan` | Concede permissão para atualizar um Savings Plans. |
**Observações**
Para ter mais informações sobre os Savings Plans do CloudFront, consulte a seção sobre o Pacote Promocional de Segurança do CloudFront em [Perguntas frequentes sobre o Amazon CloudFront](https://aws.amazon.com/cloudfront/faqs/).
Se você criar um Savings Plans para o CloudFront e quiser excluí-lo posteriormente, entre em contato com o [AWS Support](https://console.aws.amazon.com/support/home#/case/create?issueType=customer-service).
## Exemplos de política gerenciada pelo cliente
Você pode criar suas próprias políticas personalizadas do IAM para conceder permissões a ações da API do CloudFront. Você pode anexar essas políticas personalizadas a usuários ou grupos do IAM que exijam as permissões especificadas. Essas políticas funcionam quando você está usando a API do CloudFront, os AWS SDKs ou a AWS CLI. Os exemplos a seguir mostram permissões para alguns casos de uso comuns. Para a política que concede acesso total a um usuário ao CloudFront, consulte [Permissões necessárias para usar o console do CloudFront](#security_iam_id-based-policy-examples-console-required-permissions).
**Topics**
+ [Exemplo 1: permitir acesso de leitura a todas as distribuições](#security_iam_id-based-policy-examples-allow-read-all-distributions)
+ [Exemplo 2: permitir criar, atualizar e excluir distribuições](#security_iam_id-based-policy-examples-allow-create-update-delete-distributions)
+ [Exemplo 3: permitir a criação e a listagem de invalidações](#security_iam_id-based-policy-examples-allow-create-list-invalidations)
+ [Exemplo 4: permitir criar uma distribuição](#create-distribution-iam-policy)
### Exemplo 1: permitir acesso de leitura a todas as distribuições
A política a seguir concede ao usuário permissões para visualizar todas as distribuições no console do CloudFront:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:GetDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
### Exemplo 2: permitir criar, atualizar e excluir distribuições
A política a seguir concede aos usuários permissão para criar, atualizar e excluir distribuições usando o console do CloudFront:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:CreateDistribution",
"cloudfront:DeleteDistribution",
"cloudfront:GetDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:UpdateDistribution",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets",
"s3:PutBucketPolicy"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
Com a permissão `cloudfront:ListCloudFrontOriginAccessIdentities`, os usuários podem conceder automaticamente a uma identidade de acesso de origem a permissão para acessar objetos em um bucket do Amazon S3. Se você quiser que os usuários também possam criar identidades de acesso de origem, é necessário conceder a permissão `cloudfront:CreateCloudFrontOriginAccessIdentity`.
### Exemplo 3: permitir a criação e a listagem de invalidações
A política de a seguir permite que os usuários criem e indiquem invalidações. Ela inclui acesso de leitura a distribuições do CloudFront, pois você cria e visualiza invalidações exibindo as configurações de uma distribuição:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:GetDistribution",
"cloudfront:GetStreamingDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"cloudfront:CreateInvalidation",
"cloudfront:GetInvalidation",
"cloudfront:ListInvalidations",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
### Exemplo 4: permitir criar uma distribuição
A política a seguir concede ao usuário permissão para criar e listar as distribuições no console do CloudFront. Para a ação `CreateDistribution`, especifique o caractere curinga (\$1) para o `Resource` em vez de um curinga para o ARN (`arn:aws:cloudfront::123456789012:distribution/*`) de distribuição. Para ter mais informações sobre o elemento `Resource`, consulte [Elementos de política JSON do IAM: recurso](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html) no *Guia do usuário do IAM*.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "cloudfront:CreateDistribution",
"Resource": "*"
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": "cloudfront:ListDistributions",
"Resource": "*"
}
]
}
```
------
# AWSPolíticas gerenciadas pela para Amazon CloudFront
Para adicionar permissões a usuários, grupos e funções, é mais fácil usar políticas gerenciadas pela AWS do que gravar políticas por conta própria. É necessário tempo e experiência para [criar políticas gerenciadas pelo cliente do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) que fornecem aos seus usuários apenas as permissões de que eles precisam. Para começar rapidamente, você pode usar nossas políticas gerenciadas pela AWS. Essas políticas abrangem casos de uso comuns e estão disponíveis na sua Conta da AWS. Para obter mais informações sobre as políticas gerenciadas da AWS, consulte [Políticas gerenciadas da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) no *Guia do usuário do IAM*.
