# Segurança no Amazon CloudFront
A segurança da nuvem na AWS é a nossa maior prioridade. Como cliente da AWS, você contará com um data center e uma arquitetura de rede criados para atender aos requisitos das organizações com as maiores exigências de segurança.
A segurança é uma responsabilidade compartilhada entre a AWS e você. O [modelo de responsabilidade compartilhada](https://aws.amazon.com/compliance/shared-responsibility-model/) descreve isto como segurança *da* nuvem e segurança *na* nuvem:
+ **Segurança da nuvem:** a AWS é responsável pela proteção da infraestrutura que executa produtos da AWS na Nuvem AWS. A AWS também fornece serviços que podem ser usados com segurança. Auditores de terceiros testam e verificam regularmente a eficácia da nossa segurança como parte dos [programas de conformidade da AWS](https://aws.amazon.com/compliance/programs/). Para saber mais sobre os programas de conformidade que se aplicam ao Amazon CloudFront, consulte [AWS Services in Scope by Compliance Program](https://aws.amazon.com/compliance/services-in-scope/).
+ **Segurança da nuvem**: sua responsabilidade é determinada pelo serviço da AWS que você usa. Também existe a responsabilidade por outros fatores, incluindo a confidencialidade de dados, os requisitos da organização e as leis e regulamentos aplicáveis.
Esta documentação ajuda a entender como aplicar o modelo de responsabilidade compartilhada ao usar o CloudFront. Os tópicos a seguir mostram como configurar o CloudFront para atender aos seus objetivos de segurança e de conformidade. Você também saberá como usar outros produtos da que ajudam a monitorar e proteger os recursos do CloudFront.
**Topics**
+ [Proteção de dados no Amazon CloudFront](data-protection-summary.md)
+ [Identity and Access Management para Amazon CloudFront](security-iam.md)
+ [Registro em log e monitoramento no Amazon CloudFront](logging-and-monitoring.md)
+ [Validação de conformidade com o Amazon CloudFront](compliance.md)
+ [Resiliência no Amazon CloudFront](disaster-recovery-resiliency.md)
+ [Segurança da infraestrutura no Amazon CloudFront](infrastructure-security.md)
# Proteção de dados no Amazon CloudFront
O modelo de [responsabilidade compartilhada](https://aws.amazon.com/compliance/shared-responsibility-model/) da AWS se aplica à proteção de dados no Amazon CloudFront. Conforme descrito nesse modelo, a AWS é responsável por proteger a infraestrutura global que executa toda a Nuvem AWS. Você é responsável por manter o controle sobre o conteúdo hospedado nessa infraestrutura. Você também é responsável pelas tarefas de configuração e gerenciamento de segurança dos Serviços da AWS que usa. Para saber mais sobre a privacidade de dados, consulte as [Data Privacy FAQ](https://aws.amazon.com/compliance/data-privacy-faq/). Para saber mais sobre a proteção de dados na Europa, consulte a postagem do blog [AWS Shared Responsibility Model and RGPD](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) no *Blog de segurança da AWS*.
Para fins de proteção de dados, recomendamos que você proteja as credenciais da Conta da AWS e configure as contas de usuário individuais com Centro de Identidade do AWS IAM ou AWS Identity and Access Management (IAM). Dessa maneira, cada usuário receberá apenas as permissões necessárias para cumprir suas obrigações de trabalho. Recomendamos também que você proteja seus dados das seguintes formas:
+ Use uma autenticação multifator (MFA) com cada conta.
+ Use SSL/TLS para se comunicar com os recursos da AWS. Exigimos TLS 1.2 e recomendamos TLS 1.3.
+ Configure os logs de API e atividade do usuário com AWS CloudTrail. Para saber mais sobre como usar as trilhas do CloudTrail para capturar atividades da AWS, consulte [Working with CloudTrail trails](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) no *Guia do usuário do AWS CloudTrail*.
+ Use as soluções de criptografia AWS, juntamente com todos os controles de segurança padrão em Serviços da AWS.
+ Use serviços gerenciados de segurança avançada, como o Amazon Macie, que ajuda a localizar e proteger dados sensíveis armazenados no Amazon S3.
+ Se você precisar de módulos criptográficos validados pelo FIPS 140-3 ao acessar a AWS por meio de uma interface de linha de comandos ou de uma API, use um endpoint do FIPS. Para saber mais sobre os endpoints FIPS disponíveis, consulte [Federal Information Processing Standard (FIPS) 140-3](https://aws.amazon.com/compliance/fips/).
É altamente recomendável que nunca sejam colocadas informações confidenciais ou sensíveis, como endereços de e-mail de clientes, em tags ou campos de formato livre, como um campo **Nome**. Isso inclui o trabalho com o CloudFront ou outros Serviços da AWS que usem o console, a API, a AWS CLI ou os AWS SDKs. Quaisquer dados inseridos em tags ou em campos de texto de formato livre usados para nomes podem ser usados para logs de faturamento ou de diagnóstico. Se você fornecer um URL para um servidor externo, é fortemente recomendável que não sejam incluídas informações de credenciais no URL para validar a solicitação nesse servidor.
O Amazon CloudFront oferece várias opções que você pode usar para ajudar a proteger o conteúdo que fornece:
+ Configure conexões HTTPS.
+ Configure a criptografia em nível de campo para fornecer segurança adicional para dados específicos durante o trânsito.
+ Restrinja o acesso ao conteúdo para que apenas determinadas pessoas, ou aquelas de uma área específica, possam visualizá-lo.
Os tópicos a seguir detalham mais as opções.
**Topics**
+ [Criptografia em trânsito](#data-protection-summary-encryption-in-transit)
+ [Criptografia em repouso](#data-protection-summary-encryption-at-rest)
+ [Restringir o acesso ao conteúdo](#data-protection-summary-restrict-access)
## Criptografia em trânsito
Para criptografar os dados durante o trânsito, configure o Amazon CloudFront para exigir que os visualizadores usem HTTPS para solicitar seus arquivos, a fim de que as conexões sejam criptografadas quando o CloudFront se comunicar com os visualizadores. Também é possível configurar o CloudFront para usar HTTPS e obter arquivos da origem, a fim de que as conexões sejam criptografadas quando o CloudFront se comunicar com os usuários.
Para obter mais informações, consulte [Usar HTTPS com o CloudFront](using-https.md).
A criptografia no nível de campo acrescenta uma camada adicional de segurança juntamente com o HTTPS, o que permite a você proteger dados específicos em todo o processamento do sistema, de modo que apenas alguns aplicativos possam vê-los. Ao configurar a criptografia em nível de campo no CloudFront, você pode fazer upload com segurança das informações confidenciais enviadas pelo usuário aos seus servidores Web. As informações confidenciais fornecidas pelos seus clientes são criptografadas no ponto mais próximo ao usuário. Elas permanecem criptografadas em toda a pilha de aplicações, garantindo que apenas as aplicações que precisam dos dados e possuem as credenciais para descriptografá-los, poderão fazê-lo.
Para obter mais informações, consulte [Use criptografia de nível de campo para ajudar a proteger dados confidenciais](field-level-encryption.md).
Os endpoints da API do CloudFront `cloudfront.amazonaws.com` e `cloudfront-fips.amazonaws.com` só aceitam tráfego HTTPS. Isso significa que, quando você envia e recebe informações usando a API do CloudFront, seus dados, incluindo configurações de distribuição, políticas de cache e políticas de solicitação de origem, grupos de chaves e chaves públicas e código de função no CloudFront Functions, são sempre criptografados em trânsito. Além disso, todas as solicitações enviadas para os endpoints da API do CloudFront são assinadas com credenciais da AWS e conectadas no AWS CloudTrail.
O código de função e a configuração no CloudFront Functions são sempre criptografados em trânsito quando copiados para os pontos de presença (POPs) do local da borda e entre outros locais de armazenamento usados pelo CloudFront.
## Criptografia em repouso
O código de função e a configuração no CloudFront Functions sempre são armazenados em um formato criptografado nos PoPs do local da borda e em outros locais de armazenamento usados pelo CloudFront.
## Restringir o acesso ao conteúdo
Várias empresas que distribuem conteúdo pela Internet querem restringir o acesso a documentos, dados de negócio, streams de mídia ou conteúdo destinado a um subgrupo de usuários. Para fornecer esse conteúdo com segurança usando o Amazon CloudFront, você pode:
**Usar cookies ou URLs assinados**
Restringir o acesso ao conteúdo que é destinado a usuários selecionados, por exemplo, aqueles que pagaram uma taxa, fornecendo esse conteúdo privado por meio do CloudFront usando URL ou cookies assinados. Para obter mais informações, consulte [Veicular conteúdo privado com URLs e cookies assinados](PrivateContent.md).
**Restringir o acesso ao conteúdo em buckets do Amazon S3**
Se você restringir o acesso ao conteúdo usando, por exemplo, URLs assinados pelo CloudFront ou cookies assinados, também certamente não vai querer que as pessoas visualizem os arquivos usando o URL direto do arquivo. Em vez disso, é melhor que elas acessem os arquivos usando o URL do CloudFront, para que suas proteções funcionem.
Se você usar um bucket do Amazon S3 como a origem de uma distribuição do CloudFront, poderá configurar um controle de acesso à origem (OAC) que possibilita restringir o acesso ao bucket do S3. Para obter mais informações, consulte [Restringir o acesso a uma origem do Amazon S3](private-content-restricting-access-to-s3.md).
**Restringir o acesso ao conteúdo fornecido por um Application Load Balancer**
Ao usar o CloudFront com um Application Load Balancer no Elastic Load Balancing como origem, é possível configurar o CloudFront para evitar que os usuários acessem diretamente o Application Load Balancer. Assim os usuários podem acessar o Application Load Balancer somente por meio do CloudFront, assegurando que você obtenha os benefícios de usá-lo. Para obter mais informações, consulte [Restringir o acesso aos Application Load Balancers](restrict-access-to-load-balancer.md).
**Usar Web ACLs do AWS WAF**
É possível usar o AWS WAF, um serviço de firewall de aplicativo web, para criar uma lista de controle de acesso à web (web ACL) e restringir o acesso ao seu conteúdo. Com base nas condições especificadas por você, como o endereço IP de origem da solicitação ou os valores das strings de consulta, o CloudFront responde às solicitações com o conteúdo solicitado ou com um código de status HTTP 403 (Proibido). Para obter mais informações, consulte [Usar proteções do AWS WAF](distribution-web-awswaf.md).
