Blog

Se uma equipe de desenvolvimento precisa configurar a infraestrutura do seu projeto na AWS, siga a ordem abaixo. Primeiro você entra como root user, confirma que a conta tem cartão de crédito cadastrado e, só depois disso, cria um usuário IAM separado para os desenvolvedores.

O objetivo não é compartilhar a conta principal. O objetivo é criar um acesso separado, auditável e seguro, com permissões suficientes para configurar o ambiente inicial sem expor senha root, cartão, CVV/CVC ou códigos MFA em conversas.

O erro mais comum é tentar entrar na tela de IAM user sign in usando o e-mail principal da conta. Nessa tela, o e-mail da conta raiz não deve ser digitado no campo Account ID or alias. Para acessar a conta principal, é preciso usar a opção Sign in using root user email.

Resumo do vídeo

No vídeo, o fluxo cria um usuário IAM para desenvolvimento, vincula esse usuário a um grupo chamado DEV e aplica um pacote inicial de permissões de infraestrutura.

As permissões usadas como padrão neste guia são:

• AmazonS3FullAccess
• AmazonEC2FullAccess
• AmazonRDSFullAccess
• AWSLambda_FullAccess
• AmazonVPCFullAccess
• CloudWatchFullAccess
• CloudWatchFullAccessV2
• AmazonEventBridgeFullAccess
• IAMReadOnlyAccess

Essas permissões permitem que a equipe configure armazenamento, servidores, banco de dados, rede, logs, funções Lambda, eventos e validação de acesso. Sem esse conjunto, o usuário pode até conseguir entrar na AWS, mas ainda ficar bloqueado em partes importantes da configuração.

Trechos principais do vídeo:

Antes de criar o usuário: confirme login e cartão

Tenha em mãos:

• e-mail usado para criar a conta AWS;
• senha da conta AWS;
• acesso ao e-mail e ao celular usado na verificação;
• cartão de crédito da empresa ou do responsável pela conta.

Não envie os dados do cartão para a equipe de desenvolvimento. O cartão deve ser cadastrado por você, diretamente no site da AWS.

1. Entrar como root user

1. Acesse https://portal.aws.amazon.com/ ou https://console.aws.amazon.com/.
2. Se aparecer a tela IAM user sign in, não preencha o campo Account ID or alias com o seu e-mail.
3. Clique em Sign in using root user email.
4. Digite o e-mail principal da conta AWS, ou seja, o e-mail usado para criar a conta.
5. Continue com a senha e a verificação de segurança solicitada pela AWS.

Pense assim: root user é o acesso principal da conta AWS. IAM user é um usuário separado que você cria depois para outras pessoas ou equipes acessarem a conta com permissões controladas.

Se você não lembra a senha da conta principal, use a recuperação de senha da própria AWS pelo e-mail root.

2. Cadastrar o cartão de crédito

Depois de entrar como root user, a AWS pode mostrar a etapa Cadastrar-se na AWS ou Informações de faturamento. Se aparecer o campo Número do cartão de crédito, isso significa que a forma de pagamento ainda não foi cadastrada ou precisa ser confirmada.

Preencha os dados do cartão diretamente na página da AWS e conclua a verificação. A AWS pode fazer uma retenção pequena e temporária para confirmar o cartão, conforme as regras de verificação do próprio provedor.

Importante:

• não envie número do cartão por WhatsApp, e-mail ou chat;
• não envie CVV/CVC;
• não envie prints mostrando dados de pagamento;
• não envie senha root e códigos de MFA juntos em histórico de conversa.

Se essa etapa não for concluída, a conta pode ficar incompleta e a equipe técnica não conseguirá configurar os serviços necessários.

Se a AWS exigir uma validação pontual durante uma sessão acompanhada com a equipe técnica, aprove o código em tempo real, para aquela ação específica. O objetivo é não deixar credenciais permanentes, cartão ou senha root expostos em mensagens.

3. Criar usuário IAM e liberar permissões de infraestrutura

Depois que a conta estiver acessível e com forma de pagamento cadastrada, crie um usuário IAM separado para a equipe de desenvolvimento. Não use a conta root no dia a dia do projeto.

No console da AWS, busque por IAM na barra superior. É nessa área que você cria usuários, grupos e permissões.

Crie um usuário chamado xapps ou outro nome combinado com a equipe. Habilite o acesso ao console de gerenciamento.

Use senha personalizada e marque a opção para obrigar troca de senha no primeiro login.

Em seguida, crie um grupo chamado DEV, coloque o usuário dentro desse grupo e anexe as permissões abaixo.