Os serviços da AWS mantêm e atualizam políticas gerenciadas pela AWS. Não é possível alterar as permissões em políticas gerenciadas pela AWS. Os serviços ocasionalmente acrescentam permissões adicionais a uma política gerenciada pela AWS para oferecer suporte a novos recursos. Esse tipo de atualização afeta todas as identidades (usuários, grupos e funções) em que a política está anexada. É mais provável que os serviços atualizem uma política gerenciada pela AWS quando um novo recurso for iniciado ou novas permissões estiverem disponíveis. Os serviços não removem permissões de uma política gerenciada pela AWS, portanto, as atualizações de políticas não suspenderão suas permissões existentes.
Além disso, a AWS é compatível com políticas gerenciadas por perfis de trabalho que abrangem vários serviços. Por exemplo, a política **ReadOnlyAccess** política gerenciada pela AWS fornece acesso somente leitura a todos os serviços e recursos da AWS. Quando um serviço executa um novo atributo, a AWS adiciona permissões somente leitura para novas operações e recursos. Para obter uma lista e descrições das políticas de perfis de trabalho, consulte [Políticas gerenciadas pela AWS para perfis de trabalho](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) no *Guia do usuário do IAM*.
**Topics**
+ [AWSPolítica gerenciada pela : CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only)
+ [AWSPolítica gerenciada pela : CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access)
+ [AWSPolítica gerenciada pela : AWSCloudFrontLogger](#security-iam-awsmanpol-cloudfront-logger)
+ [AWSPolítica gerenciada pela : AWSLambdaReplicator](#security-iam-awsmanpol-lambda-replicator)
+ [Política gerenciada pela AWS: AWSCloudFrontVPCOriginServiceRolePolicy](#security-iam-awsmanpol-vpc-origin)
+ [Atualizações do CloudFront em políticas gerenciadas pela AWS](#security-iam-awsmanpol-updates)
## AWSPolítica gerenciada pela : CloudFrontReadOnlyAccess
Você pode anexar a política **CloudFrontReadOnlyAccess** a suas identidades do IAM. Essa política concede permissões somente leitura aos recursos do CloudFront. Ela também concede permissões somente leitura a outros recursos de serviços da AWS que estão relacionados ao CloudFront e são visíveis no console do CloudFront.
**Detalhes das permissões**
Esta política inclui as seguintes permissões.
+ `cloudfront:Describe*`: permite que as entidades principais obtenham informações sobre metadados de recursos do CloudFront.
+ `cloudfront:Get*`: permite que os principais obtenham informações detalhadas e configurações para recursos do CloudFront.
+ `cloudfront:List*`: permite que os principais obtenham listas de recursos do CloudFront.
+ `cloudfront-keyvaluestore:Describe*`: permite que as entidades principais obtenham informações sobre armazenamento de chave-valor.
+ `cloudfront-keyvaluestore:Get*`: permite que as entidades principais obtenham informações detalhadas e configurações para o armazenamento de chave-valor.
+ `cloudfront-keyvaluestore:List*`: permite que as entidades principais obtenham listas de armazenamentos de chave-valor.
+ `acm:DescribeCertificate`: permite que as entidades principais obtenham detalhes sobre o certificado do ACM.
+ `acm:ListCertificates`: permite que os principais obtenham uma lista de certificados do ACM.
+ `iam:ListServerCertificates`: permite que os principais obtenham uma lista de certificados de servidor armazenados no IAM.
+ `route53:List*`: permite que os principais obtenham listas de recursos do Route 53.
+ `waf:ListWebACLs` – permite que os principais obtenham uma lista de ACLs da Web no AWS WAF.
