Learn AWS visually and interactively.

Fluxo comum com gruposCommon flow with groups

Anatomia de uma políticaAnatomy of a policy

Uma política é um documento JSON. Exemplo de permissão para enviar (push) imagens a um repositório do ECR, com placeholders no lugar de IDs reais:A policy is a JSON document. Example permission to push images to an ECR repository, with placeholders instead of real IDs:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "ecr:BatchCheckLayerAvailability",
        "ecr:InitiateLayerUpload",
        "ecr:UploadLayerPart",
        "ecr:CompleteLayerUpload",
        "ecr:PutImage"
      ],
      "Resource": "arn:aws:ecr:us-east-1:111122223333:repository/meu-repositorio"
    }
  ]
}

Por que separar contas por ambienteWhy separate accounts by environment

A AWS recomenda usar várias contas para separar cargas de trabalho, em vez de uma só. Por padrão não existe acesso entre contas: se produção e não-produção ficam em contas distintas, elas permanecem isoladas até você liberar explicitamente. O número de contas não altera a cobrança, que é baseada no uso dos recursos.AWS recommends using several accounts to separate workloads rather than a single one. By default there is no access between accounts: if production and non-production live in different accounts, they stay isolated until you explicitly allow access. The number of accounts does not change billing, which is based on resource usage.

Exemplo de desenho (uma sugestão didática, não um padrão obrigatório da AWS):Example layout (a teaching suggestion, not a mandatory AWS standard):

A conta de tooling/compartilhada costuma guardar o que várias contas usam, como o repositório de imagens no ECR (acesso entre contas via repository policy).The tooling/shared account usually holds what several accounts use, such as the image repository in ECR (cross-account access through a repository policy).

Simulador de herança de SCPSCP inheritance simulator

Exemplo de SCPSCP example

Exemplo didático que nega ações fora de duas regiões, com exceção de serviços globais. Adapte e teste em uma OU de teste antes de usar. A AWS publica exemplos oficiais de SCP na página de exemplos de SCP.Teaching example denying actions outside two regions, except for global services. Adapt it and test it in a test OU first. AWS publishes official SCP examples in its SCP examples page.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "NotAction": ["iam:*", "organizations:*", "route53:*", "support:*"],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": { "aws:RequestedRegion": ["us-east-1", "sa-east-1"] }
      }
    }
  ]
}

O IAM Identity Center (antigo AWS Single Sign-On) conecta o seu provedor de identidade existente, sincronizando usuários e grupos, ou permite criar e gerenciar usuários direto nele. Para acesso a contas, a AWS o recomenda como forma de dar acesso a pessoas. Não há cobrança adicional pelo IAM Identity Center; você paga pelos recursos que usa.IAM Identity Center (formerly AWS Single Sign-On) connects your existing identity provider, syncing users and groups, or lets you create and manage users directly in it. For account access, AWS recommends it as the way to give access to people. There is no additional charge for IAM Identity Center; you pay for the resources you use.

Permission sets na práticaPermission sets in practice

• Permission sets exigem a instância da organização com multi-account permissions habilitado (padrão ao criar a instância).Permission sets require the organization instance with multi-account permissions enabled (default when the instance is created).
• Aceitam políticas gerenciadas pela AWS, gerenciadas pelo cliente, inline e de função de trabalho, além de uma permissions boundary.They accept AWS managed, customer managed, inline and job-function policies, plus a permissions boundary.
• Você pode atribuir mais de um permission set à mesma pessoa. A documentação recomenda escolher, no portal, o mais restritivo que resolve a tarefa, em vez de sempre usar administrador.You can assign more than one permission set to the same person. The docs recommend choosing, in the portal, the most restrictive one that does the job rather than always using admin.
• Exemplo da documentação: PowerUserAccess não permite gerenciar usuários e grupos IAM, ao contrário de AdministratorAccess.Docs example: PowerUserAccess does not allow managing IAM users and groups, unlike AdministratorAccess.
• Precisa de recursos além do que permission sets oferecem (trust policy customizada, tags de role)? Veja o account access manager do IAM.Need more than permission sets offer (custom trust policy, role tags)? See IAM's account access manager.

Uso no terminalUsing it in the terminal

aws configure sso          # cria o perfil (sso-session, conta e permission set)
aws sso login --profile meu-perfil
aws sts get-caller-identity --profile meu-perfil
aws sso logout

Quando as credenciais do SSO expiram, é preciso fazer login de novo. Veja também a seção AWS CLI.When SSO credentials expire you must sign in again. See also the AWS CLI section.

A AWS recomenda não guardar credenciais de longo prazo em aplicações fora da AWS. Com OIDC, o provedor emite um JSON Web Token (JWT); a AWS valida o token e devolve credenciais temporárias de uma role IAM. A operação da API é AssumeRoleWithWebIdentity (AWS STS).AWS recommends not storing long-term credentials in applications outside AWS. With OIDC, the provider issues a JSON Web Token (JWT); AWS validates it and returns temporary credentials for an IAM role. The API operation is AssumeRoleWithWebIdentity (AWS STS).

1 · Criar o provedor OIDC no IAM1 · Create the OIDC provider in IAM

• A URL do provedor começa com https://, não tem porta e não tem query string. É sensível a maiúsculas e deve ser única na conta. Para o GitHub Actions: https://token.actions.githubusercontent.com.The provider URL starts with https://, has no port and no query string. It is case-sensitive and must be unique in the account. For GitHub Actions: https://token.actions.githubusercontent.com.
• O campo Audience (aud) deve bater com o valor que o provedor coloca no token. Para o GitHub Actions no console, é sts.amazonaws.com.The Audience (aud) must match the value the provider puts in the token. For GitHub Actions in the console, it is sts.amazonaws.com.
• A AWS verifica o certificado do endpoint JWKS com sua biblioteca de CAs confiáveis; thumbprints só entram como alternativa quando o certificado não é de uma CA conhecida.AWS verifies the JWKS endpoint certificate against its library of trusted CAs; thumbprints are only a fallback when the certificate is not from a known CA.
• O provedor OIDC usado na trust policy precisa estar na mesma conta da role.The OIDC provider used in a trust policy must be in the same account as the role.

