AWS IAM Policy Generator: Políticas de IAM, de bucket S3 e de confiança com privilégio mínimo — em JSON ou Terraform.

Uma política do IAM é um documento JSON que diz quais ações são permitidas ou negadas em quais recursos, opcionalmente sob condições. Uma política baseada em identidade é anexada a um usuário, grupo ou função e concede as permissões a essa identidade, por isso não tem o elemento Principal. Uma política baseada em recursos é anexada ao próprio recurso — um bucket do S3, uma fila do SQS, uma chave do KMS — e precisa indicar o Principal ao qual se aplica. Quando as duas se aplicam a uma solicitação na mesma conta, a AWS as combina, e um Deny explícito em qualquer uma delas sempre prevalece.

O elemento Principal. Uma política do IAM é anexada a um usuário, grupo ou função, então o principal está implícito e o elemento não é permitido. Uma política de bucket é anexada ao bucket, então cada declaração precisa dizer a quem se aplica — outra conta, o ARN de uma função, um serviço como cloudfront.amazonaws.com ou "*" para todos. O gerador aplica isso nos dois sentidos: exige um Principal no modo bucket, rejeita no modo identidade e avisa quando uma declaração de bucket concede Principal "*" sem Condition.

Conceda só as ações que a carga de trabalho realmente chama, e só nos recursos que ela usa: ações específicas em vez de s3:* ou *, e ARNs reais em Resource em vez de "*". Adicione condições onde elas restringem mais o acesso, por exemplo aws:SourceVpce, aws:PrincipalOrgID ou uma tag do recurso. Depois deixe a AWS revisar o resultado: o IAM Access Analyzer valida uma política em relação às boas práticas da AWS e pode gerar uma política com as ações que uma função de fato usou, com base no histórico do CloudTrail. O gerador sinaliza ações curinga, Resource "*" em ações de escrita e de gerenciamento de permissões, e Allow com NotAction.

Uma política gerenciada pelo cliente pode ter no máximo 6.144 caracteres. Políticas em linha são limitadas por identidade, somando todas as políticas em linha anexadas a ela: 2.048 caracteres para um usuário, 10.240 para uma função e 5.120 para um grupo. O IAM não conta espaços em branco nesses limites, por isso o medidor de tamanho mede o JSON minificado. Uma política de bucket do S3 tem um limite próprio de 20 KB, e nenhum desses limites de caracteres pode ser aumentado por solicitação de cota.

A aba Terraform escreve as mesmas declarações como um bloco data "aws_iam_policy_document", que o Terraform converte em JSON ao planejar. Referencie o atributo json dele onde uma política for esperada: policy = data.aws_iam_policy_document.example.json em um aws_iam_policy para uma política gerenciada, em um aws_iam_role_policy para uma política em linha de função ou em um aws_s3_bucket_policy para uma política de bucket. Se preferir manter o JSON bruto, jsonencode() ou um heredoc também funcionam, mas a fonte de dados mantém a política em HCL, onde os diffs ficam limpos.

Da AWS Service Reference, os arquivos JSON legíveis por máquina que a AWS publica para cada serviço com suas ações, tipos de recurso e chaves de condição. A página informa a data em que os dados foram obtidos, e a lista cobre 12 serviços muito usados: S3, EC2, Lambda, DynamoDB, IAM, CloudWatch Logs, SQS, SNS, KMS, STS, Secrets Manager e ECR. Cada ação traz seu nível de acesso — Read, List, Write, Permissions management ou Tagging — e os tipos de recurso aos quais pode ser restrita, que é o que alimenta os modelos de ARN e os avisos. Para qualquer outro serviço, a lista de referência é a Service Authorization Reference da documentação da AWS.

Uma política de confiança é a política baseada em recursos anexada a uma função do IAM que diz quem pode assumi-la; as políticas de permissões da função dizem depois o que esse principal pode fazer ao assumi-la. Para o GitHub Actions com OIDC, a política de confiança permite sts:AssumeRoleWithWebIdentity ao principal federado token.actions.githubusercontent.com, com condições que exigem que a claim aud seja sts.amazonaws.com e que a claim sub corresponda ao seu repositório, por exemplo repo:my-org/my-repo:ref:refs/heads/main — ou, para repositórios criados após 15 de julho de 2026, a forma imutável repo:my-org@<owner-id>/my-repo@<repo-id>:ref:refs/heads/main. Sem a condição em sub, qualquer repositório do GitHub poderia assumir a função. A política de confiança de uma função tem limite padrão de 2.048 caracteres, ajustável até 8.192.

Não. O gerador roda 100% no cliente: o catálogo de ações vem com a página e cada política é montada na aba do seu navegador. Nada é enviado a um servidor, não há conta nem cadastro, e o link de compartilhamento codifica sua política no fragmento da URL, que os navegadores nunca enviam a um servidor.