+ `waf:GetWebACL`: permite que as entidades principais obtenham informações detalhadas sobre ACLs da web no AWS WAF.
+ `wafv2:ListWebACLs`: permite que as entidades principais obtenham uma lista de ACLs da web no AWS WAF.
+ `wafv2:GetWebACL` – permite que as entidades principais obtenham informações detalhadas sobre ACLs da web no AWS WAF.
+ `pricingplanmanager:GetSubscription`: concede às entidades principais acesso somente leitura para ter informações sobre assinaturas de plano de preços.
+ `pricingplanmanager:ListSubscriptions`: concede às entidades principais acesso somente leitura para listar assinaturas de plano de preços.
+ `ec2:DescribeIpamPools`: permite as entidades principais recebam informações detalhadas sobre grupos de IPAM.
+ `ec2:GetIpamPoolCidrs`: permite que as entidades principais obtenham os CIDRs provisionados para um grupo de IPAM.
Para visualizar as permissões para essa política, consulte [CloudFrontReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudFrontReadOnlyAccess.html) na *Referência de políticas gerenciadas pela AWS*.
## AWSPolítica gerenciada pela : CloudFrontFullAccess
Você pode anexar a política **CloudFrontFullAccess** a suas identidades do IAM. Essa política concede permissões administrativas aos recursos do CloudFront. Ela também concede permissões somente leitura a outros recursos de serviços da AWS que estão relacionados ao CloudFront e são visíveis no console do CloudFront.
**Detalhes das permissões**
Esta política inclui as seguintes permissões.
+ `s3:ListAllMyBuckets`: permite que os principais obtenham uma lista de todos os buckets do Amazon S3.
+ `acm:DescribeCertificate`: permite que as entidades principais obtenham detalhes sobre o certificado do ACM.
+ `acm:ListCertificates`: permite que os principais obtenham uma lista de certificados do ACM.
+ `acm:RequestCertificate`: permite que as entidades principais solicitem certificados gerenciados do ACM.
+ `cloudfront:*`: permite que os principais realizem todas as ações em todos os recursos do CloudFront.
+ `cloudfront-keyvaluestore:*`: permite que as entidades principais realizem todas as ações no armazenamento de chave-valor.
+ `iam:ListServerCertificates`: permite que os principais obtenham uma lista de certificados de servidor armazenados no IAM.
+ `waf:ListWebACLs` – permite que os principais obtenham uma lista de ACLs da Web no AWS WAF.
+ `waf:GetWebACL`: permite que as entidades principais obtenham informações detalhadas sobre ACLs da web no AWS WAF.
+ `waf:CreateWebACLs`: permite que as entidades principais criem uma ACL da web no AWS WAF.
+ `wafv2:ListWebACLs`: permite que as entidades principais obtenham uma lista de ACLs da web no AWS WAF.
+ `wafv2:GetWebACL` – permite que os principais obtenham informações detalhadas sobre ACLs da Web no AWS WAF.
+ `kinesis:ListStreams`: permite que as entidades principais obtenham uma lista de fluxos do Amazon Kinesis.
+ `elasticloadbalancing:DescribeLoadBalancers`: permite que as entidades principais obtenham informações detalhadas sobre balanceadores de carga no Elastic Load Balancing.
+ `kinesis:DescribeStream`: permite que os principais obtenham informações detalhadas sobre um fluxo do Kinesis.
+ `iam:ListRoles`: permite que os principais obtenham uma lista de funções no IAM.
+ `pricingplanmanager:AssociateResourcesToSubscription`: permite que as entidades principais associem recursos a uma assinatura. Isso possibilita que os recursos sejam abrangidos pelo plano de preços da assinatura.
+ `pricingplanmanager:CancelSubscription`: permite que as entidades principais cancelem uma assinatura existente.
+ `pricingplanmanager:CancelSubscriptionChange`: permite que as entidades principais cancelem uma alteração pendente em uma assinatura existente, como uma atualização do plano, antes que a alteração seja aplicada.
+ `pricingplanmanager:CreateSubscription`: permite que as entidades principais criem uma assinatura de um plano de preços.