2 · Trust policy da role2 · The role's trust policy

O GitHub é um provedor OIDC compartilhado entre muitos clientes. Por isso o IAM exige que a trust policy avalie a condição token.actions.githubusercontent.com:sub, e o valor não pode ser só um curinga. Sem essa restrição, workflows de repositórios fora do seu controle poderiam assumir a role. Exemplo restrito a um repositório e uma branch:GitHub is an OIDC provider shared across many customers. So IAM requires the trust policy to evaluate the condition token.actions.githubusercontent.com:sub, and the value cannot be only a wildcard. Without that restriction, workflows from repositories outside your control could assume the role. Example limited to one repository and one branch:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::111122223333:oidc-provider/token.actions.githubusercontent.com"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "token.actions.githubusercontent.com:aud": "sts.amazonaws.com",
          "token.actions.githubusercontent.com:sub": "repo:MINHA_ORG/MEU_REPO:ref:refs/heads/main"
        }
      }
    }
  ]
}

O claim sub do GitHubThe GitHub sub claim

• Se o job referencia um environment, o sub usa o formato de environment (ele tem prioridade). Pull request só aparece quando não há environment. Branch e tag valem quando não há environment nem pull request.If the job references an environment, the sub uses the environment format (it takes priority). Pull request only appears when there is no environment. Branch and tag apply when there is neither environment nor pull request.
• Para restringir repositório, use StringLike com repo:ORG/REPO:*. Para branch, use o valor exato da branch. Para environment, use repo:ORG/REPO:environment:producao e proteja o environment com regras de deploy (quais branches e tags podem fazer deploy nele), como a AWS e o GitHub recomendam.To restrict the repository, use StringLike with repo:ORG/REPO:*. For a branch, use the exact branch value. For an environment, use repo:ORG/REPO:environment:production and protect the environment with deployment rules (which branches and tags may deploy to it), as AWS and GitHub recommend.
• Repositórios novos podem emitir o formato imutável, que inclui IDs: repo:ORG@ORG_ID/REPO@REPO_ID:.... A documentação da action avisa que, se a trust policy usa o formato antigo e o repositório emite o novo, o assume-role falha com "Not authorized". Confira o formato que o seu repositório emite.New repositories may issue the immutable format, which includes IDs: repo:ORG@ORG_ID/REPO@REPO_ID:.... The action's docs warn that if the trust policy uses the old format and the repository issues the new one, assume-role fails with "Not authorized". Check which format your repository issues.
• Dois-pontos dentro de valores aparecem como %3A no sub.Colons inside values appear as %3A in the sub.

3 · Workflow com aws-actions/configure-aws-credentials3 · Workflow with aws-actions/configure-aws-credentials

permissions:
  id-token: write   # permite ao job pedir o JWT

jobs:
  deploy:
    runs-on: ubuntu-latest
    environment: producao
    steps:
      - uses: aws-actions/configure-aws-credentials@v6   # fixe uma versão/SHA
        with:
          role-to-assume: arn:aws:iam::111122223333:role/github-deploy-prod
          aws-region: us-east-1
      - run: aws sts get-caller-identity

A região é sempre obrigatória na action. Ela também tem recomendações próprias: menor privilégio na role, cuidado com pull_request_target e com runners não efêmeros, e evitar ForAllValues: em statements Allow.The region is always required by the action. It also has its own advice: least privilege on the role, care with pull_request_target and non-ephemeral runners, and avoid ForAllValues: in Allow statements.

InstalarInstall

O script de instalação é o método recomendado pela documentação. Por padrão ele instala só para o usuário atual, em $HOME/.local. O método com sudo e --system instala para todos.The install script is the method the docs recommend. By default it installs for the current user only, under $HOME/.local. The sudo + --system form installs for everyone.

curl -fsSL https://awscli.amazonaws.com/v2/install.sh | bash
aws --version

Atualizar e removerUpdate and remove

aws update

Em instalações feitas pelo script ou pelos instaladores oficiais, o comando acima atualiza o CLI. Se foi instalado para todos os usuários, rode-o com sudo. Para desinstalar, siga a página oficial de desinstalação (link abaixo).For installs done with the script or the official installers, the command above updates the CLI. If it was installed for all users, run it with sudo. To uninstall, follow the official uninstall page (link below).

Quem sou eu? e loginWho am I? and login

aws sts get-caller-identity --profile meu-perfil

Mostra a identidade (conta e ARN) das credenciais em uso. Para pessoas, configure o login com IAM Identity Center (aws configure sso e aws sso login).Shows the identity (account and ARN) of the credentials in use. For people, set up sign-in with IAM Identity Center (aws configure sso and aws sso login).

ECR — autenticação com um token temporário (válido por 12 horas) para o Docker:authentication with a temporary token (valid for 12 hours) for Docker:

aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin 111122223333.dkr.ecr.us-east-1.amazonaws.com

Pré-requisitos segundo a documentação da EC2Prerequisites per the EC2 docs

• A instância passou nas status checks (pode levar alguns minutos).The instance passed its status checks (it can take a few minutes).
• Você tem a chave privada (.pem) do key pair e as permissões do arquivo configuradas (a página de pré-requisitos da EC2 detalha isso).You have the key pair's private key (.pem) with file permissions set (the EC2 prerequisites page explains this).
• O Security Group da instância libera SSH (porta 22) só do seu IP. Abrir 22 para 0.0.0.0/0 deixa qualquer um tentar entrar.The instance's Security Group allows SSH (port 22) only from your IP. Opening 22 to 0.0.0.0/0 lets anyone try.

ConectarConnect

ssh -i /caminho/minha-chave.pem usuario-da-instancia@dns-publico-da-instancia

No primeiro acesso, o SSH mostra a impressão digital (fingerprint) do servidor. A documentação sugere conferi-la com a da instância: se não bater, pode ser um ataque man-in-the-middle.On first connection SSH shows the server fingerprint. The docs suggest checking it against the instance's: if it does not match, it may be a man-in-the-middle attack.

Handshake passo a passoHandshake step by step

Protocolos e TCP/IPProtocols and TCP/IP

Um protocolo é um contrato: regras de como os dados são formatados, transmitidos e recebidos. O SSH é da camada de Aplicação e roda sobre TCP/IP.A protocol is a contract: rules for how data is formatted, sent and received. SSH is an Application-layer protocol running on top of TCP/IP.

Snapshot vs. ImagemImage

Launch Template

Especifica a configuração de uma instância: ID da AMI, tipo de instância, key pair, security groups e outros parâmetros. Tem versões: dá para manter uma base e criar versões novas (por exemplo, com a AMI da última versão da aplicação). A AWS recomenda launch templates em vez de launch configurations, que não suportam recursos como misturar Spot e On-Demand ou vários tipos de instância.Specifies an instance's configuration: AMI ID, instance type, key pair, security groups and other parameters. It has versions: you can keep a base and create new versions (for example with the AMI of the latest app version). AWS recommends launch templates over launch configurations, which lack features such as mixing Spot and On-Demand or multiple instance types.