**Usar a restrição geográfica**
É possível usar a *restrição geográfica*, também conhecida como *geobloqueio*, para impedir que os usuários de algumas localizações específicas acessem o conteúdo que você fornece por meio da distribuição do CloudFront. Há várias opções para escolher na configuração de restrições geográficas. Para obter mais informações, consulte [Restringir a distribuição geográfica do conteúdo](georestrictions.md).
# Identity and Access Management para Amazon CloudFront
O AWS Identity and Access Management (IAM) é um serviço da AWS service (Serviço da AWS) que ajuda a controlar o acesso aos recursos da AWS de forma segura. Os administradores do IAM controlam quem pode ser *autenticado* (conectado) e *autorizado* (ter permissões) para usar os recursos do CloudFront. O IAM é um AWS service (Serviço da AWS) que pode ser usado sem custo adicional.
**Topics**
+ [Público](#security_iam_audience)
+ [Autenticação com identidades](#security_iam_authentication)
+ [Gerenciar o acesso usando políticas](#security_iam_access-manage)
+ [Como o Amazon CloudFront funciona com o IAM](security_iam_service-with-iam.md)
+ [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md)
+ [AWSPolíticas gerenciadas pela para Amazon CloudFront](security-iam-awsmanpol.md)
+ [Perfis vinculados ao serviço do CloudFront](using-service-linked-roles.md)
+ [Solução de problemas de identidade e acesso do Amazon CloudFront](security_iam_troubleshoot.md)
## Público
A forma como você usa o AWS Identity and Access Management (IAM) difere com base em seu perfil:
+ **Usuário do serviço**: solicite permissões ao seu administrador se você não conseguir acessar os atributos (consulte [Solução de problemas de identidade e acesso do Amazon CloudFront](security_iam_troubleshoot.md)).
+ **Administrador do serviço**: determine o acesso do usuário e envie solicitações de permissão (consulte [Como o Amazon CloudFront funciona com o IAM](security_iam_service-with-iam.md))
+ **Administrador do IAM**: escreva políticas para gerenciar o acesso (consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md))
## Autenticação com identidades
A autenticação é a forma como fazer login na AWS usando suas credenciais de identidade. Você precisa se autenticar como o Usuário raiz da conta da AWS, como um usuário do IAM ou assumindo um perfil do IAM.
Você pode fazer login como uma identidade federada usando credenciais de uma fonte de identidade, como o Centro de Identidade do AWS IAM (Centro de Identidade do IAM), autenticação única ou credenciais do Google/Facebook. Para ter mais informações sobre como fazer login, consulte [Como fazer login em sua Conta da AWS](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html) no *Guia do usuário do Início de Sessão da AWS*.
Para acesso programático, a AWS oferece um SDK e uma CLI para assinar solicitações criptograficamente. Para ter mais informações, consulte [AWS Signature Version 4 para solicitações de API](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html) no *Guia do usuário do IAM*.
### Usuário-raiz Conta da AWS
Ao criar uma Conta da AWS, você começa com uma identidade de login única chamada *usuário-raiz* da Conta da AWS, que tem acesso total a todos os recursos e Serviços da AWS. É altamente recomendável não usar o usuário-raiz em tarefas diárias. Consulte as tarefas que exigem credenciais de usuário-raiz em [Tarefas que exigem credenciais de usuário-raiz](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks) no *Guia do usuário do IAM*.
### Identidade federada
Como prática recomendada, exija que os usuários humanos usem a federação com um provedor de identidades para acessar a Serviços da AWS usando credenciais temporárias.
Uma *identidade federada* é um usuário do seu diretório empresarial, de um provedor de identidades da web ou do Directory Service que acessa Serviços da AWS usando credenciais de uma fonte de identidade. As identidades federadas assumem funções que oferecem credenciais temporárias.
Para o gerenciamento de acesso centralizado, recomendamos Centro de Identidade do AWS IAM. Para saber mais, consulte [O que é o IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html) no *Guia do usuário do Centro de Identidade do AWS IAM*.
### Usuários e grupos do IAM
Um *[usuário do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)* é uma identidade com permissões específicas para uma única pessoa ou aplicação. É recomendável usar credenciais temporárias, em vez de usuários do IAM com credenciais de longo prazo. Para saber mais, consulte [Exigir que os usuários humanos usem a federação com um provedor de identidade para acessar a AWS usando credenciais temporárias](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp) no *Guia do usuário do IAM*.
Um [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) especifica um conjunto de usuários do IAM e facilita o gerenciamento de permissões para grandes conjuntos de usuários. Para ter mais informações, consulte [Casos de uso de usuários do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html) no *Guia do usuário do IAM*.
### Perfis do IAM
Uma *[perfil do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)* é uma identidade com permissões específicas que oferece credenciais temporárias. É possível assumir um perfil [alternando de um usuário para um perfil do IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html) ou chamando uma operação de API AWS CLI ou AWS. Para saber mais, consulte [Métodos para assumir um perfil](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html) no *Manual do usuário do IAM*.
Os perfis do IAM são úteis para acesso de usuário federado, permissões de usuário do IAM temporárias, acesso entre contas, acesso entre serviços e aplicações em execução no Amazon EC2. Consulte mais informações em [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*.
## Gerenciar o acesso usando políticas
Você controla o acesso na AWS criando políticas e anexando-as a identidades ou recursos da AWS. Uma política define permissões quando associada a uma identidade ou a um recurso. A AWS avalia essas políticas quando a entidade principal faz uma solicitação. A maioria das políticas é armazenada na AWS como documentos JSON. Para ter mais informações sobre documentos de política JSON, consulte [Visão geral das políticas JSON](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json) no *Guia do usuário do IAM*.
Por meio de políticas, os administradores especificam quem tem acesso a que, definindo qual **entidade principal** pode realizar **ações** em quais **recursos** e sob quais **condições**.
Por padrão, usuários e perfis não têm permissões. Um administrador do IAM cria políticas do IAM e as adiciona aos perfis, os quais os usuários podem então assumir. As políticas do IAM definem permissões, independentemente do método usado para realizar a operação.
### Políticas baseadas em identidade
As políticas baseadas em identidade são documentos de políticas de permissão JSON que você anexa a uma identidade (usuário, grupo ou perfil). Essas políticas controlam quais ações as identidades podem realizar, em quais recursos e sob quais condições. Para saber como criar uma política baseada em identidade, consulte [Definir permissões personalizadas do IAM com as políticas gerenciadas pelo cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) no *Guia do Usuário do IAM*.
As políticas baseadas em identidade podem ser políticas *em linha* (incorporadas diretamente em uma única identidade) ou *políticas gerenciadas* (políticas autônomas anexadas a várias identidades). Para saber como escolher entre uma política gerenciada e políticas em linha, consulte [Escolher entre políticas gerenciadas e políticas em linha](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html) no *Guia do usuário do IAM*.
### Políticas baseadas em recursos
Políticas baseadas em recursos são documentos de políticas JSON que você anexa a um recurso. Entre os exemplos estão *políticas de confiança de perfil* do IAM e *políticas de bucket* do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. É necessário [especificar uma entidade principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) em uma política baseada em recursos.
Políticas baseadas em recursos são políticas em linha localizadas nesse serviço. Não é possível usar as políticas gerenciadas pela AWS do IAM em uma política baseada em atributos.
### Outros tipos de política
A AWS permite outros tipos de política capazes de definir o máximo de permissões concedidas por tipos de política mais comuns:
+ **Limites de permissões**: definem o número máximo de permissões que uma política baseada em identidade pode conceder a uma entidade do IAM. Para saber mais sobre limites de permissões, consulte [Limites de permissões para identidades do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html) no *Guia do usuário do IAM*.
+ **Políticas de Controle de Serviços (SCPs)**: as SCPs especificam o número máximo de permissões para uma organização ou uma unidade organizacional no AWS Organizations. Para saber mais, consulte [Políticas de controle de serviço](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html) no *Guia do usuário do AWS Organizations*.
+ **Políticas de controle de recursos (RCPs)**: definem o número máximo de permissões disponíveis para recursos em suas contas. Consulte mais informações em [Resource control policies (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) no *Guia do usuário do AWS Organizations*.
+ **Políticas de sessão**: políticas avançadas transmitidas como um parâmetro durante a criação de uma sessão temporária para um perfil ou um usuário federado. Para saber mais, consulte [Políticas de sessão](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session) no *Guia do usuário do IAM*.
### Vários tipos de política
Quando vários tipos de política são aplicáveis a uma solicitação, é mais complicado compreender as permissões resultantes. Para saber como a AWS determina se deve permitir ou não uma solicitação quando há vários tipos de política envolvidos, consulte [Lógica da avaliação de políticas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html) no *Guia do usuário do IAM*.
# Como o Amazon CloudFront funciona com o IAM
Antes de usar o IAM para gerenciar o acesso ao CloudFront, saiba quais recursos do IAM estão disponíveis para uso com o CloudFront.
**Recursos do IAM que você pode usar com o Amazon CloudFront**
| Recurso do IAM | Suporte do CloudFront |
| --- | --- |
| [Políticas baseadas em identidade](#security_iam_service-with-iam-id-based-policies) | Sim |
| [Políticas baseadas em recurso](#security_iam_service-with-iam-resource-based-policies) | Não |
| [Ações de políticas](#security_iam_service-with-iam-id-based-policies-actions) | Sim |
| [Recursos de políticas](#security_iam_service-with-iam-id-based-policies-resources) | Sim |
| [Chaves de condição de política (específicas do serviço)](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Sim |
| [ACLs](#security_iam_service-with-iam-acls) | Não |
| [ABAC (tags em políticas)](#security_iam_service-with-iam-tags) | Parcial |
| [Credenciais temporárias](#security_iam_service-with-iam-roles-tempcreds) | Sim |
| [Sessões de acesso direto (FAS)](#security_iam_service-with-iam-principal-permissions) | Não |
| [Perfis de serviço](#security_iam_service-with-iam-roles-service) | Não |
| [Perfis vinculados ao serviço](#security_iam_service-with-iam-roles-service-linked) | Sim |
Para obter uma visão geral de como o CloudFront e outros serviços da AWS funcionam com a maioria dos recursos do IAM, consulte [Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) no *Guia do usuário do IAM*.
## Políticas baseadas em identidade para o CloudFront
**Compatível com políticas baseadas em identidade:** sim
As políticas baseadas em identidade são documentos de políticas de permissões JSON que podem ser anexados a uma identidade, como usuário do IAM, grupo de usuários ou perfil. Essas políticas controlam quais ações os usuários e perfis podem realizar, em quais recursos e em que condições. Para saber como criar uma política baseada em identidade, consulte [Definir permissões personalizadas do IAM com as políticas gerenciadas pelo cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) no *Guia do Usuário do IAM*.