+ `pricingplanmanager:DisassociateResourcesFromSubscription`: permite que as entidades principais removam a associação entre recursos e uma assinatura existente.
+ `pricingplanmanager:UpdateSubscription`: permite que as entidades principais modifiquem uma assinatura existente, como alterar o plano de preços.
+ `pricingplanmanager:GetSubscription`: concede às entidades principais acesso somente leitura para ter informações sobre assinaturas de plano de preços.
+ `pricingplanmanager:ListSubscriptions`: concede às entidades principais acesso somente leitura para listar assinaturas de plano de preços.
+ `ec2:DescribeInstances`: permite que as entidades principais obtenham detalhes sobre instâncias no Amazon EC2.
+ `ec2:DescribeInternetGateways`: permite que as entidades principais obtenham informações detalhadas sobre gateways da internet no Amazon EC2.
+ `ec2:DescribeIpamPools`: permite as entidades principais recebam informações detalhadas sobre grupos de IPAM.
+ `ec2:GetIpamPoolCidrs`: permite que as entidades principais obtenham os CIDRs provisionados para um grupo de IPAM.
Para visualizar as permissões para essa política, consulte [CloudFrontFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudFrontFullAccess.html) na *Referência de políticas gerenciadas pela AWS*.
**Importante**
Para que o CloudFront crie e salve logs de acesso, você precisa conceder outras permissões. Para obter mais informações, consulte [Permissões](standard-logging-legacy-s3.md#AccessLogsBucketAndFileOwnership).
## AWSPolítica gerenciada pela : AWSCloudFrontLogger
Não é possível anexar a política **AWSCloudFrontLogger** a suas identidades do IAM. Essa política é anexada a uma função vinculada ao serviço que permite que o CloudFront realize ações em seu nome. Para obter mais informações, consulte [Funções vinculadas ao serviço para o Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Essa política permite que o CloudFront envie arquivos de log para o Amazon CloudWatch. Para obter detalhes sobre as permissões incluídas nesta política, consulte [Permissões de função vinculada ao serviço para o CloudFront Logger](lambda-edge-permissions.md#slr-permissions-cloudfront-logger).
Para visualizar as permissões dessa política, consulte [AWSCloudFrontLogger](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudFrontLogger.html) na *Referência de políticas gerenciadas pela AWS*.
## AWSPolítica gerenciada pela : AWSLambdaReplicator
Não é possível anexar a política **AWSLambdaReplicator** a suas identidades do IAM. Essa política é anexada a uma função vinculada ao serviço que permite que o CloudFront realize ações em seu nome. Para obter mais informações, consulte [Funções vinculadas ao serviço para o Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Esta política permite que o CloudFront crie, exclua e desabilite funções no AWS Lambda para replicar funções do Lambda@Edge para Regiões da AWS. Para obter detalhes sobre as permissões incluídas nesta política, consulte [Permissões de função vinculada ao serviço para o replicador do Lambda](lambda-edge-permissions.md#slr-permissions-lambda-replicator).
Para visualizar as permissões dessa política, consulte [AWSLambdaReplicator](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaReplicator.html) na *Referência de políticas gerenciadas pela AWS*.
## Política gerenciada pela AWS: AWSCloudFrontVPCOriginServiceRolePolicy
Não é possível anexar **AWSCloudFrontVPCOriginServiceRolePolicy** a suas entidades do IAM. Essa política é anexada a uma função vinculada ao serviço que permite que o CloudFront realize ações em seu nome. Para obter mais informações, consulte [Perfis vinculados ao serviço do CloudFront](using-service-linked-roles.md).
Essa política permite que o CloudFront gerencie interfaces de rede elástica e grupos de segurança do EC2 em seu nome. Para obter detalhes sobre as permissões incluídas nesta política, consulte [Permissões de perfil vinculado ao serviço para o CloudFront VPC Origins](using-service-linked-roles.md#slr-permissions).
Para exibir as permissões dessa política, consulte [AWSCloudFrontVPCOriginServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudFrontVPCOriginServiceRolePolicy.html) na *Referência de políticas gerenciadas pela AWS*.