Auto Scaling Group (ASG)

Coleção de instâncias tratada como uma unidade. Você define:A collection of instances treated as one unit. You define:

1. Minimum size: o grupo nunca fica abaixo disso.the group never goes below it.
2. Maximum size: o grupo nunca passa disso.the group never exceeds it.
3. Desired capacity: quantas instâncias você quer rodando agora (dentro do mínimo e máximo).how many instances you want running now (within the min and max).

Não há cobrança adicional pelo Auto Scaling; você paga pelos recursos usados (instâncias, volumes EBS, alarmes do CloudWatch).There is no additional charge for Auto Scaling; you pay for the resources used (instances, EBS volumes, CloudWatch alarms).

Scaling policies

Sempre dentro do mínimo e do máximo do grupo. Se mais de uma política pedir mudança ao mesmo tempo, prevalece a que resulta em mais capacidade.Always within the group's min and max. If more than one policy asks for a change at once, the one giving the most capacity wins.

O Elastic IP é alocado à sua conta e é seu até você liberá-lo. Você pode "mascarar" a falha de uma instância remapeando o endereço para outra instância da conta, ou usá-lo em um registro DNS do seu domínio.An Elastic IP is allocated to your account and stays yours until you release it. You can mask an instance failure by remapping the address to another instance in your account, or use it in a DNS record for your domain.

• É específico de uma Region e não pode ser movido para outra. Não há Elastic IP para IPv6.It is specific to one Region and cannot be moved to another. There are no Elastic IPs for IPv6.
• Ao associar um Elastic IP a uma instância que já tinha IP público automático, esse IP automático é liberado e não pode ser reaproveitado.When you associate an Elastic IP with an instance that had an automatic public IP, that automatic IP is released and cannot be reused.
• Um Elastic IP desassociado continua alocado (e cobrado) até você liberá-lo.A disassociated Elastic IP stays allocated (and billed) until you release it.
• Há uma cota padrão de Elastic IPs por Region, que pode ser aumentada no Service Quotas. Consulte a página oficial para o valor atual.There is a default quota of Elastic IPs per Region, which can be raised in Service Quotas. See the official page for the current value.

A documentação ainda sugere reduzir o número de IPv4 públicos usando um load balancer na frente das instâncias, desligando o "auto-assign public IP" onde não for preciso.The docs also suggest reducing the number of public IPv4 addresses by putting a load balancer in front of the instances and turning off "auto-assign public IP" where not needed.

Push passo a passoPush step by step

aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin 111122223333.dkr.ecr.us-east-1.amazonaws.com
docker tag minha-app:1.4.2 111122223333.dkr.ecr.us-east-1.amazonaws.com/minha-app:1.4.2
docker push 111122223333.dkr.ecr.us-east-1.amazonaws.com/minha-app:1.4.2

Se você omitir a tag no docker tag, a tag assumida é latest.If you omit the tag in docker tag, the assumed tag is latest.

Acesso entre contas (repository policy)Cross-account access (repository policy)

Para a conta de tooling guardar as imagens e as contas de staging e produção baixarem, anexe uma repository policy ao repositório. Exemplo de pull para uma conta (placeholder no lugar do ID real):For the tooling account to hold the images and the staging and production accounts to pull them, attach a repository policy to the repository. Example pull access for one account (placeholder instead of the real ID):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPullFromProd",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::<ID_CONTA_PROD>:root" },
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ]
    }
  ]
}

• O ECR exige que quem autentica tenha ecr:GetAuthorizationToken por política IAM antes de qualquer push ou pull. Essa permissão não vem da repository policy.ECR requires the caller to have ecr:GetAuthorizationToken through an IAM policy before any push or pull. That permission does not come from the repository policy.
• A conta que recebe a permissão precisa ter a Region do repositório habilitada, senão a criação da policy dá erro.The account being granted access must have the repository's Region enabled, otherwise creating the policy fails.
• Para ações de push, a documentação inclui também BatchCheckLayerAvailability, InitiateLayerUpload, UploadLayerPart, CompleteLayerUpload e PutImage.For push, the docs also include BatchCheckLayerAvailability, InitiateLayerUpload, UploadLayerPart, CompleteLayerUpload and PutImage.

Tags e digestsTags and digests

• Tag mutável: o mesmo nome de tag pode ser sobrescrito por um novo push. Com tag immutability ligada, repetir uma tag retorna ImageTagAlreadyExistsException. A imutabilidade vale para todas as tags (com filtros de exceção opcionais).Mutable tags: the same tag name can be overwritten by a new push. With tag immutability on, reusing a tag returns ImageTagAlreadyExistsException. Immutability covers all tags (with optional exclusion filters).
• O ECS, por padrão, resolve a tag da task definition para o digest da imagem no momento do deploy e usa o digest nas demais tarefas, para que todas rodem exatamente a mesma imagem. Veja ECS.By default ECS resolves the task definition's tag to the image digest at deploy time and uses the digest for the other tasks, so all of them run exactly the same image. See ECS.

Capacidade (onde os containers rodam): Fargate (serverless, sem gerenciar servidores), instâncias EC2 que você gerencia, ECS Managed Instances (EC2 com a infraestrutura gerenciada pela AWS) ou servidores externos com ECS Anywhere. O custo depende da capacidade escolhida; veja as páginas de preços do ECS e do Fargate.Capacity (where containers run): Fargate (serverless, no servers to manage), EC2 instances you manage, ECS Managed Instances (EC2 with AWS-managed infrastructure) or external servers with ECS Anywhere. Cost depends on the chosen capacity; see the ECS and Fargate pricing pages.

Deploy com rolling updateRolling update deployment

No tipo de deploy rolling update, o scheduler do ECS substitui as tasks em execução por tasks novas. Dois parâmetros do serviço controlam o ritmo:With the rolling update deployment type, the ECS scheduler replaces running tasks with new ones. Two service parameters control the pace:

• Garanta que o scheduler consiga parar ou iniciar pelo menos uma task no deploy. Com 75% mínimo e 2 tasks, nada pode ser parado e o deploy trava.Make sure the scheduler can stop or start at least one task during a deployment. With 75% minimum and 2 tasks, nothing can be stopped and the deployment gets stuck.
• Para detectar falha rápido, use o deployment circuit breaker (falha quando as tasks não conseguem iniciar) e/ou alarmes do CloudWatch (falha por métricas da aplicação). Ambos suportam rollback para a revisão anterior do serviço.To detect failure fast, use the deployment circuit breaker (fails when tasks cannot start) and/or CloudWatch alarms (fails on application metrics). Both support rollback to the previous service revision.
• O ECS resolve a tag da imagem para o digest no início do deploy e usa o digest nas outras tasks, garantindo a mesma imagem em todas. Para pegar um digest atualizado, force um novo deploy (forceNewDeployment).ECS resolves the image tag to the digest at the start of the deployment and uses the digest for the other tasks, ensuring the same image everywhere. To pick up an updated digest, force a new deployment (forceNewDeployment).
• Variáveis de ambiente vindas do Parameter Store são resolvidas quando a task inicia: uma task em execução só vê o valor novo após um novo deploy. Veja Systems Manager e Secrets Manager.Environment variables from Parameter Store are resolved when the task starts: a running task only sees the new value after a new deployment. See Systems Manager and Secrets Manager.

aws ecs update-service --cluster meu-cluster --service minha-api --force-new-deployment

Com o load balancerWith the load balancer

O ALB consegue registrar tasks do ECS em um target group, inclusive escolhendo uma porta livre quando a task é agendada. Os health checks do target group definem se a task está saudável. Veja Load Balancer.The ALB can register ECS tasks in a target group, even choosing an unused port when the task is scheduled. The target group's health checks decide whether a task is healthy. See Load Balancer.

Os blocos CIDR acima são apenas um exemplo didático de desenho; a AWS não define um padrão obrigatório.The CIDR blocks above are only a teaching example of a layout; AWS does not mandate a standard.

Peças principaisMain pieces

• Subnet: faixa de IPs da VPC que fica em uma única zona de disponibilidade.a range of VPC IP addresses living in a single Availability Zone.
• Route table: conjunto de rotas (destino + alvo) que decide para onde vai o tráfego de uma subnet ou gateway. Todo VPC nasce com uma main route table, e você pode criar outras.a set of routes (destination + target) deciding where a subnet's or gateway's traffic goes. Every VPC starts with a main route table, and you can create more.
• Internet gateway: conecta a VPC à internet.connects the VPC to the internet.
• NAT gateway, VPC endpoint, peering, transit gateway, VPN, Flow Logs completam o quadro (veja abaixo e na página oficial).complete the picture (see below and the official page).
• Cada Region já tem uma VPC default, pronta para uso. Não há cobrança pela VPC em si, mas há por alguns componentes, como NAT gateways e IPv4 públicos.Each Region already has a default VPC, ready to use. There is no charge for the VPC itself, but there is for some components, such as NAT gateways and public IPv4 addresses.

Subnets e CIDRSubnets and CIDR

O bloco de uma subnet pode ser igual ao da VPC (uma subnet só) ou parte dele. Subnets da mesma VPC não podem se sobrepor. O tamanho permitido para IPv4 vai de /28 a /16. Em cada subnet, os quatro primeiros IPs e o último não estão disponíveis (rede, roteador da VPC, DNS, uso futuro e broadcast): são 5 reservados.A subnet's block can equal the VPC's (a single subnet) or be part of it. Subnets in the same VPC cannot overlap. The allowed IPv4 size ranges from /28 to /16. In each subnet, the first four IPs and the last one are unavailable (network, VPC router, DNS, future use and broadcast): that is 5 reserved.

Subnets públicas e privadasPublic and private subnets

A rota local permite que as subnets da VPC conversem entre si; quem restringe quem fala com quem são os Security Groups. Um RDS "publicamente acessível" exige que todas as subnets do seu DB subnet group tenham internet gateway; o recomendado para bancos é subnet privada (veja RDS).The local route lets the VPC's subnets talk to each other; what restricts who talks to whom is Security Groups. A "publicly accessible" RDS requires every subnet in its DB subnet group to have an internet gateway; for databases a private subnet is the usual choice (see RDS).

NAT Gateway

Permite que instâncias em subnet privada iniciem conexões para fora da VPC, enquanto serviços externos não conseguem iniciar conexão com elas. O NAT gateway público (padrão) fica numa subnet pública, exige um Elastic IP e roteia o tráfego para o internet gateway. O privado serve para outras VPCs ou redes on-premises (via transit gateway ou virtual private gateway) e não aceita Elastic IP. Existe também o NAT gateway regional, com expansão multi-AZ automática.Lets instances in a private subnet initiate connections out of the VPC, while external services cannot start connections to them. The public NAT gateway (default) lives in a public subnet, needs an Elastic IP and routes traffic to the internet gateway. The private one is for other VPCs or on-premises networks (through a transit gateway or virtual private gateway) and does not accept an Elastic IP. There is also a regional NAT gateway with automatic multi-AZ expansion.

VPC endpoints

Conectam a VPC a serviços AWS de forma privada, sem internet gateway nem NAT. O tráfego fica na rede da AWS.Connect the VPC to AWS services privately, with no internet gateway or NAT. Traffic stays on the AWS network.

Exemplo: instâncias sem IP público podem usar o Session Manager com VPC endpoints do Systems Manager (veja Systems Manager).Example: instances without a public IP can use Session Manager with Systems Manager VPC endpoints (see Systems Manager).

Como funcionaHow it works

• Só existem regras de permissão (allow), não de bloqueio. Um SG novo não tem regra inbound, então nenhum tráfego de entrada é permitido até você adicionar.Rules are allow only, no deny. A new SG has no inbound rules, so no inbound traffic is allowed until you add some.
• Um SG novo vem com uma regra outbound que libera toda a saída. Se você remover e não houver regras de saída, nenhuma saída é permitida.A new SG comes with an outbound rule allowing all outbound traffic. If you remove it and have no outbound rules, no outbound traffic is allowed.
• Stateful: a resposta a um tráfego permitido é liberada independentemente das regras do outro sentido. Por isso o outbound de um banco pode ficar vazio e ele ainda responde ao que o inbound autorizou.the response to allowed traffic is permitted regardless of the other direction's rules. That is why a database's outbound can be empty and it still answers what inbound allowed.
• Vários SGs em um recurso têm suas regras somadas. Mudanças nas regras valem na hora para todos os recursos associados. O SG é associado a interfaces de rede, não a IPs individuais.Several SGs on one resource have their rules aggregated. Rule changes apply immediately to all associated resources. An SG is tied to network interfaces, not individual IPs.
• Cada regra tem protocolo, faixa de portas e origem (inbound) ou destino (outbound): um IP (/32), um CIDR, uma prefix list ou outro Security Group.Each rule has a protocol, port range and a source (inbound) or destination (outbound): an IP (/32), a CIDR, a prefix list or another Security Group.
• Não há cobrança por usar security groups. Existem cotas (SGs por VPC, regras por SG, SGs por interface).There is no charge for security groups. There are quotas (SGs per VPC, rules per SG, SGs per interface).
• SGs não filtram tráfego para DNS da Amazon, DHCP, metadados da instância, Time Sync e o roteador da VPC.SGs do not filter traffic to Amazon DNS, DHCP, instance metadata, Time Sync and the VPC router.