Com as políticas baseadas em identidade do IAM, é possível especificar ações e recursos permitidos ou negados, assim como as condições sob as quais as ações são permitidas ou negadas. Para saber mais sobre todos os elementos que podem ser usados em uma política JSON, consulte [Referência de elemento de política JSON do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) no *Guia do usuário do IAM*.
### Exemplos de políticas baseadas em identidade para o CloudFront
Para visualizar exemplos de políticas baseadas em identidade do CloudFront, consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md).
## Políticas baseadas em recursos no CloudFront
**Compatibilidade com políticas baseadas em recursos:** não
Políticas baseadas em recursos são documentos de políticas JSON que você anexa a um recurso. São exemplos de políticas baseadas em recursos as *políticas de confiança de perfil* do IAM e as *políticas de bucket* do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. Para o atributo ao qual a política está anexada, a política define quais ações uma entidade principal especificado pode executar nesse atributo e em que condições. É necessário [especificar uma entidade principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) em uma política baseada em recursos. As entidades principais podem incluir contas, usuários, perfis, usuários federados ou Serviços da AWS.
Para permitir o acesso entre contas, é possível especificar uma conta inteira ou as entidades do IAM em outra conta como a entidade principal em uma política baseada em recursos. Consulte mais informações em [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*.
## Ações de políticas do CloudFront
**Compatível com ações de políticas:** sim
Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**.
O elemento `Action` de uma política JSON descreve as ações que podem ser usadas para permitir ou negar acesso em uma política. Incluem ações em uma política para conceder permissões para executar a operação associada.
Para ver uma lista das ações do CloudFront, consulte [Ações definidas pelo Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions) na *Referência de autorização do serviço*.
As ações de políticas no CloudFront usam o seguinte prefixo antes da ação:
```
cloudfront
```
Para especificar várias ações em uma única declaração, separe-as com vírgulas.
```
"Action": [
"cloudfront:action1",
"cloudfront:action2"
]
```
Para visualizar exemplos de políticas baseadas em identidade do CloudFront, consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md).
## Recursos de políticas do CloudFront
**Compatível com recursos de políticas:** sim
Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**.
O elemento de política JSON `Resource` especifica o objeto ou os objetos aos quais a ação se aplica. Como prática recomendada, especifique um recurso usando seu [nome do recurso da Amazon (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Para ações em que não é possível usar permissões em nível de recurso, use um curinga (\$1) para indicar que a instrução se aplica a todos os recursos.
```
"Resource": "*"
```
Para ver uma lista dos tipos de recursos do CloudFront e seus ARNs, consulte [Tipos de recursos definidos pelo Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-resources-for-iam-policies) na *Referência de autorização do serviço*. Para saber com quais ações você pode especificar o ARN de cada recurso, consulte [Ações definidas pelo Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions).
Para visualizar exemplos de políticas baseadas em identidade do CloudFront, consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md).
## Chaves de condição de políticas para o CloudFront
**Compatível com chaves de condição de política específicas de serviço:** sim
Os administradores podem usar as políticas JSON da AWS para especificar quem tem acesso a quê. Ou seja, qual **entidade principal** pode executar **ações** em quais **recursos** e em que **condições**.
O elemento `Condition` especifica quando as instruções são executadas com base em critérios definidos. É possível criar expressões condicionais que usem [agentes de condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), como “igual a” ou “menor que”, para fazer a condição da política corresponder aos valores na solicitação. Para ver todas as chaves de condição globais da AWS, consulte [Chaves de contexto de condição globais da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) no *Guia do usuário do IAM*.
Para ver uma lista de chaves de condição do CloudFront, consulte [Chaves de condição do Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-policy-keys) na *Referência de autorização do serviço*. Para saber com quais ações e recursos você pode usar a chave de condição, consulte [Ações definidas pelo Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html#amazoncloudfront-actions-as-permissions).
Para visualizar exemplos de políticas baseadas em identidade do CloudFront, consulte [Exemplos de políticas baseadas em identidade do Amazon CloudFront](security_iam_id-based-policy-examples.md).
## ACLs no CloudFront
**Compatível com ACLs:** não
As listas de controle de acesso (ACLs) controlam quais entidades principais (membros, usuários ou perfis da conta) têm permissões para acessar um recurso. As ACLs são semelhantes às políticas baseadas em recursos, embora não usem o formato de documento de política JSON.
## ABAC com o CloudFront
**Compatível com ABAC (tags em políticas):** parcial
O controle de acesso por atributo (ABAC) é uma estratégia de autorização que define permissões com base em atributos chamados de tags. Você pode anexar tags a entidades do IAM e recursos da AWS e, em seguida, projetar políticas de ABAC para permitir operações quando a tag da entidade principal corresponder à tag no recurso.
Para controlar o acesso baseado em tags, forneça informações sobre as tags no [elemento de condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) de uma política usando as `aws:ResourceTag/key-name`, `aws:RequestTag/key-name` ou chaves de condição `aws:TagKeys`.
Se um serviço for compatível com as três chaves de condição para cada tipo de recurso, o valor será **Sim** para o serviço. Se um serviço for compatível com as três chaves de condição somente para alguns tipos de recursos, o valor será **Parcial**
Para saber mais sobre o ABAC, consulte [Definir permissões com autorização do ABAC](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) no *Guia do usuário do IAM*. Para visualizar um tutorial com etapas para configurar o ABAC, consulte [Usar controle de acesso por atributo (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) no *Guia do usuário do IAM*.
O CloudFront permite o uso do ABAC para recursos do CloudFront que permitem tags, como distribuições, locatário ou armazenamentos confiáveis.
## Usar credenciais temporárias com o CloudFront
**Compatível com credenciais temporárias:** sim
As credenciais temporárias dão acesso de curto prazo aos recursos da AWS e são criadas automaticamente quando você usa a federação ou alterna os perfis. A AWS recomenda a você gerar credenciais temporárias dinamicamente, em vez de usar chaves de acesso de longo prazo. Para ter mais informações, consulte [Credenciais de segurança temporárias no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) e [Serviços da Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) no *Guia do usuário do IAM*.
## Sessões de acesso direto do CloudFront
**Compatível com sessões de acesso direto (FAS):** não
As Sessões de Acesso Direto (FAS) usam as permissões da entidade principal chamando um AWS service (Serviço da AWS), bem como o AWS service (Serviço da AWS) solicitante, para fazer solicitações a serviços downstream. Para obter detalhes da política ao fazer solicitações de FAS, consulte [Sessões de acesso direto](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html).
## Perfis de serviço do CloudFront
**Compatível com perfis de serviço:** não
O perfil de serviço é um [perfil do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) que um serviço assume para executar ações em seu nome. Um administrador do IAM pode criar, modificar e excluir um perfil de serviço do IAM. Para saber mais, consulte [Criar um perfil para delegar permissões a um AWS service (Serviço da AWS)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) no *Guia do Usuário do IAM*.
**Atenção**
Alterar as permissões de um perfil de serviço pode interromper a funcionalidade do CloudFront. Edite perfis de serviço somente quando o CloudFront fornecer orientação para isso.
## Funções vinculadas ao serviço do CloudFront
**Compatibilidade com perfis vinculados a serviços:** sim
Um perfil vinculado a serviço é um tipo de perfil de serviço vinculado a um AWS service (Serviço da AWS). O serviço pode presumir o perfil de executar uma ação em seu nome. Perfis vinculados ao serviço aparecem em sua Conta da AWS e são de propriedade do serviço. Um administrador do IAM pode visualizar, mas não editar as permissões para perfis vinculados ao serviço.
O CloudFront usa perfis vinculados ao serviço para realizar ações em seu nome. Consulte mais informações sobre como criar ou gerenciar perfis vinculados ao serviço do CloudFront em [Perfis vinculados ao serviço do CloudFront](using-service-linked-roles.md). Para ter mais informações sobre como criar ou gerenciar perfis vinculadas ao serviço do Lambda@Edge, consulte [Funções vinculadas ao serviço para o Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Para obter detalhes sobre como criar ou gerenciar perfis vinculados a serviços, consulte [Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Encontre um serviço na tabela que inclua um `Yes` na coluna **Perfil vinculado ao serviço**. Escolha o link **Sim** para visualizar a documentação do perfil vinculado a serviço desse serviço.
# Exemplos de políticas baseadas em identidade do Amazon CloudFront
Por padrão, usuários e funções não têm permissão para criar nem modificar recursos do CloudFront. Para conceder permissão aos usuários para executar ações nos recursos que eles precisam, um administrador do IAM pode criar políticas do IAM.
Para saber como criar uma política baseada em identidade do IAM usando esses exemplos de documento de política JSON, consulte [Criar políticas do IAM (console)](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) no *Guia do usuário do IAM*.
Para obter detalhes sobre ações e tipos de recurso definidos pelo CloudFront, por exemplo, o formato dos ARNs para cada um dos tipos de recurso, consulte [Ações, recursos e chaves de condição do Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html) na *Referência de autorização do serviço*.
**Topics**
+ [Práticas recomendadas de política](#security_iam_service-with-iam-policy-best-practices)
+ [Permitir que os usuários visualizem suas próprias permissões](#security_iam_id-based-policy-examples-view-own-permissions)
+ [Permissões para acessar o CloudFront programaticamente](#security_iam_id-based-policy-examples-programmatic-access-all)
+ [Permissões necessárias para usar o console do CloudFront](#security_iam_id-based-policy-examples-console-required-permissions)
+ [Exemplos de política gerenciada pelo cliente](#security_iam_id-based-policy-examples-sdk-cli)
## Práticas recomendadas de política
As políticas baseadas em identidade determinam se alguém pode criar, acessar ou excluir recursos do CloudFront em sua conta. Essas ações podem incorrer em custos para sua Conta da AWS. Ao criar ou editar políticas baseadas em identidade, siga estas diretrizes e recomendações:
+ **Comece com as políticas gerenciadas pela AWS e avance para as permissões de privilégio mínimo**: para começar a conceder permissões a seus usuários e workloads, use as *políticas gerenciadas pela AWS*, que concedem permissões para muitos casos de uso comuns. Elas estão disponíveis em seus Conta da AWS. Recomendamos que você reduza ainda mais as permissões definindo políticas gerenciadas pelo cliente da AWS que são específicas para seus casos de uso. Para saber mais, consulte [Políticas gerenciadas pela AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) ou [Políticas gerenciadas pela AWS para funções de trabalho](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) no *Guia do usuário do IAM*.