## Atualizações do CloudFront em políticas gerenciadas pela AWS
Veja detalhes sobre atualizações em políticas gerenciadas pela AWS para o CloudFront desde que esse serviço começou a monitorar essas alterações. Para obter alertas automáticos sobre alterações feitas nesta página, inscreva-se no feed RSS na página [Document history](WhatsNew.md) (Histórico de documentos) do CloudFront.
| Alteração | Descrição | Data |
| --- | --- | --- |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualizar para uma política existente. | O CloudFront adicionou novas permissões para o Amazon EC2. As novas permissões possibilitam que as entidades principais usem as ações `ec2:DescribeIpamPools` e `ec2:GetIpamPoolCidrs`. | 24 de novembro de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou novas permissões para o Amazon EC2. As novas permissões possibilitam que as entidades principais usem as ações `ec2:DescribeIpamPools` e `ec2:GetIpamPoolCidrs`. | 24 de novembro de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou uma nova permissão para criar um recurso de ACL da web do AWS WAF, bem como permissões de criação, atualização, exclusão e leitura ao Gerenciador de Planos de Preços da AWS. | 18 de novembro de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou uma nova permissão para criar um recurso de ACL da web do AWS WAF, bem como permissões de criação, atualização, exclusão e leitura ao Gerenciador de Planos de Preços da AWS. | 18 de novembro de 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualizar para uma política existente. | O CloudFront adicionou novas permissões para acesso somente leitura ao Gerenciador de Planos de Preços da AWS. | 18 de novembro de 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualizar para uma política existente. | O CloudFront adicionou novas permissões para acesso somente leitura ao Gerenciador de Planos de Preços da AWS. | 18 de novembro de 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualizar para uma política existente. | O CloudFront adicionou uma nova permissão para o ACM. A nova permissão possibilita que as entidades principais obtenham detalhes sobre um certificado do ACM. | 28 de abril de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou novas permissões para o ACM. As novas permissões possibilitam que as entidades principais obtenham detalhes sobre um certificado do ACM e solicitem um certificado gerenciado do ACM. | 28 de abril de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou novas permissões para o Amazon EC2 e o Elastic Load Balancing. Essas novas permissões possibilitam que o CloudFront obtenha informações detalhadas sobre balanceadores de carga no Elastic Load Balancing e instâncias e gateways da internet no Amazon EC2. | 20 de novembro de 2024 |
| [AWSCloudFrontVPCOriginServiceRolePolicy](#security-iam-awsmanpol-vpc-origin): nova política | O CloudFront adicionou uma nova política. Essa política permite que o CloudFront gerencie interfaces de rede elástica e grupos de segurança do EC2 em seu nome. | 20 de novembro de 2024 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only) e [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualização em duas políticas existentes. | O CloudFront adicionou novas permissões para armazenamentos de chave-valor. As novas permissões permitem que os usuários obtenham informações e ajam em armazenamentos de chave-valor. | 19 de dezembro de 2023 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualização em uma política existente | O CloudFront adicionou uma nova permissão para descrever as CloudFront Functions. Ela permite que o usuário, grupo ou perfil leia informações e metadados sobre uma função, mas não o código da função. | 8 de setembro de 2021 |
| CloudFront começa a monitorar alterações | CloudFront começa a monitorar alterações para suas políticas gerenciadas pela AWS. | 8 de setembro de 2021 |
# Perfis vinculados ao serviço do CloudFront
O Amazon CloudFront usa [perfis vinculados ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) do AWS Identity and Access Management (IAM). Perfil vinculado ao serviço é um tipo exclusivo de perfil do IAM vinculado diretamente ao CloudFront. Os perfis vinculados ao serviço são predefinidos pelo CloudFront e incluem todas as permissões que o serviço requer para chamar outros serviços da AWS em seu nome.