Security Groups encadeadosChained Security Groups

Em vez de liberar por IP, use como origem o ID de outro SG. A regra vale para as instâncias associadas àquele SG, pelo IP privado delas, e sobrevive à troca de instâncias. Exemplo clássico da documentação (load balancer, web e banco):Instead of allowing by IP, use another SG's ID as the source. The rule applies to instances associated with that SG, through their private IPs, and survives instance replacement. The docs' classic example (load balancer, web and database):

• Referenciar um SG não copia as regras dele para o SG que referencia.Referencing an SG does not copy its rules into the referencing SG.
• Para referenciar em regra inbound, os SGs devem estar na mesma VPC ou em VPCs ligadas por peering ou transit gateway. Em regra outbound: mesma VPC ou peering.To reference in an inbound rule, the SGs must be in the same VPC or in VPCs linked by peering or a transit gateway. In an outbound rule: same VPC or peering.
• Uma regra que referencia outro SG conta como uma regra, não importa o tamanho do SG referenciado.A rule referencing another SG counts as one rule, no matter the size of the referenced SG.
• Se o tráfego passa por uma appliance intermediária (middlebox), referenciar o SG do outro lado não basta: use o IP privado ou o CIDR da subnet.If traffic goes through a middlebox appliance, referencing the other side's SG is not enough: use the private IP or the subnet CIDR.

Managed Prefix Lists

Conjunto de um ou mais blocos CIDR que você referencia como uma unidade em regras de security group e em route tables. Ao adicionar um CIDR à lista, todos os SGs que a usam são atualizados.A set of one or more CIDR blocks you reference as a unit in security group rules and route tables. Adding a CIDR to the list updates every SG using it.

Uso típico: um único conjunto de IPs do escritório/VPN liberado para SSH ou para um painel em vários SGs.Typical use: a single set of office/VPN IPs allowed for SSH or an admin panel across several SGs.

Tipos de load balancerLoad balancer types

Há ainda o Classic Load Balancer. O restante desta página trata do ALB.There is also the Classic Load Balancer. The rest of this page covers the ALB.

Peças do ALBALB components

• Listener: verifica pedidos de conexão com o protocolo e a porta que você configura. Toda listener tem uma regra default, e você pode adicionar outras.checks for connection requests using the protocol and port you configure. Every listener has a default rule, and you can add others.
• Target group: encaminha para um ou mais targets usando o protocolo e a porta que você definir (a porta do target deve ser a em que a aplicação escuta). Health checks são configurados por target group. Um target pode estar em mais de um target group.routes to one or more targets using the protocol and port you set (the target port must be the one the app listens on). Health checks are configured per target group. A target can be in more than one target group.
• O algoritmo padrão do target group é round robin; a alternativa é least outstanding requests.The target group's default algorithm is round robin; the alternative is least outstanding requests.

Regras por host e caminhoHost and path rules

As regras são avaliadas em ordem de prioridade, da menor para a maior; a regra default é avaliada por último e não tem condições. Exemplo (um ALB para vários domínios):Rules are evaluated in priority order, from the lowest to the highest; the default rule is evaluated last and has no conditions. Example (one ALB for several domains):

• Cada regra tem exatamente uma ação entre forward, redirect e fixed-response, e ela é a última a executar.Each rule has exactly one action among forward, redirect and fixed-response, and it runs last.
• Condições disponíveis: host-header, path-pattern, http-request-method, source-ip, http-header e query-string. Há limite de três valores de comparação por condição e cinco por regra.Available conditions: host-header, path-pattern, http-request-method, source-ip, http-header and query-string. Limits: three comparison strings per condition and five per rule.
• As regex das condições não suportam lookahead, lookbehind, backreferences, entre outros recursos.Condition regexes do not support lookahead, lookbehind, backreferences, among other features.

Health checks

O ALB testa periodicamente cada target e só roteia para os saudáveis. Valores padrão segundo a documentação em 2026-10-13 (podem mudar):The ALB periodically tests each target and only routes to healthy ones. Defaults per the docs on 2026-10-13 (they may change):

HTTPS

Um listener HTTPS exige pelo menos um certificado X.509: o certificado default. Para vários domínios na mesma porta, adicione certificados à certificate list (o ALB escolhe o certificado pelo nome enviado via SNI) ou use um certificado com SANs/curinga. A AWS recomenda emitir os certificados no AWS Certificate Manager. O nome no certificado precisa bater com o host pedido, senão a conexão falha.An HTTPS listener requires at least one X.509 certificate: the default certificate. For several domains on the same port, add certificates to the certificate list (the ALB picks by the name sent via SNI) or use a certificate with SANs/wildcard. AWS recommends issuing certificates in AWS Certificate Manager. The name on the certificate must match the requested host or the connection fails.

Security Groups: o do ALB libera 80/443 da internet; o da aplicação libera a porta da app só do SG do ALB (veja Security Groups encadeados).Security Groups: the ALB's allows 80/443 from the internet; the app's allows the app port only from the ALB's SG (see chained Security Groups).

Validação por DNSDNS validation

• Ao escolher DNS, o ACM fornece um ou mais registros CNAME (nome e valor únicos para o seu domínio e conta). Eles são a prova de que você controla o domínio.When you choose DNS, ACM gives you one or more CNAME records (a name and value unique to your domain and account). They are proof that you control the domain.
• O CNAME é adicionado uma única vez. O ACM renova o certificado automaticamente enquanto ele estiver em uso e o CNAME continuar no DNS. Apagar o CNAME interrompe a renovação.The CNAME is added only once. ACM renews the certificate automatically as long as it is in use and the CNAME stays in DNS. Deleting the CNAME stops renewal.
• Com o Route 53 como DNS e permissão de escrita na zona, o console mostra o botão Create records in Route 53. O status pode continuar Pending validation por até 30 minutos.With Route 53 as DNS and write permission on the zone, the console shows a Create records in Route 53 button. Status may remain Pending validation for up to 30 minutes.
• Se o ACM não conseguir validar em 72 horas, o status vira Validation timed out e é preciso pedir um novo certificado.If ACM cannot validate within 72 hours, the status becomes Validation timed out and you must request a new certificate.
• Se o DNS não é Route 53, copie o CNAME (ou exporte o CSV) e crie-o no provedor. Alguns provedores acrescentam o domínio ao nome sozinhos: se você colar o nome completo, ele vira _x.exemplo.com.exemplo.com e a validação falha.If DNS is not Route 53, copy the CNAME (or export the CSV) and create it at your provider. Some providers append the domain to the name themselves: if you paste the full name it becomes _x.example.com.example.com and validation fails.