+ **Aplique permissões de privilégio mínimo**: ao definir permissões com as políticas do IAM, conceda apenas as permissões necessárias para executar uma tarefa. Você faz isso definindo as ações que podem ser executadas em recursos específicos sob condições específicas, também conhecidas como *permissões de privilégio mínimo*. Para saber mais sobre como usar o IAM para aplicar permissões, consulte [Políticas e permissões no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html) no *Guia do usuário do IAM*.
+ **Use condições nas políticas do IAM para restringir ainda mais o acesso**: é possível adicionar uma condição às políticas para limitar o acesso a ações e recursos. Por exemplo, é possível escrever uma condição de política para especificar que todas as solicitações devem ser enviadas usando SSL. Também pode usar condições para conceder acesso a ações de serviço, se elas forem usadas por meio de um AWS service (Serviço da AWS) específico, como o CloudFormation. Para saber mais, consulte [Elementos da política JSON do IAM: condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) no *Guia do usuário do IAM*.
+ **Use o IAM Access Analyzer para validar suas políticas do IAM a fim de garantir permissões seguras e funcionais**: o IAM Access Analyzer valida as políticas novas e existentes para que elas sigam a linguagem de política do IAM (JSON) e as práticas recomendadas do IAM. O IAM Access Analyzer oferece mais de cem verificações de política e recomendações práticas para ajudar a criar políticas seguras e funcionais. Para saber mais, consulte [Validação de políticas do IAM Access Analyzer](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html) no *Guia do Usuário do IAM*.
+ **Exigir autenticação multifator (MFA)**: se houver um cenário que exija usuários do IAM ou um usuário raiz em sua Conta da AWS, ative a MFA para obter segurança adicional. Para exigir MFA quando as operações de API forem chamadas, adicione condições de MFA às suas políticas. Para saber mais, consulte [Configuração de acesso à API protegido por MFA](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html) no *Guia do Usuário do IAM*.
Para saber mais sobre as práticas recomendadas do IAM, consulte [Práticas recomendadas de segurança no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) no *Guia do usuário do IAM*.
## Permitir que os usuários visualizem suas próprias permissões
Este exemplo mostra como criar uma política que permita que os usuários do IAM visualizem as políticas gerenciadas e em linha anexadas a sua identidade de usuário. Essa política inclui permissões para concluir essa ação no console ou de forma programática usando a AWS CLI ou a API da AWS.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ViewOwnUserInfo",
"Effect": "Allow",
"Action": [
"iam:GetUserPolicy",
"iam:ListGroupsForUser",
"iam:ListAttachedUserPolicies",
"iam:ListUserPolicies",
"iam:GetUser"
],
"Resource": ["arn:aws:iam::*:user/${aws:username}"]
},
{
"Sid": "NavigateInConsole",
"Effect": "Allow",
"Action": [
"iam:GetGroupPolicy",
"iam:GetPolicyVersion",
"iam:GetPolicy",
"iam:ListAttachedGroupPolicies",
"iam:ListGroupPolicies",
"iam:ListPolicyVersions",
"iam:ListPolicies",
"iam:ListUsers"
],
"Resource": "*"
}
]
}
```
## Permissões para acessar o CloudFront programaticamente
Veja a seguir uma política de permissões. O `Sid`, ou o ID de instrução, é opcional.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowAllCloudFrontPermissions",
"Effect": "Allow",
"Action": ["cloudfront:*"],
"Resource": "*"
}
]
}
```
------
A política concede permissões para executar todas as operações do CloudFront, o que é suficiente para acessar o CloudFront de forma programática. Se estiver usando o console para acessar o CloudFront, consulte [Permissões necessárias para usar o console do CloudFront](#security_iam_id-based-policy-examples-console-required-permissions).
Para visualizar uma lista de ações e o ARN que podem ser especificadas para conceder ou negar permissão para usar cada ação, consulte [Ações, recursos e chaves de condição do Amazon CloudFront](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazoncloudfront.html) na *Referência de autorização do serviço*.
## Permissões necessárias para usar o console do CloudFront
Para permitir acesso total ao console do CloudFront, conceda as permissões na seguinte política de permissões:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:*",
"cloudwatch:DescribeAlarms",
"cloudwatch:PutMetricAlarm",
"cloudwatch:GetMetricStatistics",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets",
"s3:PutBucketPolicy"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
Veja por que as permissões são necessárias:
**`acm:ListCertificates`**
Permite que você visualize uma lista de certificados do ACM quando estiver criando e atualizando distribuições por meio do console do CloudFront e quiser configurar o CloudFront para exigir HTTPS entre o visualizador e o CloudFront ou entre o CloudFront e a origem.
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`cloudfront:*`**
Permite executar todas as ações do CloudFront.
**`cloudwatch:DescribeAlarms` e `cloudwatch:PutMetricAlarm`**
Permite criar e exibir alarmes do CloudWatch no console do CloudFront. Consulte também `sns:ListSubscriptionsByTopic` e `sns:ListTopics`.
Essas permissões não serão necessárias se você não estiver usando o console do CloudFront.
**`cloudwatch:GetMetricStatistics`**
Permite que o CloudFront renderize as métricas do CloudWatch no console do CloudFront.
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`elasticloadbalancing:DescribeLoadBalancers`**
Quando estiver criando e atualizando distribuições, permite que você visualize uma lista de balanceadores de carga do Elastic Load Balancing na lista de origens disponíveis.
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`iam:ListServerCertificates`**
Permite que você visualize uma lista de certificados no repositório de certificados do IAM quando estiver criando e atualizando distribuições por meio do console do CloudFront e quiser configurar o CloudFront para exigir HTTPS entre o visualizador e o CloudFront ou entre o CloudFront e a origem.
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`s3:ListAllMyBuckets`**
Quando estiver criando e atualizando distribuições, permite que você execute as seguintes operações:
+ Visualizar uma lista de buckets do S3 na lista de origens disponíveis.
+ Visualizar uma lista de buckets do S3 nos quais você pode salvar logs de acesso..
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`S3:PutBucketPolicy`**
Ao criar ou atualizar distribuições que restringem o acesso a buckets do S3, permite que um usuário atualize a política do bucket para conceder acesso à identidade de acesso de origem do CloudFront. Para obter mais informações, consulte [Usar uma identidade de acesso à origem (herdada, não recomendado)](private-content-restricting-access-to-s3.md#private-content-restricting-access-to-s3-oai).
Essa permissão não é necessária se você não estiver usando o console do CloudFront.
**`sns:ListSubscriptionsByTopic` e `sns:ListTopics`**
Ao criar alarmes do CloudWatch no console do CloudFront, permite escolher um tópico do SNS para notificações.
Essas permissões não serão necessárias se você não estiver usando o console do CloudFront.
**`waf:GetWebACL` e `waf:ListWebACLs`**
Permite exibir uma lista de ACLs da Web do AWS WAF no console do CloudFront.
Essas permissões não serão necessárias se você não estiver usando o console do CloudFront.
### Ações somente de permissão para o console do CloudFront
Você pode realizar as ações do CloudFront a seguir na página do [Pacote Promocional de Segurança do CloudFront](https://console.aws.amazon.com//cloudfront/v3/home#/savings-bundle/overview). As ações de API a seguir não devem ser chamadas pelo seu código e não estão incluídas na AWS CLI e nos SDKs da AWS.
****
| Ação | Descrição |
| --- | --- |
| `CreateSavingsPlan` | Concede permissão para criar um Savings Plans. |
| `GetSavingsPlan` | Concede permissão para obter um Savings Plans. |
| `ListRateCards` | Concede permissão para listar cartões de tarifa do CloudFront para a conta. |
| `ListSavingsPlans` | Concede permissão para listar Savings Plans na conta. |
| `ListUsages` | Concede permissão para listar a utilização do CloudFront. |
| `UpdateSavingsPlan` | Concede permissão para atualizar um Savings Plans. |
**Observações**
Para ter mais informações sobre os Savings Plans do CloudFront, consulte a seção sobre o Pacote Promocional de Segurança do CloudFront em [Perguntas frequentes sobre o Amazon CloudFront](https://aws.amazon.com/cloudfront/faqs/).
Se você criar um Savings Plans para o CloudFront e quiser excluí-lo posteriormente, entre em contato com o [AWS Support](https://console.aws.amazon.com/support/home#/case/create?issueType=customer-service).
## Exemplos de política gerenciada pelo cliente
Você pode criar suas próprias políticas personalizadas do IAM para conceder permissões a ações da API do CloudFront. Você pode anexar essas políticas personalizadas a usuários ou grupos do IAM que exijam as permissões especificadas. Essas políticas funcionam quando você está usando a API do CloudFront, os AWS SDKs ou a AWS CLI. Os exemplos a seguir mostram permissões para alguns casos de uso comuns. Para a política que concede acesso total a um usuário ao CloudFront, consulte [Permissões necessárias para usar o console do CloudFront](#security_iam_id-based-policy-examples-console-required-permissions).
**Topics**
+ [Exemplo 1: permitir acesso de leitura a todas as distribuições](#security_iam_id-based-policy-examples-allow-read-all-distributions)
+ [Exemplo 2: permitir criar, atualizar e excluir distribuições](#security_iam_id-based-policy-examples-allow-create-update-delete-distributions)
+ [Exemplo 3: permitir a criação e a listagem de invalidações](#security_iam_id-based-policy-examples-allow-create-list-invalidations)
+ [Exemplo 4: permitir criar uma distribuição](#create-distribution-iam-policy)
### Exemplo 1: permitir acesso de leitura a todas as distribuições
A política a seguir concede ao usuário permissões para visualizar todas as distribuições no console do CloudFront:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:GetDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
### Exemplo 2: permitir criar, atualizar e excluir distribuições
A política a seguir concede aos usuários permissão para criar, atualizar e excluir distribuições usando o console do CloudFront:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:CreateDistribution",
"cloudfront:DeleteDistribution",
"cloudfront:GetDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:UpdateDistribution",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets",
"s3:PutBucketPolicy"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
Com a permissão `cloudfront:ListCloudFrontOriginAccessIdentities`, os usuários podem conceder automaticamente a uma identidade de acesso de origem a permissão para acessar objetos em um bucket do Amazon S3. Se você quiser que os usuários também possam criar identidades de acesso de origem, é necessário conceder a permissão `cloudfront:CreateCloudFrontOriginAccessIdentity`.