Eles facilitam a configuração do CloudFront porque você não precisa adicionar as permissões necessárias manualmente. O CloudFront define as permissões dos perfis vinculados ao serviço e, exceto se definido de outra forma, somente o CloudFront pode assumir os respectivos perfis. As permissões definidas incluem a política de confiança e a política de permissões, que não pode ser anexada a nenhuma outra entidade do IAM.
Um perfil vinculado ao serviço poderá ser excluído somente após excluir seus atributos relacionados. Isso protege seus recursos do CloudFront, pois não é possível remover por engano as permissões para acessar os recursos.
Para obter informações sobre outros serviços compatíveis com perfis vinculados ao serviço, consulte [serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) e procure os serviços que apresentam **Sim** na coluna **Perfis vinculados aos serviços**. Escolha um **Sim** com um link para visualizar a documentação do perfil vinculado a esse serviço.
## Permissões de perfil vinculado ao serviço para o CloudFront VPC Origins
O CloudFront VPC Origins usa um perfil vinculado ao serviço denominado **AWSServiceRoleForCloudFrontVPCOrigin**: esse perfil permite que o CloudFront gerencie interfaces de rede elástica do EC2 e grupos de segurança em seu nome.
O perfil vinculado ao serviço AWSServiceRoleForCloudFrontVPCOrigin confia nos seguintes serviços para aceitar o perfil:
+ `vpcorigin.cloudfront.amazonaws.com`
A política de permissões de perfil chamada AWSCloudFrontVPCOriginServiceRolePolicy permite que o CloudFront VPC Origins realize as seguintes ações nos recursos especificados:
+ Ação: `ec2:CreateNetworkInterface` em `arn:aws:ec2:*:*:network-interface/*`
+ Ação: `ec2:CreateNetworkInterface` em `arn:aws:ec2:*:*:subnet/*` e `arn:aws:ec2:*:*:security-group/*`
+ Ação: `ec2:CreateSecurityGroup` em `arn:aws:ec2:*:*:security-group/*`
+ Ação: `ec2:CreateSecurityGroup` em `arn:aws:ec2:*:*:vpc/*`
+ Ação: `ec2:ModifyNetworkInterfaceAttribute`, `ec2:DeleteNetworkInterface`, `ec2:DeleteSecurityGroup`, `ec2:AssignIpv6Addresses` e `ec2:UnassignIpv6Addresses` em `supported AWS resources that have the aws:ResourceTag/aws.cloudfront.vpcorigin tag enabled`
+ Ação: `ec2:DescribeNetworkInterfaces`, `ec2:DescribeSecurityGroups`, `ec2:DescribeInstances`, `ec2:DescribeInternetGateways`, `ec2:DescribeSubnets`, `ec2:DescribeRegions` e `ec2:DescribeAddresses` em `all AWS resources that the actions support`
+ Ação: `ec2:CreateTags` em `arn:aws:ec2:*:*:security-group/*` e `arn:aws:ec2:*:*:network-interface/*`
+ Ação: `elasticloadbalancing:DescribeLoadBalancers`, `elasticloadbalancing:DescribeListeners`, e `elasticloadbalancing:DescribeTargetGroups` em `all AWS resources that the actions support`
Você deve configurar permissões para permitir que seus usuários, grupos ou perfis criem, editem ou excluam um perfil vinculado ao serviço. Para obter mais informações, consulte [Permissões do perfil vinculado a serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) no *Guia do usuário do IAM*.
## Criar um perfil vinculado ao serviço para o CloudFront VPC Origins
Não é necessário criar manualmente um perfil vinculado ao serviço. Quando você cria uma origem de VPC no Console de gerenciamento da AWS, na AWS CLI ou na API da AWS, o CloudFront VPC Origins cria o perfil vinculado ao serviço para você.
Se excluir esse perfil vinculado ao serviço e precisar criá-lo novamente, será possível usar esse mesmo processo para recriar o perfil em sua conta. Quando você cria uma instância ou um cluster, o CloudFront VPC Origins cria um perfil vinculado ao serviço para você novamente.
