c6.1 Centralize a identidade e o acesso de privilégio mínimo para as apps de IA
Autentique os usuários das aplicações de IA por uma fonte de identidade central e conceda permissões granulares por papel, para que apenas os usuários certos alcancem as funcionalidades e dados de IA certos.
Guia de implementação
Como implementar na AWS
Use o AWS IAM Identity Center para identidade centralizada e SSO nas apps de IA (Amazon Q Developer, Quick, Kiro ou próprias), federando com Cognito/Okta/Entra ID. Crie políticas de IAM de privilégio mínimo que controlem quais usuários acessam quais funcionalidades e fontes de dados, e aplique permission boundaries/SCPs para prevenir a escalada.
Critérios de aceitação
As apps de IA autenticam por uma fonte de identidade central com SSO; o acesso por usuário é de privilégio mínimo e por papel; a escalada é limitada por permission boundaries/SCPs.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
O IAM Identity Center fornece SSO central para todas as apps de IA na conta de aplicação, com acesso por papel de privilégio mínimo e SCPs no nível de OU limitando a escalada.
- Use o AWS IAM Identity Center para identidade centralizada e SSO nas apps de IA (Q Developer, Quick, Kiro ou próprias), federando com Cognito/Okta/Entra ID.Conta de aplicação
IAM Identity Center 
Amazon Cognito - Crie políticas de IAM de privilégio mínimo que controlem quais usuários alcançam quais funcionalidades e fontes de dados.Conta de aplicação
IAM - Aplique permission boundaries e SCPs no nível de OU para prevenir a escalada de privilégios na OU de IA generativa.OU de IA generativa (guardrail) IAM
AWS Organizations
Como validar: As apps de IA autenticam por uma fonte de identidade central com SSO; o acesso por usuário é de privilégio mínimo e por papel; uma tentativa de escalada é bloqueada por permission boundaries/SCPs.
Evite: Um login local separado por cada app de IA. A autenticação inconsistente deixa lacunas; centralize a identidade e imponha privilégio mínimo a partir de uma única fonte.
O IAM Identity Center (ou Cognito) centraliza a autenticação das apps de IA na conta com acesso por papel de privilégio mínimo e permission boundaries.
- Use o IAM Identity Center para SSO centralizado nas apps de IA, federando com seu IdP.Camada de aplicação (papel IAM) IAM Identity Center Amazon Cognito
- Escreva políticas de IAM de privilégio mínimo que controlem quais usuários alcançam quais funcionalidades/dados.Camada de aplicação (papel IAM) IAM
- Aplique permission boundaries para limitar a escalada dentro da conta.Camada de aplicação (papel IAM) IAM
Como validar: As apps de IA autenticam por uma fonte central com SSO; o acesso por usuário é de privilégio mínimo; a escalada é limitada por permission boundaries.
Evite: Credenciais por app espalhadas pela conta. Centralize a identidade para que o acesso seja consistente e auditável.
Ameaças atendidas
- Autenticação inconsistente entre múltiplas aplicações de IA.
- Usuários alcançando funcionalidades de IA ou fontes de dados além do seu papel.
Serviços AWS
AWS IAM Identity Center Amazon Cognito AWS IAM Mapeamentos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM02 Sensitive Information Disclosure
NIST AI Risk Management Framework (AI 100-1)
- MANAGE.1 AI risks are prioritized, responded to and managed
AWS Well-Architected Generative AI Lens (Security)
- GENSEC01-BP01 Grant least privilege access to foundation model endpoints
Recursos de aprendizado
Referências
- AWS SRA para IA — Capacidade 6, Gestão de identidade e acesso