Se você usa registros CAA no domínio, é preciso autorizar a AWS a emitir; veja a página "Configure a CAA record" do ACM, referenciada na documentação do Route 53.If you use CAA records on the domain, you must authorize AWS to issue; see ACM's "Configure a CAA record" page, referenced in the Route 53 docs.

Session Manager

Ferramenta totalmente gerenciada para acessar instâncias EC2 (e servidores on-premises/VMs) por um shell interativo no navegador ou pela AWS CLI, sem abrir portas de entrada, sem bastion host e sem gerenciar chaves SSH.A fully managed tool to reach EC2 instances (and on-premises servers/VMs) through an interactive shell in the browser or the AWS CLI, with no inbound ports, no bastion hosts and no SSH keys to manage.

• Controle por IAM: as políticas definem quem pode abrir sessões e em quais nós; dá para conceder acesso temporário (ex.: plantão).IAM control: policies define who can open sessions and on which nodes; you can grant temporary access (e.g. on-call).
• Sem IP público: com VPC endpoints (AWS PrivateLink) do Systems Manager, o tráfego fica na rede da AWS. Veja VPC endpoints.No public IP: with Systems Manager VPC endpoints (AWS PrivateLink), traffic stays on the AWS network. See VPC endpoints.
• Port forwarding: redireciona uma porta da instância para uma porta local (útil para acessar um banco privado).Port forwarding: redirects an instance port to a local port (handy for reaching a private database).
• Auditoria: integra com CloudTrail, S3, CloudWatch Logs e EventBridge/SNS. Sessões de port forwarding ou SSH não têm log do conteúdo.Auditing: integrates with CloudTrail, S3, CloudWatch Logs and EventBridge/SNS. Port-forwarding or SSH sessions get no content logging.
• Pré-requisitos: o nó precisa ser gerenciado pelo Systems Manager (SSM Agent e permissões IAM; veja "Setting up Session Manager"). Na AWS CLI é preciso a versão 1.16.12 ou superior e o plugin do Session Manager.Prerequisites: the node must be managed by Systems Manager (SSM Agent and IAM permissions; see "Setting up Session Manager"). The AWS CLI needs version 1.16.12 or later plus the Session Manager plugin.

aws ssm start-session --target i-0123456789abcdef0

Parameter Store

Armazém centralizado de configuração: valores nomeados (parameters) que a aplicação lê em tempo de execução, sem deixar valores fixos no código.A centralized configuration store: named values (parameters) the application reads at runtime, with no hardcoded values in code.

/minha-app/prod/db-host        # hierarquia: /app/ambiente/nome
/minha-app/staging/db-host

• Hierarquia: agrupe por caminho (ex.: /app/ambiente/chave) para buscar e filtrar vários parâmetros de uma vez e dar permissões IAM por prefixo (ler /minha-app/prod/* mas não /minha-app/dev/*).Hierarchy: group by path (e.g. /app/env/key) to fetch and filter several parameters at once and grant IAM permissions per prefix (read /my-app/prod/* but not /my-app/dev/*).
• Versões: guarda as 100 versões mais recentes de cada parâmetro.Versions: keeps the 100 most recent versions of each parameter.
• Camadas: standard (sem custo adicional; até 10.000 parâmetros por conta/Region, valor de até 4 KB) e advanced (até 100.000; 8 KB; políticas de parâmetro e compartilhamento entre contas; cobrado). Valores da documentação em 2026-10-13; confira a página de preços.Tiers: standard (no extra charge; up to 10,000 parameters per account/Region, value up to 4 KB) and advanced (up to 100,000; 8 KB; parameter policies and cross-account sharing; billed). Values per the docs on 2026-10-13; check the pricing page.
• Integrações: ECS/Fargate injetam parâmetros como variáveis de ambiente; Lambda tem extensão; CloudFormation e CodeBuild leem parâmetros. Há também parâmetros públicos que apontam para as AMIs atuais.Integrations: ECS/Fargate inject parameters as environment variables; Lambda has an extension; CloudFormation and CodeBuild read parameters. There are also public parameters pointing to current AMIs.

• Em vez de credenciais fixas no código, a aplicação faz uma chamada em tempo de execução ao Secrets Manager. Assim, quem inspeciona a aplicação não encontra a senha.Instead of hardcoded credentials, the application makes a runtime call to Secrets Manager. Anyone inspecting the application will not find the password.
• Rotação automática:Automatic rotation: troca segredos de longo prazo por segredos de curta duração. Como as credenciais não ficam com a aplicação, rotacionar não exige alterar e redeployar os clientes. A rotação (exceto a gerenciada) usa uma função Lambda, cobrada pelo preço do Lambda.replaces long-term secrets with short-term ones. Since credentials are not stored with the app, rotating them does not require changing and redeploying clients. Rotation (except managed rotation) uses a Lambda function, charged at Lambda rates.
• Criptografia:Encryption: com AWS KMS. A chave gerenciada aws/secretsmanager é gratuita; chaves próprias são cobradas pela tarifa do KMS.with AWS KMS. The managed key aws/secretsmanager is free; your own keys are charged at KMS rates.
• Versionamento:Versioning: versões com staging labels. Também há acesso entre contas e log de auditoria detalhado.versions with staging labels. There are also cross-account access and fine-grained audit logging.
• Custo:Cost: paga-se por segredo por mês e por chamada de API, sem taxa mínima. Segredos marcados para exclusão não são cobrados. Veja a página de preços.you pay per secret per month and per API call, with no minimum fees. Secrets marked for deletion are not charged. See the pricing page.

Integração com o RDSRDS integration

Ao criar um banco, a opção Manage master credentials in AWS Secrets Manager guarda a senha do usuário master em um segredo (com KMS opcional). O RDS Proxy também conecta no banco usando credenciais guardadas no Secrets Manager. Veja RDS.When creating a database, the Manage master credentials in AWS Secrets Manager option stores the master user password in a secret (with optional KMS). RDS Proxy also connects to the database using credentials stored in Secrets Manager. See RDS.