## Editar uma função vinculada ao serviço para o CloudFront VPC Origins
O CloudFront VPC Origins não permite que você edite o perfil vinculado ao serviço AWSServiceRoleForCloudFrontVPCOrigin. Depois que criar um perfil vinculado ao serviço, você não poderá alterar o nome do perfil, pois várias entidades podem fazer referência a ele. No entanto, será possível editar a descrição do perfil usando o IAM. Para saber mais, consulte [Editar um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) no *Guia do usuário do IAM*.
## Excluir um perfil vinculado ao serviço para o CloudFront VPC Origins
Se você não precisar mais usar um recurso ou serviço que requer um perfil vinculado ao serviço, é recomendável excluí-lo. Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ativamente ou mantida. No entanto, você deve limpar os recursos de seu perfil vinculado ao serviço antes de excluí-lo manualmente.
**nota**
Se o serviço CloudFront estiver usando um perfil quando você tentar excluir os recursos, a exclusão poderá falhar. Se isso acontecer, espere alguns minutos e tente a operação novamente.
**Como excluir os recursos do CloudFront VPC Origins usados por AWSServiceRoleForCloudFrontVPCOrigin**
+ Exclua os recursos de origem de VPC em sua conta.
+ Pode levar algum tempo para que o CloudFront conclua a exclusão dos recursos da sua conta. Se você não conseguir excluir o perfil vinculado ao serviço imediatamente, aguarde e tente novamente.
**Para excluir manualmente a função vinculada ao serviço usando o IAM**
Use o console do IAM, a AWS CLI ou a API da AWS para excluir a função vinculada ao serviço AWSServiceRoleForCloudFrontVPCOrigin. Para obter mais informações, consulte [Excluir um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) no *Guia do usuário do IAM*.
## Regiões compatíveis com perfis vinculados ao serviço do CloudFront
O CloudFront VPC Origins não permite usar perfis vinculados ao serviço em todas as regiões onde o serviço está disponível. Você pode usar a função AWSServiceRoleForCloudFrontVPCOrigin nas seguintes regiões.
| Nome da região | Identidade da região | Suporte no CloudFront |
| --- | --- | --- |
| Leste dos EUA (Norte da Virgínia) | us-east-1 | Sim |
| Leste dos EUA (Ohio) | us-east-2 | Sim |
| Oeste dos EUA (N. da Califórnia) | us-west-1 (exceto AZ usw1-az2) | Sim |
| Oeste dos EUA (Oregon) | us-west-2 | Sim |
| África (Cidade do Cabo) | af-south-1 | Sim |
| Ásia-Pacífico (Hong Kong) | ap-east-1 | Sim |
| Ásia-Pacífico (Jacarta) | ap-southeast-3 | Sim |
| Ásia-Pacífico (Melbourne) | ap-southeast-4 | Sim |
| Ásia-Pacífico (Mumbai) | ap-south-1 | Sim |
| Ásia-Pacífico (Hyderabad) | ap-south-2 | Sim |
| Ásia Pacifico (Osaka) | ap-northeast-3 | Sim |
| Ásia-Pacífico (Seul) | ap-northeast-2 | Sim |
| Ásia-Pacífico (Singapura) | ap-southeast-1 | Sim |
| Ásia-Pacífico (Sydney) | ap-southeast-2 | Sim |
| Ásia-Pacífico (Tóquio) | ap-northeast-1 (exceto AZ apne1-az3) | Sim |
| Canadá (Central) | ca-central-1 (exceto AZ cac1-az3) | Sim |
| Oeste do Canadá (Calgary) | ca-west-1 | Sim |
| Europa (Frankfurt) | eu-central-1 | Sim |
| Europa (Irlanda) | eu-west-1 | Sim |
| Europa (Londres) | eu-west-2 | Sim |
| Europa (Milão) | eu-south-1 | Sim |
| Europa (Paris) | eu-west-3 | Sim |
| Europa (Espanha) | eu-south-2 | Sim |
| Europa (Estocolmo) | eu-north-1 | Sim |
| Europa (Zurique) | eu-central-2 | Sim |
| Israel (Tel Aviv) | il-central-1 | Sim |
| Oriente Médio (Barém) | me-south-1 | Sim |
| Oriente Médio (Emirados Árabes Unidos) | me-central-1 | Sim |
| América do Sul (São Paulo) | sa-east-1 | Sim |
# Solução de problemas de identidade e acesso do Amazon CloudFront
Use as informações a seguir para ajudar a diagnosticar e corrigir problemas comuns que você possa encontrar ao trabalhar com o CloudFront e o IAM.
