A governança cloud se torna difícil muito antes de uma organização se considerar grande. Recursos mudam continuamente, equipes trabalham entre contas e regiões e uma configuração que estava em conformidade ontem pode sofrer drift hoje. O desafio não é apenas inventário: é saber o que mudou, se o novo estado viola uma política e como responder com segurança.
O AWS Config registra configurações de recursos suportados e as avalia por regras. Seu valor, porém, depende de um desenho multi-account deliberado.
Construa primeiro um inventário confiável
Defina quais tipos de recursos e regiões devem ser registrados. A cobertura deve refletir o modelo de risco, em vez de habilitar tudo sem compreender custo e volume. Recursos globais exigem cuidado para evitar duplicações ou lacunas.
Em múltiplas contas, padrões centralizados ajudam segurança e plataforma a visualizar o estado sem acessar cada conta manualmente. Agregadores ajudam a responder:
- quais recursos de produção estão publicamente acessíveis;
- onde a criptografia está desabilitada;
- quais security groups mudaram antes de um incidente;
- quais contas se afastaram da baseline.
O agregador melhora a visibilidade, mas não substitui recorders, canais de entrega, permissões e cobertura regional corretos nas contas de origem.
Expresse política como controle testável
Regras gerenciadas cobrem verificações comuns. Regras customizadas e políticas tratam requisitos específicos. Agrupar controles em conformance packs facilita versionar e distribuir uma baseline.
Uma regra útil possui proprietário, escopo, severidade e orientação de remediação. “Noncompliant” precisa levar a uma decisão acionável; caso contrário, vira mais um dashboard ignorado.
Nem todo achado deve gerar remediação automática. Mudanças determinísticas e de baixo risco podem ser corrigidas; alterações de alto impacto devem exigir aprovação. A remediação precisa de idempotência, permissões limitadas, auditoria e rollback.
Conecte compliance às operações
O histórico de configuração ajuda em incidentes ao mostrar quando uma rota, policy, security group ou parâmetro mudou. Encaminhe mudanças relevantes ao fluxo de eventos e notificações, sem depender apenas de consultas periódicas.
Alertas também precisam controlar ruído. Exceções devem ter responsável e data de expiração; não esconda exceções legítimas em filtros sem documentação. Acompanhe achados antigos e drift recorrente para descobrir quando o processo de entrega — e não um recurso individual — precisa melhorar.
Planeje custo e retenção
Frequência de gravação, quantidade de recursos, avaliações e histórico afetam o custo. Estime o volume antes de expandir e revise-o depois. A retenção deve atender auditoria e investigação sem guardar dados indefinidamente por padrão.
Governança funciona quando as equipes compreendem e conseguem agir. Publique o catálogo de controles, o processo de remediação e o caminho de escalonamento. Antecipe o feedback na entrega de infraestrutura.
AWS Config não é apenas uma lista de recursos. Bem utilizado, torna-se uma camada de evidência: rastreia histórico, avalia políticas continuamente e responde ao drift com consistência e responsabilidade.
Referência
O guia oficial da AWS explica o histórico de configuração, os relacionamentos e a avaliação de regras do AWS Config.