Motores suportados: Db2, MariaDB, SQL Server, MySQL, Oracle e PostgreSQL (o Aurora tem guia próprio). A AWS recomenda o RDS como escolha padrão para a maioria dos bancos relacionais; em um banco sobre EC2, instalação, patch do SO e do banco, backup e alta disponibilidade ficam por sua conta.Supported engines: Db2, MariaDB, SQL Server, MySQL, Oracle and PostgreSQL (Aurora has its own guide). AWS recommends RDS as the default choice for most relational databases; with a database on EC2, installation, OS and database patching, backups and high availability are on you.

ConceitosConcepts

Acesso e segurançaAccess and security

• Public access: "Yes" dá um IP público ao banco; para isso todas as subnets do DB subnet group precisam de internet gateway. "No" deixa o acesso só de dentro da VPC. O acesso final é sempre controlado pelo Security Group: libere a porta do banco só do SG da aplicação."Yes" gives the database a public IP; for that every subnet in the DB subnet group needs an internet gateway. "No" keeps access to inside the VPC only. Final access is always controlled by the Security Group: allow the database port only from the application's SG.
• Master user: usuário criado com a instância, com privilégios altos mas não equivalentes a superusuário total (a lista varia por motor). O nome não pode ser alterado depois. A AWS recomenda não usar o master na aplicação: crie um usuário com o mínimo de privilégios.the user created with the instance, with high but not full-superuser privileges (the list varies by engine). The name cannot be changed later. AWS recommends not using the master in your application: create a user with minimum privileges.
• Secrets Manager: a opção Manage master credentials in AWS Secrets Manager guarda a senha master em um segredo. Veja Secrets Manager.the Manage master credentials in AWS Secrets Manager option stores the master password in a secret. See Secrets Manager.
• Encryption / KMS: criptografia em repouso é opção na criação; com ela você escolhe a chave KMS.encryption at rest is a creation-time option; with it you pick the KMS key.
• Deletion protection: impede apagar o banco por engano (no console, é ligada por padrão ao criar uma instância de produção).prevents accidental deletion (in the console it is on by default when you create a production instance).
• RDS Proxy: mantém um pool de conexões e as compartilha, ajuda a aplicação a escalar e a suportar picos, e se reconecta ao standby em falhas. Fica na mesma VPC do banco e não é publicamente acessível; só funciona para MariaDB, MySQL e PostgreSQL (entre os motores listados). Tem cobrança própria; veja os preços.keeps and shares a connection pool, helps the application scale and absorb spikes, and reconnects to the standby on failures. It lives in the same VPC as the database and is not publicly accessible; among the listed engines it works for MariaDB, MySQL and PostgreSQL. It has its own pricing; see prices.

Multi-AZ

Multi-AZ traz redundância de dados e suporte a failover, elimina congelamentos de I/O e reduz picos de latência em backups. É recomendado para produção; para desenvolvimento e teste dá para criar sem standby. Não confunda com read replicas (escalam leitura, replicação assíncrona). O IP do banco muda no failover: conecte-se sempre pelo nome DNS (endpoint).Multi-AZ gives data redundancy and failover support, eliminates I/O freezes and minimizes latency spikes during backups. It is recommended for production; for development and testing you can create without a standby. Do not confuse it with read replicas (they scale reads, asynchronous replication). The database's IP changes on failover: always connect through the DNS name (endpoint).

BackupsBackups

• Backups automáticos: o RDS faz um snapshot do volume da instância na janela de backup e guarda pelo backup retention period que você define, permitindo restaurar a qualquer ponto no tempo dentro do período. Só ocorrem com o banco no estado available. Para qualquer banco que importe, use retenção de 1 dia ou mais.Automated backups: RDS takes a volume snapshot of the instance during the backup window and keeps it for the backup retention period you set, letting you restore to any point in time within it. They only happen while the database is in the available state. For any database that matters, use a retention of 1 day or more.
• Snapshots manuais: você cria quando quiser; não são apagados quando a instância é excluída (até 100 manuais por Region, segundo a página lida). Backups automáticos são apagados com a instância, a não ser que você escolha retê-los; o snapshot final é opcional.Manual snapshots: you create them whenever you want; they are not deleted when the instance is deleted (up to 100 manual per Region per the page read). Automated backups are deleted with the instance unless you choose to retain them; the final snapshot is optional.
• O primeiro snapshot tem o banco completo; os seguintes são incrementais. Backups ficam no S3 e geram custo de armazenamento.The first snapshot holds the full database; later ones are incremental. Backups live in S3 and incur storage cost.

Storage autoscalingStorage autoscaling

Você define um Maximum storage threshold. O RDS aumenta o storage quando o espaço livre cai a 10% ou menos do alocado por pelo menos 5 minutos, e as modificações anteriores terminaram (máximo de quatro por 24 h). O aumento é do maior valor entre 10 GiB, 10% do alocado e o crescimento previsto. Não precisa de reinício nem causa downtime.You set a Maximum storage threshold. RDS grows storage when free space falls to 10% or less of the allocated for at least 5 minutes and previous modifications have completed (at most four per 24 h). The increase is the greater of 10 GiB, 10% of allocated, and predicted growth. No reboot and no downtime.

Nomes: instância vs. bancoNames: instance vs. database

Presigned URL

Link temporário que dá acesso a um objeto por tempo limitado, sem mexer na bucket policy. Usa as credenciais de quem gerou a URL; para funcionar, essa identidade precisa ter a permissão da operação (ex.: s3:GetObject). Serve para download (GET) e upload (PUT) direto no S3, sem passar pelo seu servidor. Se já existir um objeto com a mesma key, o upload o substitui.A temporary link granting access to one object for a limited time, without touching the bucket policy. It uses the credentials of whoever generated the URL; for it to work, that identity needs the operation's permission (e.g. s3:GetObject). It serves direct download (GET) and upload (PUT) to S3, bypassing your server. If an object with the same key already exists, the upload replaces it.

• Validade: pelo console, de 1 minuto a 12 horas; pela AWS CLI/SDKs, até 7 dias (credenciais de usuário IAM com Signature V4).Lifetime: from the console, 1 minute to 12 hours; from the AWS CLI/SDKs, up to 7 days (IAM user credentials with Signature V4).
• Pegadinha: se a URL foi gerada com credenciais temporárias (role, STS, perfil da EC2/ECS), ela expira junto com a credencial, mesmo que você tenha pedido prazo maior. O S3 confere a validade no momento da requisição: um download já iniciado continua, mas retomar depois do prazo falha.Gotcha: if the URL was generated with temporary credentials (role, STS, EC2/ECS profile) it expires together with the credential, even if you asked for a longer period. S3 checks validity at request time: a download already running continues, but resuming after expiry fails.
• A URL é um "bearer token": quem a tiver acessa o objeto. Proteja-a e, se quiser, restrinja com condições (ex.: s3:signatureAge, origem de rede).The URL is a bearer token: whoever holds it reaches the object. Protect it and, if you want, restrict with conditions (e.g. s3:signatureAge, network origin).