### Exemplo 3: permitir a criação e a listagem de invalidações
A política de a seguir permite que os usuários criem e indiquem invalidações. Ela inclui acesso de leitura a distribuições do CloudFront, pois você cria e visualiza invalidações exibindo as configurações de uma distribuição:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"acm:ListCertificates",
"cloudfront:GetDistribution",
"cloudfront:GetStreamingDistribution",
"cloudfront:GetDistributionConfig",
"cloudfront:ListDistributions",
"cloudfront:ListCloudFrontOriginAccessIdentities",
"cloudfront:CreateInvalidation",
"cloudfront:GetInvalidation",
"cloudfront:ListInvalidations",
"elasticloadbalancing:DescribeLoadBalancers",
"iam:ListServerCertificates",
"sns:ListSubscriptionsByTopic",
"sns:ListTopics",
"waf:GetWebACL",
"waf:ListWebACLs"
],
"Resource":"*"
},
{
"Effect":"Allow",
"Action":[
"s3:ListAllMyBuckets"
],
"Resource":"arn:aws:s3:::*"
}
]
}
```
------
### Exemplo 4: permitir criar uma distribuição
A política a seguir concede ao usuário permissão para criar e listar as distribuições no console do CloudFront. Para a ação `CreateDistribution`, especifique o caractere curinga (\$1) para o `Resource` em vez de um curinga para o ARN (`arn:aws:cloudfront::123456789012:distribution/*`) de distribuição. Para ter mais informações sobre o elemento `Resource`, consulte [Elementos de política JSON do IAM: recurso](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html) no *Guia do usuário do IAM*.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": "cloudfront:CreateDistribution",
"Resource": "*"
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": "cloudfront:ListDistributions",
"Resource": "*"
}
]
}
```
------
# AWSPolíticas gerenciadas pela para Amazon CloudFront
Para adicionar permissões a usuários, grupos e funções, é mais fácil usar políticas gerenciadas pela AWS do que gravar políticas por conta própria. É necessário tempo e experiência para [criar políticas gerenciadas pelo cliente do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) que fornecem aos seus usuários apenas as permissões de que eles precisam. Para começar rapidamente, você pode usar nossas políticas gerenciadas pela AWS. Essas políticas abrangem casos de uso comuns e estão disponíveis na sua Conta da AWS. Para obter mais informações sobre as políticas gerenciadas da AWS, consulte [Políticas gerenciadas da AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) no *Guia do usuário do IAM*.
Os serviços da AWS mantêm e atualizam políticas gerenciadas pela AWS. Não é possível alterar as permissões em políticas gerenciadas pela AWS. Os serviços ocasionalmente acrescentam permissões adicionais a uma política gerenciada pela AWS para oferecer suporte a novos recursos. Esse tipo de atualização afeta todas as identidades (usuários, grupos e funções) em que a política está anexada. É mais provável que os serviços atualizem uma política gerenciada pela AWS quando um novo recurso for iniciado ou novas permissões estiverem disponíveis. Os serviços não removem permissões de uma política gerenciada pela AWS, portanto, as atualizações de políticas não suspenderão suas permissões existentes.
Além disso, a AWS é compatível com políticas gerenciadas por perfis de trabalho que abrangem vários serviços. Por exemplo, a política **ReadOnlyAccess** política gerenciada pela AWS fornece acesso somente leitura a todos os serviços e recursos da AWS. Quando um serviço executa um novo atributo, a AWS adiciona permissões somente leitura para novas operações e recursos. Para obter uma lista e descrições das políticas de perfis de trabalho, consulte [Políticas gerenciadas pela AWS para perfis de trabalho](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) no *Guia do usuário do IAM*.
**Topics**
+ [AWSPolítica gerenciada pela : CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only)
+ [AWSPolítica gerenciada pela : CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access)
+ [AWSPolítica gerenciada pela : AWSCloudFrontLogger](#security-iam-awsmanpol-cloudfront-logger)
+ [AWSPolítica gerenciada pela : AWSLambdaReplicator](#security-iam-awsmanpol-lambda-replicator)
+ [Política gerenciada pela AWS: AWSCloudFrontVPCOriginServiceRolePolicy](#security-iam-awsmanpol-vpc-origin)
+ [Atualizações do CloudFront em políticas gerenciadas pela AWS](#security-iam-awsmanpol-updates)
## AWSPolítica gerenciada pela : CloudFrontReadOnlyAccess
Você pode anexar a política **CloudFrontReadOnlyAccess** a suas identidades do IAM. Essa política concede permissões somente leitura aos recursos do CloudFront. Ela também concede permissões somente leitura a outros recursos de serviços da AWS que estão relacionados ao CloudFront e são visíveis no console do CloudFront.
**Detalhes das permissões**
Esta política inclui as seguintes permissões.
+ `cloudfront:Describe*`: permite que as entidades principais obtenham informações sobre metadados de recursos do CloudFront.
+ `cloudfront:Get*`: permite que os principais obtenham informações detalhadas e configurações para recursos do CloudFront.
+ `cloudfront:List*`: permite que os principais obtenham listas de recursos do CloudFront.
+ `cloudfront-keyvaluestore:Describe*`: permite que as entidades principais obtenham informações sobre armazenamento de chave-valor.
+ `cloudfront-keyvaluestore:Get*`: permite que as entidades principais obtenham informações detalhadas e configurações para o armazenamento de chave-valor.
+ `cloudfront-keyvaluestore:List*`: permite que as entidades principais obtenham listas de armazenamentos de chave-valor.
+ `acm:DescribeCertificate`: permite que as entidades principais obtenham detalhes sobre o certificado do ACM.
+ `acm:ListCertificates`: permite que os principais obtenham uma lista de certificados do ACM.
+ `iam:ListServerCertificates`: permite que os principais obtenham uma lista de certificados de servidor armazenados no IAM.
+ `route53:List*`: permite que os principais obtenham listas de recursos do Route 53.
+ `waf:ListWebACLs` – permite que os principais obtenham uma lista de ACLs da Web no AWS WAF.
+ `waf:GetWebACL`: permite que as entidades principais obtenham informações detalhadas sobre ACLs da web no AWS WAF.
+ `wafv2:ListWebACLs`: permite que as entidades principais obtenham uma lista de ACLs da web no AWS WAF.
+ `wafv2:GetWebACL` – permite que as entidades principais obtenham informações detalhadas sobre ACLs da web no AWS WAF.
+ `pricingplanmanager:GetSubscription`: concede às entidades principais acesso somente leitura para ter informações sobre assinaturas de plano de preços.
+ `pricingplanmanager:ListSubscriptions`: concede às entidades principais acesso somente leitura para listar assinaturas de plano de preços.
+ `ec2:DescribeIpamPools`: permite as entidades principais recebam informações detalhadas sobre grupos de IPAM.
+ `ec2:GetIpamPoolCidrs`: permite que as entidades principais obtenham os CIDRs provisionados para um grupo de IPAM.
Para visualizar as permissões para essa política, consulte [CloudFrontReadOnlyAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudFrontReadOnlyAccess.html) na *Referência de políticas gerenciadas pela AWS*.
## AWSPolítica gerenciada pela : CloudFrontFullAccess
Você pode anexar a política **CloudFrontFullAccess** a suas identidades do IAM. Essa política concede permissões administrativas aos recursos do CloudFront. Ela também concede permissões somente leitura a outros recursos de serviços da AWS que estão relacionados ao CloudFront e são visíveis no console do CloudFront.
**Detalhes das permissões**
Esta política inclui as seguintes permissões.
+ `s3:ListAllMyBuckets`: permite que os principais obtenham uma lista de todos os buckets do Amazon S3.
+ `acm:DescribeCertificate`: permite que as entidades principais obtenham detalhes sobre o certificado do ACM.
+ `acm:ListCertificates`: permite que os principais obtenham uma lista de certificados do ACM.
+ `acm:RequestCertificate`: permite que as entidades principais solicitem certificados gerenciados do ACM.
+ `cloudfront:*`: permite que os principais realizem todas as ações em todos os recursos do CloudFront.
+ `cloudfront-keyvaluestore:*`: permite que as entidades principais realizem todas as ações no armazenamento de chave-valor.
+ `iam:ListServerCertificates`: permite que os principais obtenham uma lista de certificados de servidor armazenados no IAM.
+ `waf:ListWebACLs` – permite que os principais obtenham uma lista de ACLs da Web no AWS WAF.
+ `waf:GetWebACL`: permite que as entidades principais obtenham informações detalhadas sobre ACLs da web no AWS WAF.
+ `waf:CreateWebACLs`: permite que as entidades principais criem uma ACL da web no AWS WAF.
+ `wafv2:ListWebACLs`: permite que as entidades principais obtenham uma lista de ACLs da web no AWS WAF.
+ `wafv2:GetWebACL` – permite que os principais obtenham informações detalhadas sobre ACLs da Web no AWS WAF.
+ `kinesis:ListStreams`: permite que as entidades principais obtenham uma lista de fluxos do Amazon Kinesis.
+ `elasticloadbalancing:DescribeLoadBalancers`: permite que as entidades principais obtenham informações detalhadas sobre balanceadores de carga no Elastic Load Balancing.
+ `kinesis:DescribeStream`: permite que os principais obtenham informações detalhadas sobre um fluxo do Kinesis.
+ `iam:ListRoles`: permite que os principais obtenham uma lista de funções no IAM.
+ `pricingplanmanager:AssociateResourcesToSubscription`: permite que as entidades principais associem recursos a uma assinatura. Isso possibilita que os recursos sejam abrangidos pelo plano de preços da assinatura.
+ `pricingplanmanager:CancelSubscription`: permite que as entidades principais cancelem uma assinatura existente.
+ `pricingplanmanager:CancelSubscriptionChange`: permite que as entidades principais cancelem uma alteração pendente em uma assinatura existente, como uma atualização do plano, antes que a alteração seja aplicada.
+ `pricingplanmanager:CreateSubscription`: permite que as entidades principais criem uma assinatura de um plano de preços.
+ `pricingplanmanager:DisassociateResourcesFromSubscription`: permite que as entidades principais removam a associação entre recursos e uma assinatura existente.
+ `pricingplanmanager:UpdateSubscription`: permite que as entidades principais modifiquem uma assinatura existente, como alterar o plano de preços.
+ `pricingplanmanager:GetSubscription`: concede às entidades principais acesso somente leitura para ter informações sobre assinaturas de plano de preços.
+ `pricingplanmanager:ListSubscriptions`: concede às entidades principais acesso somente leitura para listar assinaturas de plano de preços.
+ `ec2:DescribeInstances`: permite que as entidades principais obtenham detalhes sobre instâncias no Amazon EC2.
+ `ec2:DescribeInternetGateways`: permite que as entidades principais obtenham informações detalhadas sobre gateways da internet no Amazon EC2.
+ `ec2:DescribeIpamPools`: permite as entidades principais recebam informações detalhadas sobre grupos de IPAM.
+ `ec2:GetIpamPoolCidrs`: permite que as entidades principais obtenham os CIDRs provisionados para um grupo de IPAM.