Esse pacote não é uma permissão isolada para banco de dados. É um conjunto inicial para configurar infraestrutura, armazenamento, rede, observabilidade, funções e eventos.

Depois de criar o usuário e o grupo de desenvolvedores, volte em IAM → Grupos de usuários → DEV → Permissões e confira se as policies aparecem na lista de permissões do grupo.

Por que pedimos permissões amplas no início?

Essas permissões são usadas para a configuração inicial do ambiente AWS. No início do projeto, a equipe pode precisar criar banco de dados, configurar rede, ajustar security groups, preparar buckets, habilitar logs, criar funções Lambda ou configurar eventos.

Depois que a infraestrutura estiver criada e validada, os acessos podem ser revisados e reduzidos conforme a necessidade real do projeto. Essa revisão segue o princípio de menor privilégio: manter apenas os acessos necessários para operação, manutenção e suporte.

4. Enviar somente os dados necessários

Ao finalizar a criação do usuário IAM, envie para a equipe:

• URL de login do console da AWS para o usuário IAM;
• usuário criado, por exemplo xapps;
• senha temporária criada;
• confirmação de que a troca de senha no primeiro login ficou habilitada;
• confirmação de que o usuário está no grupo DEV;
• confirmação de que as 9 permissões foram aplicadas ao grupo.

Modelo de mensagem:

Olá.

Criei o acesso AWS para a equipe de desenvolvimento.

Usuário IAM: xapps
Grupo: DEV
Acesso ao console: habilitado
Troca de senha no primeiro login: habilitada

Permissões aplicadas ao grupo:

- AmazonS3FullAccess
- AmazonEC2FullAccess
- AmazonRDSFullAccess
- AWSLambda_FullAccess
- AmazonVPCFullAccess
- CloudWatchFullAccess
- CloudWatchFullAccessV2
- AmazonEventBridgeFullAccess
- IAMReadOnlyAccess

Também confirmei que o usuário está dentro do grupo DEV.

Segue a URL de login IAM, usuário e senha temporária.

Não envie:

• senha do root user;
• senha root junto com código MFA;
• dados de cartão;
• CVV/CVC;
• documentos pessoais;
• prints com dados de conta, cartão, e-mail sensível ou telefone.

Se algum código MFA ou confirmação por SMS/e-mail for indispensável para concluir uma etapa assistida, combine antes a ação, use o código apenas naquela tentativa e revise o acesso depois. Para o trabalho diário, a equipe deve usar o usuário IAM criado, não a conta root.

5. Problemas comuns

Por que evitar a conta root

A conta root da AWS tem acesso total e irrestrito. Usar essa conta para o dia a dia aumenta risco, dificulta auditoria e torna a operação fraca do ponto de vista de segurança.

O certo é usar o root user apenas para tarefas administrativas da conta, como cobrança, recuperação, configurações críticas e criação dos acessos iniciais. Para o trabalho diário, crie um usuário IAM separado, auditável e com permissões controladas.

Boas práticas rápidas

• Ative MFA na conta root.
• Ative MFA também para usuários importantes.
• Não use root user no dia a dia.
• Use usuário IAM separado para a equipe técnica.
• Revise permissões depois da configuração inicial.
• Remova acessos que não são mais necessários.
• Rotacione credenciais quando houver troca de equipe ou suspeita de exposição.

Checklist final antes de enviar o acesso

• Consegui entrar como root user.
• O cartão de crédito foi cadastrado diretamente na AWS.
• A conta AWS concluiu a verificação solicitada.
• O usuário IAM foi criado.
• O grupo DEV foi criado.
• O usuário IAM está dentro do grupo DEV.
• A troca de senha no primeiro login foi habilitada.
• O grupo possui AmazonS3FullAccess.
• O grupo possui AmazonEC2FullAccess.
• O grupo possui AmazonRDSFullAccess.
• O grupo possui AWSLambda_FullAccess.
• O grupo possui AmazonVPCFullAccess.
• O grupo possui CloudWatchFullAccess.
• O grupo possui CloudWatchFullAccessV2.
• O grupo possui AmazonEventBridgeFullAccess.
• O grupo possui IAMReadOnlyAccess.
• Enviei apenas URL de login IAM, usuário e senha temporária.
• Não enviei senha root, cartão, CVV/CVC ou códigos MFA em mensagens.