**Topics**
+ [Não tenho autorização para executar uma ação no CloudFront](#security_iam_troubleshoot-no-permissions)
+ [Não estou autorizado a executar iam:PassRole](#security_iam_troubleshoot-passrole)
+ [Quero permitir que as pessoas fora da minha Conta da AWS acessem meus recursos do CloudFront](#security_iam_troubleshoot-cross-account-access)
## Não tenho autorização para executar uma ação no CloudFront
Se você receber uma mensagem de erro informando que não tem autorização para executar uma ação, suas políticas deverão ser atualizadas para permitir que você realize a ação.
O erro do exemplo a seguir ocorre quando o usuário do IAM `mateojackson` tenta usar o console para visualizar detalhes sobre um atributo `my-example-widget` fictício, mas não tem as permissões `cloudfront:GetWidget` fictícias.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudfront:GetWidget on resource: my-example-widget
```
Nesse caso, a política do usuário `mateojackson` deve ser atualizada para permitir o acesso ao recurso `my-example-widget` usando a ação `cloudfront:GetWidget`.
Se você precisar de ajuda, entre em contato com seu administrador AWS. Seu administrador é a pessoa que forneceu suas credenciais de login.
## Não estou autorizado a executar iam:PassRole
Se você receber uma mensagem de erro informando que não tem autorização para realizar a ação `iam:PassRole`, as suas políticas deverão ser atualizadas para permitir que você passe um perfil para o CloudFront.
Alguns Serviços da AWS permitem que você passe um perfil existente para o serviço, em vez de criar um perfil de serviço ou perfil vinculado ao serviço. Para fazer isso, é preciso ter permissões para passar o perfil para o serviço.
O erro de exemplo a seguir ocorre quando uma usuária do IAM chamada `marymajor` tenta usar o console para realizar uma ação no CloudFront. No entanto, a ação exige que o serviço tenha permissões concedidas por um perfil de serviço. Mary não tem permissões para passar o perfil para o serviço.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
Nesse caso, as políticas de Mary devem ser atualizadas para permitir que ela realize a ação `iam:PassRole`.
Se você precisar de ajuda, entre em contato com seu administrador AWS. Seu administrador é a pessoa que forneceu suas credenciais de login.
## Quero permitir que as pessoas fora da minha Conta da AWS acessem meus recursos do CloudFront
É possível criar um perfil que os usuários de outras contas ou pessoas fora da organização podem usar para acessar seus recursos. É possível especificar quem é confiável para assumir o perfil. Para serviços que oferecem compatibilidade com políticas baseadas em recursos ou listas de controle de acesso (ACLs), é possível usar essas políticas para conceder às pessoas acesso aos seus recursos.
Para saber mais, consulte:
+ Para saber se o CloudFront é compatível com esses recursos, consulte [Como o Amazon CloudFront funciona com o IAM](security_iam_service-with-iam.md).
+ Para saber como conceder acesso a seus recursos em todas as Contas da AWS pertencentes a você, consulte [Fornecimento de acesso a um usuário do IAM em outra Conta da AWS pertencente a você](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) no *Guia de usuário do IAM*.
+ Para saber como conceder acesso a seus recursos para Contas da AWS de terceiros, consulte [Fornecimento de acesso a Contas da AWS pertencentes a terceiros](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) no *Guia do usuário do IAM*.
+ Para saber como conceder acesso por meio da federação de identidades, consulte [Conceder acesso a usuários autenticados externamente (federação de identidades)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) no *Guia do usuário do IAM*.
+ Para conhecer a diferença entre perfis e políticas baseadas em recurso para acesso entre contas, consulte [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*.