Para visualizar as permissões para essa política, consulte [CloudFrontFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/CloudFrontFullAccess.html) na *Referência de políticas gerenciadas pela AWS*.
**Importante**
Para que o CloudFront crie e salve logs de acesso, você precisa conceder outras permissões. Para obter mais informações, consulte [Permissões](standard-logging-legacy-s3.md#AccessLogsBucketAndFileOwnership).
## AWSPolítica gerenciada pela : AWSCloudFrontLogger
Não é possível anexar a política **AWSCloudFrontLogger** a suas identidades do IAM. Essa política é anexada a uma função vinculada ao serviço que permite que o CloudFront realize ações em seu nome. Para obter mais informações, consulte [Funções vinculadas ao serviço para o Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Essa política permite que o CloudFront envie arquivos de log para o Amazon CloudWatch. Para obter detalhes sobre as permissões incluídas nesta política, consulte [Permissões de função vinculada ao serviço para o CloudFront Logger](lambda-edge-permissions.md#slr-permissions-cloudfront-logger).
Para visualizar as permissões dessa política, consulte [AWSCloudFrontLogger](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudFrontLogger.html) na *Referência de políticas gerenciadas pela AWS*.
## AWSPolítica gerenciada pela : AWSLambdaReplicator
Não é possível anexar a política **AWSLambdaReplicator** a suas identidades do IAM. Essa política é anexada a uma função vinculada ao serviço que permite que o CloudFront realize ações em seu nome. Para obter mais informações, consulte [Funções vinculadas ao serviço para o Lambda@Edge](lambda-edge-permissions.md#using-service-linked-roles-lambda-edge).
Esta política permite que o CloudFront crie, exclua e desabilite funções no AWS Lambda para replicar funções do Lambda@Edge para Regiões da AWS. Para obter detalhes sobre as permissões incluídas nesta política, consulte [Permissões de função vinculada ao serviço para o replicador do Lambda](lambda-edge-permissions.md#slr-permissions-lambda-replicator).
Para visualizar as permissões dessa política, consulte [AWSLambdaReplicator](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaReplicator.html) na *Referência de políticas gerenciadas pela AWS*.
## Política gerenciada pela AWS: AWSCloudFrontVPCOriginServiceRolePolicy
Não é possível anexar **AWSCloudFrontVPCOriginServiceRolePolicy** a suas entidades do IAM. Essa política é anexada a uma função vinculada ao serviço que permite que o CloudFront realize ações em seu nome. Para obter mais informações, consulte [Perfis vinculados ao serviço do CloudFront](using-service-linked-roles.md).
Essa política permite que o CloudFront gerencie interfaces de rede elástica e grupos de segurança do EC2 em seu nome. Para obter detalhes sobre as permissões incluídas nesta política, consulte [Permissões de perfil vinculado ao serviço para o CloudFront VPC Origins](using-service-linked-roles.md#slr-permissions).
Para exibir as permissões dessa política, consulte [AWSCloudFrontVPCOriginServiceRolePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSCloudFrontVPCOriginServiceRolePolicy.html) na *Referência de políticas gerenciadas pela AWS*.
## Atualizações do CloudFront em políticas gerenciadas pela AWS
Veja detalhes sobre atualizações em políticas gerenciadas pela AWS para o CloudFront desde que esse serviço começou a monitorar essas alterações. Para obter alertas automáticos sobre alterações feitas nesta página, inscreva-se no feed RSS na página [Document history](WhatsNew.md) (Histórico de documentos) do CloudFront.
| Alteração | Descrição | Data |
| --- | --- | --- |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualizar para uma política existente. | O CloudFront adicionou novas permissões para o Amazon EC2. As novas permissões possibilitam que as entidades principais usem as ações `ec2:DescribeIpamPools` e `ec2:GetIpamPoolCidrs`. | 24 de novembro de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou novas permissões para o Amazon EC2. As novas permissões possibilitam que as entidades principais usem as ações `ec2:DescribeIpamPools` e `ec2:GetIpamPoolCidrs`. | 24 de novembro de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou uma nova permissão para criar um recurso de ACL da web do AWS WAF, bem como permissões de criação, atualização, exclusão e leitura ao Gerenciador de Planos de Preços da AWS. | 18 de novembro de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou uma nova permissão para criar um recurso de ACL da web do AWS WAF, bem como permissões de criação, atualização, exclusão e leitura ao Gerenciador de Planos de Preços da AWS. | 18 de novembro de 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualizar para uma política existente. | O CloudFront adicionou novas permissões para acesso somente leitura ao Gerenciador de Planos de Preços da AWS. | 18 de novembro de 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualizar para uma política existente. | O CloudFront adicionou novas permissões para acesso somente leitura ao Gerenciador de Planos de Preços da AWS. | 18 de novembro de 2025 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualizar para uma política existente. | O CloudFront adicionou uma nova permissão para o ACM. A nova permissão possibilita que as entidades principais obtenham detalhes sobre um certificado do ACM. | 28 de abril de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou novas permissões para o ACM. As novas permissões possibilitam que as entidades principais obtenham detalhes sobre um certificado do ACM e solicitem um certificado gerenciado do ACM. | 28 de abril de 2025 |
| [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualizar para uma política existente. | O CloudFront adicionou novas permissões para o Amazon EC2 e o Elastic Load Balancing. Essas novas permissões possibilitam que o CloudFront obtenha informações detalhadas sobre balanceadores de carga no Elastic Load Balancing e instâncias e gateways da internet no Amazon EC2. | 20 de novembro de 2024 |
| [AWSCloudFrontVPCOriginServiceRolePolicy](#security-iam-awsmanpol-vpc-origin): nova política | O CloudFront adicionou uma nova política. Essa política permite que o CloudFront gerencie interfaces de rede elástica e grupos de segurança do EC2 em seu nome. | 20 de novembro de 2024 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only) e [CloudFrontFullAccess](#security-iam-awsmanpol-cloudfront-full-access): atualização em duas políticas existentes. | O CloudFront adicionou novas permissões para armazenamentos de chave-valor. As novas permissões permitem que os usuários obtenham informações e ajam em armazenamentos de chave-valor. | 19 de dezembro de 2023 |
| [CloudFrontReadOnlyAccess](#security-iam-awsmanpol-cloudfront-read-only): atualização em uma política existente | O CloudFront adicionou uma nova permissão para descrever as CloudFront Functions. Ela permite que o usuário, grupo ou perfil leia informações e metadados sobre uma função, mas não o código da função. | 8 de setembro de 2021 |
| CloudFront começa a monitorar alterações | CloudFront começa a monitorar alterações para suas políticas gerenciadas pela AWS. | 8 de setembro de 2021 |
# Perfis vinculados ao serviço do CloudFront
O Amazon CloudFront usa [perfis vinculados ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) do AWS Identity and Access Management (IAM). Perfil vinculado ao serviço é um tipo exclusivo de perfil do IAM vinculado diretamente ao CloudFront. Os perfis vinculados ao serviço são predefinidos pelo CloudFront e incluem todas as permissões que o serviço requer para chamar outros serviços da AWS em seu nome.
Eles facilitam a configuração do CloudFront porque você não precisa adicionar as permissões necessárias manualmente. O CloudFront define as permissões dos perfis vinculados ao serviço e, exceto se definido de outra forma, somente o CloudFront pode assumir os respectivos perfis. As permissões definidas incluem a política de confiança e a política de permissões, que não pode ser anexada a nenhuma outra entidade do IAM.
Um perfil vinculado ao serviço poderá ser excluído somente após excluir seus atributos relacionados. Isso protege seus recursos do CloudFront, pois não é possível remover por engano as permissões para acessar os recursos.
Para obter informações sobre outros serviços compatíveis com perfis vinculados ao serviço, consulte [serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) e procure os serviços que apresentam **Sim** na coluna **Perfis vinculados aos serviços**. Escolha um **Sim** com um link para visualizar a documentação do perfil vinculado a esse serviço.
## Permissões de perfil vinculado ao serviço para o CloudFront VPC Origins
O CloudFront VPC Origins usa um perfil vinculado ao serviço denominado **AWSServiceRoleForCloudFrontVPCOrigin**: esse perfil permite que o CloudFront gerencie interfaces de rede elástica do EC2 e grupos de segurança em seu nome.
O perfil vinculado ao serviço AWSServiceRoleForCloudFrontVPCOrigin confia nos seguintes serviços para aceitar o perfil:
+ `vpcorigin.cloudfront.amazonaws.com`
A política de permissões de perfil chamada AWSCloudFrontVPCOriginServiceRolePolicy permite que o CloudFront VPC Origins realize as seguintes ações nos recursos especificados:
+ Ação: `ec2:CreateNetworkInterface` em `arn:aws:ec2:*:*:network-interface/*`
+ Ação: `ec2:CreateNetworkInterface` em `arn:aws:ec2:*:*:subnet/*` e `arn:aws:ec2:*:*:security-group/*`
+ Ação: `ec2:CreateSecurityGroup` em `arn:aws:ec2:*:*:security-group/*`
+ Ação: `ec2:CreateSecurityGroup` em `arn:aws:ec2:*:*:vpc/*`
+ Ação: `ec2:ModifyNetworkInterfaceAttribute`, `ec2:DeleteNetworkInterface`, `ec2:DeleteSecurityGroup`, `ec2:AssignIpv6Addresses` e `ec2:UnassignIpv6Addresses` em `supported AWS resources that have the aws:ResourceTag/aws.cloudfront.vpcorigin tag enabled`
+ Ação: `ec2:DescribeNetworkInterfaces`, `ec2:DescribeSecurityGroups`, `ec2:DescribeInstances`, `ec2:DescribeInternetGateways`, `ec2:DescribeSubnets`, `ec2:DescribeRegions` e `ec2:DescribeAddresses` em `all AWS resources that the actions support`
+ Ação: `ec2:CreateTags` em `arn:aws:ec2:*:*:security-group/*` e `arn:aws:ec2:*:*:network-interface/*`
+ Ação: `elasticloadbalancing:DescribeLoadBalancers`, `elasticloadbalancing:DescribeListeners`, e `elasticloadbalancing:DescribeTargetGroups` em `all AWS resources that the actions support`
Você deve configurar permissões para permitir que seus usuários, grupos ou perfis criem, editem ou excluam um perfil vinculado ao serviço. Para obter mais informações, consulte [Permissões do perfil vinculado a serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions) no *Guia do usuário do IAM*.
