A AWS anunciou o Account Access Manager (AAM) em 5 de novembro de 2026. O serviço permite atribuir funções existentes do IAM a usuários e grupos de uma instância organizacional do IAM Identity Center, centralizando a designação sem exigir que as equipes substituam suas funções por permission sets. A AWS descreve o funcionamento e os requisitos de configuração em seu anúncio do AAM.
Como o AAM liga usuário, conta e função
Cada entitlement, ou atribuição de acesso, associa três elementos: um usuário ou grupo do IAM Identity Center, uma conta AWS e o ARN de uma função do IAM. Assim, a identidade de trabalho fica ligada à função específica que poderá usar naquela conta.
O AAM pode ser usado junto com os permission sets do IAM Identity Center. A AWS apresenta os permission sets como uma forma de conceder acesso mais uniforme; o AAM permite atribuir funções existentes, inclusive quando elas variam entre contas. As duas opções podem coexistir na mesma organização.
Antes de criar uma atribuição, confira se a trust policy da função autoriza o AAM a assumir esse papel.
O que a organização precisa configurar
A sequência de configuração começa pela identidade e termina com a atribuição da função:
- Prepare o IAM Identity Center. A organização precisa de uma instância organizacional, com os usuários ou grupos de trabalho que receberão acesso.
- Ative o AAM pela conta de gerenciamento da organização.
- Ajuste a trust policy de cada função elegível. A política de confiança deve autorizar o principal de serviço
account-access.amazonaws.com. No exemplo da AWS, condições para a conta de origem e o ARN da aplicação restringem essa autorização. - Crie os entitlements para ligar usuário ou grupo, conta e função. O console não descobre funções IAM entre contas; o administrador precisa saber os nomes das funções que pretende atribuir.
Se políticas posteriores dependerem de tags de sessão, a AWS indica incluir sts:TagSession na trust policy. Sem essa permissão, a assunção da função ainda pode ocorrer, mas as tags de sessão não são propagadas. Organizações que filtram o tráfego AWS por firewall ou gateway também precisam liberar os endpoints do AAM; eles são dual-stack e não há endpoints somente IPv4.
O tutorial oficial da AWS, publicado em 17 de agosto de 2026, percorre a ativação, a configuração da trust policy, a criação de atribuições e o acesso pelo portal. Está em inglês.
Como os usuários acessam as funções atribuídas
Os usuários podem abrir as funções pelo portal do AAM ou pela aba Applications do portal de acesso do IAM Identity Center. Para o fluxo de linha de comando descrito pela AWS, é necessário usar aws login com o AWS CLI na versão 2.36.0 ou posterior. Comandos específicos do IAM Identity Center, como aws sso configure, não funcionam com atribuições do AAM.
A duração da sessão segue o máximo configurado na função do IAM e pode chegar a 12 horas. Para atribuir a mesma função a várias pessoas, é possível usar grupos; atribuições individuais também podem ser automatizadas por API, SDK ou CLI.
O que mostram as datas anteriores e o relato da Lumos
A AWS publicou seu tutorial em 17 de agosto de 2026. Uma tela do console reproduzida no anúncio registra uma instância do AAM habilitada em 23 de setembro. Em 14 de outubro, a Lumos publicou que sua plataforma lia atribuições do AAM em um gráfico de identidade de pessoas e máquinas e sinalizava problemas para análise. A empresa descreveu o provisionamento pelo AAM e o suporte a provedores de identidade além do Microsoft Entra ID como planos futuros naquele momento, em seu relato sobre a integração.
A AWS anunciou o serviço em 5 de novembro e informou que o AAM não tem custo adicional.