Guias relacionados para publicar o app

Se a AWS faz parte da preparação para publicar o aplicativo, revise também:

• O que preciso para publicar meu app nas lojas?
• Ambiente de homologação e produção: por que separar antes de publicar
• Apontamento de DNS, HTTPS e API: o que preparar
• Custos recorrentes de um app: servidores, lojas, APIs e manutenção
• MFA/2FA para clientes: como manter a conta segura sem travar o projeto
• Pós-lançamento: rotina de atualização, correções e roadmap

Referências oficiais

• AWS: entrar como root user
• AWS Billing: gerenciar pagamentos
• AWS IAM: boas práticas para proteger o root user
• AWS IAM: boas práticas de segurança

Esse apoio faz parte da nossa Operação DevOps, o serviço contínuo da X-Apps para sustentação, evolução, observabilidade e governança de produtos digitais.

Quer contratar uma Operação DevOps para deixar sua AWS pronta e sob controle?

A X-Apps assume a organização de acessos, permissões, cobrança, ambientes, deploys e rotina operacional para seu software continuar estável, seguro e evoluindo com previsibilidade. Fale com a gente.

---

Nome

Sobrenome

Telefone

AfghanistanÅland IslandsAlbaniaAlgeriaAmerican SamoaAndorraAngolaAnguillaAntigua and BarbudaArgentinaArmeniaArubaAscension IslandAustraliaAustriaAzerbaijanBahamasBahrainBangladeshBarbadosBelarusBelgiumBelizeBeninBermudaBhutanBoliviaBonaire, Sint Eustatius and SabaBosnia and HerzegovinaBotswanaBrazilBritish Indian Ocean TerritoryBrunei DarussalamBulgariaBurkina FasoBurundiCambodiaCameroonCanadaCape VerdeCayman IslandsCentral African RepublicChadChileChinaChristmas IslandCocos (Keeling) IslandsColombiaComorosCongoCongo, Democratic Republic of theCook IslandsCosta RicaCote d'IvoireCroatiaCubaCuraçaoCyprusCzech RepublicDenmarkDjiboutiDominicaDominican RepublicEcuadorEgyptEl SalvadorEquatorial GuineaEritreaEstoniaEthiopiaFalkland IslandsFaroe IslandsFederated States of MicronesiaFijiFinlandFranceFrench GuianaFrench PolynesiaGabonGambiaGeorgiaGermanyGhanaGibraltarGreeceGreenlandGrenadaGuadeloupeGuamGuatemalaGuernseyGuineaGuinea-BissauGuyanaHaitiHoly See (Vatican City State)HondurasHong KongHungaryIcelandIndiaIndonesiaIranIraqIrelandIsle of ManIsraelItalyJamaicaJapanJerseyJordanKazakhstanKenyaKiribatiKosovoKuwaitKyrgyzstanLaosLatviaLebanonLesothoLiberiaLibyaLiechtensteinLithuaniaLuxembourgMacaoMadagascarMalawiMalaysiaMaldivesMaliMaltaMarshall IslandsMartiniqueMauritaniaMauritiusMayotteMexicoMoldovaMonacoMongoliaMontenegroMontserratMoroccoMozambiqueMyanmarNamibiaNauruNepalNetherlandsNew CaledoniaNew ZealandNicaraguaNigerNigeriaNiueNorfolk IslandNorth KoreaNorth MacedoniaNorthern Mariana IslandsNorwayOmanPakistanPalauPalestinePanamaPapua New GuineaParaguayPeruPhilippinesPolandPortugalPuerto RicoQatarReunionRomaniaRussiaRwandaSaint BarthélemySaint HelenaSaint Kitts and NevisSaint LuciaSaint Martin (French Part)Saint Pierre and MiquelonSaint Vincent and the GrenadinesSamoaSan MarinoSao Tome and PrincipeSaudi ArabiaSenegalSerbiaSeychellesSierra LeoneSingaporeSint MaartenSlovakiaSloveniaSolomon IslandsSomaliaSouth AfricaSouth KoreaSouth SudanSpainSri LankaSudanSurinameSvalbard and Jan MayenSwazilandSwedenSwitzerlandSyriaTaiwanTajikistanTanzaniaThailandTimor-LesteTogoTokelauTongaTrinidad and TobagoTristan da CunhaTunisiaTurkeyTurkmenistanTurks and Caicos IslandsTuvaluUgandaUkraineUnited Arab EmiratesUnited KingdomUnited StatesUruguayUzbekistanVanuatuVenezuelaVietnamVirgin Islands, BritishVirgin Islands, U.S.Wallis and FutunaWestern SaharaYemenZambiaZimbabwe

Email

Enviar