## Criar um perfil vinculado ao serviço para o CloudFront VPC Origins
Não é necessário criar manualmente um perfil vinculado ao serviço. Quando você cria uma origem de VPC no Console de gerenciamento da AWS, na AWS CLI ou na API da AWS, o CloudFront VPC Origins cria o perfil vinculado ao serviço para você.
Se excluir esse perfil vinculado ao serviço e precisar criá-lo novamente, será possível usar esse mesmo processo para recriar o perfil em sua conta. Quando você cria uma instância ou um cluster, o CloudFront VPC Origins cria um perfil vinculado ao serviço para você novamente.
## Editar uma função vinculada ao serviço para o CloudFront VPC Origins
O CloudFront VPC Origins não permite que você edite o perfil vinculado ao serviço AWSServiceRoleForCloudFrontVPCOrigin. Depois que criar um perfil vinculado ao serviço, você não poderá alterar o nome do perfil, pois várias entidades podem fazer referência a ele. No entanto, será possível editar a descrição do perfil usando o IAM. Para saber mais, consulte [Editar um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#edit-service-linked-role) no *Guia do usuário do IAM*.
## Excluir um perfil vinculado ao serviço para o CloudFront VPC Origins
Se você não precisar mais usar um recurso ou serviço que requer um perfil vinculado ao serviço, é recomendável excluí-lo. Dessa forma, você não tem uma entidade não utilizada que não seja monitorada ativamente ou mantida. No entanto, você deve limpar os recursos de seu perfil vinculado ao serviço antes de excluí-lo manualmente.
**nota**
Se o serviço CloudFront estiver usando um perfil quando você tentar excluir os recursos, a exclusão poderá falhar. Se isso acontecer, espere alguns minutos e tente a operação novamente.
**Como excluir os recursos do CloudFront VPC Origins usados por AWSServiceRoleForCloudFrontVPCOrigin**
+ Exclua os recursos de origem de VPC em sua conta.
+ Pode levar algum tempo para que o CloudFront conclua a exclusão dos recursos da sua conta. Se você não conseguir excluir o perfil vinculado ao serviço imediatamente, aguarde e tente novamente.
**Para excluir manualmente a função vinculada ao serviço usando o IAM**
Use o console do IAM, a AWS CLI ou a API da AWS para excluir a função vinculada ao serviço AWSServiceRoleForCloudFrontVPCOrigin. Para obter mais informações, consulte [Excluir um perfil vinculado ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role) no *Guia do usuário do IAM*.
## Regiões compatíveis com perfis vinculados ao serviço do CloudFront
O CloudFront VPC Origins não permite usar perfis vinculados ao serviço em todas as regiões onde o serviço está disponível. Você pode usar a função AWSServiceRoleForCloudFrontVPCOrigin nas seguintes regiões.
| Nome da região | Identidade da região | Suporte no CloudFront |
| --- | --- | --- |
| Leste dos EUA (Norte da Virgínia) | us-east-1 | Sim |
| Leste dos EUA (Ohio) | us-east-2 | Sim |
| Oeste dos EUA (N. da Califórnia) | us-west-1 (exceto AZ usw1-az2) | Sim |
| Oeste dos EUA (Oregon) | us-west-2 | Sim |
| África (Cidade do Cabo) | af-south-1 | Sim |
| Ásia-Pacífico (Hong Kong) | ap-east-1 | Sim |
| Ásia-Pacífico (Jacarta) | ap-southeast-3 | Sim |
| Ásia-Pacífico (Melbourne) | ap-southeast-4 | Sim |
| Ásia-Pacífico (Mumbai) | ap-south-1 | Sim |
| Ásia-Pacífico (Hyderabad) | ap-south-2 | Sim |
| Ásia Pacifico (Osaka) | ap-northeast-3 | Sim |
| Ásia-Pacífico (Seul) | ap-northeast-2 | Sim |
| Ásia-Pacífico (Singapura) | ap-southeast-1 | Sim |
| Ásia-Pacífico (Sydney) | ap-southeast-2 | Sim |
| Ásia-Pacífico (Tóquio) | ap-northeast-1 (exceto AZ apne1-az3) | Sim |
| Canadá (Central) | ca-central-1 (exceto AZ cac1-az3) | Sim |
| Oeste do Canadá (Calgary) | ca-west-1 | Sim |
| Europa (Frankfurt) | eu-central-1 | Sim |
| Europa (Irlanda) | eu-west-1 | Sim |
| Europa (Londres) | eu-west-2 | Sim |
| Europa (Milão) | eu-south-1 | Sim |
| Europa (Paris) | eu-west-3 | Sim |
| Europa (Espanha) | eu-south-2 | Sim |
| Europa (Estocolmo) | eu-north-1 | Sim |
| Europa (Zurique) | eu-central-2 | Sim |
| Israel (Tel Aviv) | il-central-1 | Sim |
| Oriente Médio (Barém) | me-south-1 | Sim |
| Oriente Médio (Emirados Árabes Unidos) | me-central-1 | Sim |
| América do Sul (São Paulo) | sa-east-1 | Sim |
# Solução de problemas de identidade e acesso do Amazon CloudFront
Use as informações a seguir para ajudar a diagnosticar e corrigir problemas comuns que você possa encontrar ao trabalhar com o CloudFront e o IAM.
**Topics**
+ [Não tenho autorização para executar uma ação no CloudFront](#security_iam_troubleshoot-no-permissions)
+ [Não estou autorizado a executar iam:PassRole](#security_iam_troubleshoot-passrole)
+ [Quero permitir que as pessoas fora da minha Conta da AWS acessem meus recursos do CloudFront](#security_iam_troubleshoot-cross-account-access)
## Não tenho autorização para executar uma ação no CloudFront
Se você receber uma mensagem de erro informando que não tem autorização para executar uma ação, suas políticas deverão ser atualizadas para permitir que você realize a ação.
O erro do exemplo a seguir ocorre quando o usuário do IAM `mateojackson` tenta usar o console para visualizar detalhes sobre um atributo `my-example-widget` fictício, mas não tem as permissões `cloudfront:GetWidget` fictícias.
```
User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: cloudfront:GetWidget on resource: my-example-widget
```
Nesse caso, a política do usuário `mateojackson` deve ser atualizada para permitir o acesso ao recurso `my-example-widget` usando a ação `cloudfront:GetWidget`.
Se você precisar de ajuda, entre em contato com seu administrador AWS. Seu administrador é a pessoa que forneceu suas credenciais de login.
## Não estou autorizado a executar iam:PassRole
Se você receber uma mensagem de erro informando que não tem autorização para realizar a ação `iam:PassRole`, as suas políticas deverão ser atualizadas para permitir que você passe um perfil para o CloudFront.
Alguns Serviços da AWS permitem que você passe um perfil existente para o serviço, em vez de criar um perfil de serviço ou perfil vinculado ao serviço. Para fazer isso, é preciso ter permissões para passar o perfil para o serviço.
O erro de exemplo a seguir ocorre quando uma usuária do IAM chamada `marymajor` tenta usar o console para realizar uma ação no CloudFront. No entanto, a ação exige que o serviço tenha permissões concedidas por um perfil de serviço. Mary não tem permissões para passar o perfil para o serviço.
```
User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole
```
Nesse caso, as políticas de Mary devem ser atualizadas para permitir que ela realize a ação `iam:PassRole`.
Se você precisar de ajuda, entre em contato com seu administrador AWS. Seu administrador é a pessoa que forneceu suas credenciais de login.
## Quero permitir que as pessoas fora da minha Conta da AWS acessem meus recursos do CloudFront
É possível criar um perfil que os usuários de outras contas ou pessoas fora da organização podem usar para acessar seus recursos. É possível especificar quem é confiável para assumir o perfil. Para serviços que oferecem compatibilidade com políticas baseadas em recursos ou listas de controle de acesso (ACLs), é possível usar essas políticas para conceder às pessoas acesso aos seus recursos.
Para saber mais, consulte:
+ Para saber se o CloudFront é compatível com esses recursos, consulte [Como o Amazon CloudFront funciona com o IAM](security_iam_service-with-iam.md).
+ Para saber como conceder acesso a seus recursos em todas as Contas da AWS pertencentes a você, consulte [Fornecimento de acesso a um usuário do IAM em outra Conta da AWS pertencente a você](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html) no *Guia de usuário do IAM*.
+ Para saber como conceder acesso a seus recursos para Contas da AWS de terceiros, consulte [Fornecimento de acesso a Contas da AWS pertencentes a terceiros](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html) no *Guia do usuário do IAM*.
+ Para saber como conceder acesso por meio da federação de identidades, consulte [Conceder acesso a usuários autenticados externamente (federação de identidades)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html) no *Guia do usuário do IAM*.
+ Para conhecer a diferença entre perfis e políticas baseadas em recurso para acesso entre contas, consulte [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*.
# Registro em log e monitoramento no Amazon CloudFront
O monitoramento é uma parte importante para manter a disponibilidade e a performance do CloudFront e das suas soluções da AWS. Você deve coletar dados de monitoramento de todas as partes de sua solução da AWS para depurar uma falha de vários pontos com facilidade, caso ocorra. A AWS fornece várias ferramentas para monitorar seus recursos e suas atividades no CloudFront e responder a incidentes em potencial:
**Alarmes do Amazon CloudWatch**
Ao usar alarmes do CloudWatch, você observa uma única métrica durante um período especificado. Se a métrica exceder determinado limite, uma notificação será enviada para um tópico do Amazon SNS ou para uma política do AWS Auto Scaling. Os alarmes do CloudWatch não invocam ações quando uma métrica está em um estado específico. O estado deve ter sido alterado e mantido por uma quantidade especificada de períodos.
Para obter mais informações, consulte [Monitorar métricas do CloudFront com o Amazon CloudWatch](monitoring-using-cloudwatch.md).
**Logs do AWS CloudTrail**
O CloudTrail fornece um registro de ações de API realizadas por um usuário, uma função ou um serviço da AWS no CloudFront. Usando as informações coletadas pelo CloudTrail, é possível determinar a solicitação de API realizada para o CloudFront, o endereço IP do qual a solicitação foi feita, quem fez a solicitação, quando ela foi feita, além de detalhes adicionais.
Para ter mais informações, consulte [Registrar em log chamadas de API do Amazon CloudFront usando o AWS CloudTrail](logging_using_cloudtrail.md).
**Logs padrão do CloudFront e logs de acesso em tempo real**
Os logs do CloudFront fornecem registros detalhados das solicitações feitas para uma distribuição. Esses logs são úteis para muitas aplicações. Por exemplo, as informações do log podem ser úteis em auditorias de segurança e acesso.