CustosCosts

A cobrança do S3 é por uso, sem taxas mínimas ou de excedente. Valores reais ficam na página de preços do S3 (as cifras da anotação antiga foram removidas). Pontos que a documentação destaca:S3 billing is pay-as-you-go, with no minimum or overage fees. Real values are on the S3 pricing page (the figures in the old note were removed). Points the docs highlight:

• Armazenamento por classe, requisições e transferência de dados.Storage per class, requests and data transfer.
• Classes IA e Glacier têm taxa de recuperação, duração mínima de armazenamento e tamanho mínimo cobrado.IA and Glacier classes have a retrieval fee, a minimum storage duration and a minimum billable size.
• Transições de lifecycle têm custo por requisição (não há taxa de recuperação nas transições).Lifecycle transitions have a per-request cost (there is no retrieval charge on transitions).

Classes de armazenamentoStorage classes

Todas as classes são projetadas para alta durabilidade (11 noves, 99,999999999%, exceto a legada Reduced Redundancy). A diferença está em acesso, disponibilidade, custo e regras mínimas:All classes are designed for high durability (eleven 9s, 99.999999999%, except the legacy Reduced Redundancy). The difference is access, availability, cost and minimum rules:

Existe ainda o S3 Express One Zone (latência de um dígito de milissegundo em uma única AZ). Os tamanhos mínimos faturáveis (128 KB nas IA e Glacier IR) e as disponibilidades por classe estão na tabela de comparação oficial. Correção: o "Glacier" da anotação antiga virou três classes, e só duas exigem restauração.There is also S3 Express One Zone (single-digit millisecond latency in one AZ). Minimum billable sizes (128 KB for IA and Glacier IR) and per-class availability are in the official comparison table. Correction: the old note's "Glacier" is now three classes, and only two need a restore.

Lifecycle rules

Um conjunto de regras no bucket que faz o S3 agir sobre grupos de objetos. Dois tipos de ação: transition (mover para uma classe mais barata) e expiration (apagar quando expirar). As regras valem para objetos existentes e futuros; uma bucket policy não consegue impedir a ação do lifecycle.A set of rules on the bucket that makes S3 act on groups of objects. Two kinds of action: transition (move to a cheaper class) and expiration (delete when it expires). Rules apply to existing and future objects; a bucket policy cannot prevent the lifecycle action.

Prazos de exemplo. Respeite as durações mínimas das classes (30/90/180 dias): apagar ou mover cedo gera cobrança proporcional.Example timings. Respect the classes' minimum durations (30/90/180 days): deleting or moving early incurs a pro-rated charge.

Static website hosting

O S3 pode hospedar um site estático: páginas com conteúdo estático, possivelmente com scripts no navegador (SPA, HTML puro). É preciso configurar um index document e permissões de acesso. A AWS recomenda usar o AWS Amplify Hosting para servir o conteúdo do S3 com CDN (CloudFront) e URL HTTPS. Se o bucket usa criptografia SSE-KMS, é obrigatório servir via CloudFront com origin access control (OAC), pois SSE-KMS não suporta usuários anônimos.S3 can host a static website: pages with static content, possibly with client-side scripts (SPA, plain HTML). You must configure an index document and access permissions. AWS recommends using AWS Amplify Hosting to serve S3 content through a CDN (CloudFront) with an HTTPS URL. If the bucket uses SSE-KMS encryption, you must serve through CloudFront with origin access control (OAC), because SSE-KMS does not support anonymous users.

Tipos de registroRecord types

E-mail profissional no seu domínio exige o domínio e registros MX apontando para o provedor de e-mail. A AWS não recomenda mais o tipo SPF: use um TXT.Professional email on your domain needs the domain and MX records pointing to your email provider. AWS no longer recommends the SPF type: use a TXT record.

Provar que o domínio é seuProving the domain is yours

O padrão da AWS para certificados é a validação por DNS: o ACM entrega um CNAME único e você o cria na zona. Veja ACM.AWS's standard for certificates is DNS validation: ACM hands you a unique CNAME and you create it in the zone. See ACM.

Hosted Zones

Uma hosted zone é um contêiner de registros que dizem como rotear o tráfego de um domínio e seus subdomínios. Ela tem o mesmo nome do domínio. O preço por zona e por consulta está na página de preços do Route 53 (o valor fixo da anotação antiga foi removido).A hosted zone is a container of records telling how to route traffic for a domain and its subdomains. It has the same name as the domain. Per-zone and per-query pricing is on the Route 53 pricing page (the old note's fixed value was removed).

NS & SOA

Ao criar uma zona pública, o Route 53 cria os registros NS (quatro name servers) e SOA. Para que a internet use essa zona, vá ao registrador do domínio (onde ele foi registrado) e configure os quatro name servers do NS padrão da zona. Para delegar um subdomínio a outra zona, crie um NS na zona do domínio raiz.When you create a public zone, Route 53 creates the NS records (four name servers) and SOA. For the internet to use that zone, go to the domain's registrar (where it was registered) and set the four name servers from the zone's default NS record. To delegate a subdomain to another zone, create an NS record in the root domain's zone.

Apontar o domínio para o ALBPointing the domain at the ALB

Crie um registro Alias do tipo A (e AAAA, se o ALB tiver IPv6) para o ALB. Quando o IP do load balancer muda, o Route 53 passa a responder com o novo sem você fazer nada. Para um alias a um recurso AWS você não define o TTL (vale o padrão do recurso) e não paga a consulta. O Alias funciona também no apex (exemplo.com.br), onde o CNAME não é permitido.Create an Alias record of type A (and AAAA, if the ALB has IPv6) for the ALB. When the load balancer's IP changes, Route 53 starts answering with the new one without you doing anything. For an alias to an AWS resource you do not set the TTL (the resource's default applies) and queries are not charged. Alias also works at the apex (example.com), where CNAME is not allowed.

• O alias precisa ter o mesmo nome e tipo da consulta (A ou AAAA) para ser respondido.The alias must match the query's name and type (A or AAAA) to be answered.
• Há políticas de roteamento além da simples: weighted, latency, failover, geolocation e geoproximity também aceitam alias.There are routing policies beyond simple: weighted, latency, failover, geolocation and geoproximity also accept alias.
• Para HTTPS, emita o certificado no ACM (a validação por DNS cria um CNAME nesta mesma zona).For HTTPS, issue the certificate in ACM (DNS validation creates a CNAME in this same zone).