Para obter mais informações, consulte [Logs de acesso (logs padrão)](AccessLogs.md) e [Criar e usar configurações de log de acesso em tempo real](real-time-logs.md#create-real-time-log-config).
**Logs de funções de borda**
Os logs gerados pelas funções de borda, tanto do CloudFront Functions quanto do Lambda@Edge, são enviados diretamente para o Amazon CloudWatch Logs e não são armazenados em nenhum lugar pelo CloudFront. O CloudFront Functions usa uma [função vinculada ao serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role) do AWS Identity and Access Management (IAM) para enviar logs gerados pelo cliente diretamente para o CloudWatch Logs em sua conta.
Para ter mais informações, consulte [Logs de funções de borda](edge-functions-logs.md).
**Relatórios do CloudFront no console**
O console do CloudFront inclui uma variedade de relatórios, incluindo o relatório de estatística de cache, o relatório de objetos populares, e o relatório de indicadores principais. A maioria dos relatórios do console do CloudFront são baseados nos dados nos logs de acesso do CloudFront, que contêm informações detalhadas sobre cada solicitação do usuário recebida pelo CloudFront. No entanto, não é necessário permitir que os logs de acesso visualizem os relatórios.
Para obter mais informações, consulte [Visualizar relatórios do CloudFront no console](reports.md).
# Validação de conformidade com o Amazon CloudFront
Auditores externos avaliam a segurança e a conformidade do Amazon CloudFront como parte de vários programas de conformidade da AWS. Isso inclui SOC, PCI, HIPAA e outros.
Para obter uma lista dos serviços da AWS no escopo de programas de conformidade específicos, consulte [Serviços da AWS no escopo por programa de conformidade](https://aws.amazon.com/compliance/services-in-scope/). Para obter informações gerais, consulte [Programas de conformidade da AWS](https://aws.amazon.com/compliance/programs/).
Você pode baixar relatórios de auditoria de terceiros usando o AWS Artifact. Para obter mais informações, consulte [Fazer download dos relatórios no AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html).
Sua responsabilidade com relação à conformidade ao usar o CloudFront é determinada pela confidencialidade dos dados, pelos objetivos de conformidade da empresa e pelos regulamentos e leis aplicáveis. A AWS fornece os seguintes recursos a manter a conformidade:
+ Guias de início rápido de segurança e conformidade: esses guias de implantação abordam as considerações de arquitetura e apresentam etapas para a implantação de ambientes básicos concentrados em conformidade e segurança na AWS.
+ [Whitepaper Arquitetura para segurança e conformidade com HIPAA na AWS](https://docs.aws.amazon.com/whitepapers/latest/architecting-hipaa-security-and-compliance-on-aws/architecting-hipaa-security-and-compliance-on-aws.html): este whitepaper descreve como as empresas podem usar a AWS para criar aplicativos que estejam em conformidade com a HIPAA.
O programa de conformidade com a HIPAA da AWS inclui o CloudFront (exceto a entrega de conteúdo por meio de POPs incorporados do CloudFront) como um serviço qualificado para a HIPAA. Se você tiver um Adendo de associado comercial (BAA) assinado com a AWS, poderá usar o CloudFront (exceto a entrega de conteúdo por meio de POPs incorporados do CloudFront) para entregar conteúdo com informações de saúde protegidas (PHI). Para obter mais informações, consulte [Conformidade com a HIPAA](https://aws.amazon.com/compliance/hipaa-compliance/).
+ [Recursos de compatibilidade da AWS](https://aws.amazon.com/compliance/resources/) – Esta coleção de guias e pastas de trabalho pode ser aplicada ao seu setor e local.
+ [AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html): esse serviço da AWS avalia até que ponto suas configurações de recursos atendem adequadamente às práticas internas e às diretrizes e regulamentações do setor.
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html): esse serviço da AWS usa controles de segurança para avaliar configurações de recursos e padrões de segurança que ajudam você a cumprir vários frameworks de conformidade. Para ter mais informações sobre como usar o CSPM do Security Hub para avaliar os recursos do CloudFront, consulte [Controles do Amazon CloudFront](https://docs.aws.amazon.com/securityhub/latest/userguide/cloudfront-controls.html) no *Guia do usuário do AWS Security Hub CSPM*.
## Melhores práticas de conformidade do CloudFront
Esta seção fornece as melhores práticas e recomendações sobre conformidade ao usar o Amazon CloudFront para fornecer conteúdo.
Se você tiver workloads em conformidade com o PCI ou HIPAA, com base no [Modelo de Responsabilidade Compartilhada da AWS](https://aws.amazon.com/compliance/shared-responsibility-model/), recomendamos registrar em log os dados de uso do CloudFront dos últimos 365 dias para fins de auditoria futura. Para registrar dados de uso:
+ Habilitar logs de acesso do CloudFront Para ter mais informações, consulte [Logs de acesso (logs padrão)](AccessLogs.md).
+ Solicitações de captura que são enviadas à API do CloudFront. Para ter mais informações, consulte [Registrar em log chamadas de API do Amazon CloudFront usando o AWS CloudTrail](logging_using_cloudtrail.md).
Além disso, consulte as seções a seguir para obter detalhes sobre como o CloudFront está em conformidade com os padrões PCI DSS e SOC.
### Padrão de segurança de dados do setor de cartão de pagamento (PCI DSS – Payment Card Industry Data Security Standard)
O CloudFront (exceto a entrega de conteúdo por meio de POPs incorporados do CloudFront) é compatível com o processamento, o armazenamento e transmissão de dados de cartão de crédito por um comerciante ou provedor de serviços, e foi validado como em conformidade com o Data Security Standard (DSS, Padrão de segurança de dados) da Payment Card Industry (PCI, Padrão de cartão de crédito). Para obter mais informações sobre o PCI DSS, incluindo como solicitar uma cópia do pacote de conformidade com o PCI Compliance Package AWS, consulte [Nível 1 do PCI DSS](https://aws.amazon.com/compliance/pci-dss-level-1-faqs/).
Como uma prática recomendada de segurança, recomendamos não armazenar informações de cartão de crédito em pontos de presença de caches de borda do CloudFront. Por exemplo, você pode configurar a origem para incluir um cabeçalho `Cache-Control:no-cache="`*field-name*`"` em respostas que contenham informações de cartão de crédito, como os últimos quatro dígitos do número do cartão de crédito e as informações de contato do proprietário do cartão.
### Controles do Sistema e da Organização (CSO)
O CloudFront (exceto a entrega de conteúdo por meio de POPs incorporados do CloudFront) é compatível com medidas de controles de organizações e sistemas (SOC), incluindo SOC 1, SOC 2 e SOC 3. Os relatórios SOC são relatórios de exame terceiros e independentes que demonstram como a AWS satisfaz os principais controles e objetivos de compatibilidade. Essas auditorias garantem que os procedimentos e as proteções devidos sejam estabelecidos para minimizar os riscos que podem afetar a segurança, a confidencialidade, e a disponibilidade dos dados dos clientes e da empresa. Os resultados dessas auditorias de terceiros são disponibilizados no [Site de conformidade com SOC da AWS](https://aws.amazon.com/compliance/soc-faqs/), onde é possível ver os relatórios publicados para obter mais informações sobre os controles que oferecem suporte às operações e conformidade da AWS.
# Resiliência no Amazon CloudFront
A infraestrutura global da AWS é criada com base em regiões da AWS e zonas de disponibilidade. As regiões da AWS As regiões fornecem várias zonas de disponibilidade separadas e isoladas fisicamente, as quais são conectadas com baixa latência, alto throughput e redes altamente redundantes. Com as zonas de disponibilidade, você pode projetar e operar aplicações e bancos de dados que executam o failover automaticamente entre as zonas de disponibilidade sem interrupção. As zonas de disponibilidade são mais altamente disponíveis, tolerantes a falhas e escaláveis que uma ou várias infraestruturas de data center tradicionais.
Para mais informações sobre regiões e zonas de disponibilidade da AWS, consulte [Infraestrutura global da AWS](https://aws.amazon.com/about-aws/global-infrastructure/).
## Failover da origem do CloudFront
Além do suporte da infraestrutura global da AWS, o Amazon CloudFront oferece um recurso de *failover de origem* para ajudar a dar suporte às suas necessidades de resiliência de dados. O CloudFront é um serviço global que fornece seu conteúdo por meio de uma rede mundial de datacenters chamada *pontos de presença* ou *locais de borda* (POPs). Se o conteúdo ainda não estiver armazenado em cache em um ponto de presença, o CloudFront o recupera de uma origem que você identificou como a fonte da versão definitiva do conteúdo.
É possível melhorar a resiliência e aumentar a disponibilidade para cenários específicos configurando o CloudFront com failover de origem. Para começar, crie um grupo de origem no qual designar uma origem primária para o CloudFront mais uma segunda origem. O CloudFront alterna automaticamente para a segunda origem quando a origem primária retornar respostas de falha de código de status HTTP específicas. Para ter mais informações, consulte [Otimizar a alta disponibilidade com o failover de origem do CloudFront](high_availability_origin_failover.md).
# Segurança da infraestrutura no Amazon CloudFront
Como um serviço gerenciado, o Amazon CloudFront é protegido pela segurança da rede global da AWS. Para obter informações sobre serviços de segurança da AWS e como a AWS protege a infraestrutura, consulte [Segurança na Nuvem AWS](https://aws.amazon.com/security/). Para projetar seu ambiente da AWS usando as práticas recomendadas de segurança da infraestrutura, consulte [Proteção de Infraestrutura](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html) em *Pilar de Segurança: AWS Estrutura bem arquitetada*.
Você usa as chamadas de API da AWS para acessar o CloudFront por meio da rede. Os clientes devem oferecer compatibilidade com:
+ Transport Layer Security (TLS). Exigimos TLS 1.2 e recomendamos TLS 1.3.
+ Conjuntos de criptografia com perfect forward secrecy (PFS) como DHE (Ephemeral Diffie-Hellman) ou ECDHE (Ephemeral Elliptic Curve Diffie-Hellman). A maioria dos sistemas modernos, como Java 7 e versões posteriores, comporta esses modos.
O CloudFront Functions usa uma barreira de isolamento altamente segura entre as contas da AWS, garantindo que os ambientes do cliente estejam seguros contra ataques de canal lateral, como Spectre e Meltdown. O Functions não consegue acessar ou modificar dados que pertençam a outros clientes. O Functions é executado em um processo de encadeamento único dedicado em uma CPU dedicada sem hyperthreading. Em qualquer ponto de presença (POP) do local da borda do CloudFront, o CloudFront Functions atende apenas a um cliente por vez e todos os dados específicos do cliente são limpos entre execuções de funções.