AWS STS passa a federar identidades entre partições sem credenciais de longa duração

O que mudou

O AWS Security Token Service (AWS STS) agora suporta federação entre partições para identidades AWS IAM. Anunciado em 9 de novembro de 2026, o recurso permite que um workload use sua identidade IAM em uma partição para obter credenciais temporárias de uma role IAM em outra partição, sem armazenar credenciais de longa duração.

Partição, aqui, é o agrupamento de regiões com uma instância independente de IAM: a nuvem comercial, as regiões AWS GovCloud (US), as regiões China e a AWS European Sovereign Cloud (Alemanha) são partições separadas, com fronteira rígida entre si. Até este lançamento, quem precisava de acesso entre partições normalmente recorria a credenciais de longa duração, como access keys de usuário IAM, que não expiram sozinhas.

O fluxo usa duas APIs que já existem: GetWebIdentityToken, chamada na partição de origem para gerar um token de curta duração, e AssumeRoleWithWebIdentity, chamada na partição de destino para trocar esse token por credenciais temporárias de uma role IAM. Não é uma API nova: é um uso novo de um mecanismo já existente no STS.

Onde está disponível

A fonte confirma disponibilidade sem custo adicional em todas as regiões comerciais da AWS, nas regiões AWS GovCloud (US), nas regiões China e na AWS European Sovereign Cloud (Alemanha). Como a região São Paulo (sa-east-1) faz parte da partição comercial, ela está incluída: qualquer conta comercial, inclusive uma operando a partir de sa-east-1, pode participar da federação entre partições.

Um exemplo de par de partições é comercial + GovCloud (US), citado pela AWS como ilustração do que é uma partição. Na prática, esse par costuma aparecer em empresas que atendem tanto clientes comerciais quanto órgãos públicos dos EUA. Para uma organização brasileira, o cenário equivalente é uma conta em sa-east-1 trocando identidade com uma conta operando na China Region ou na European Sovereign Cloud, caso a empresa tenha presença nessas partições.

Quanto custa

A AWS afirma explicitamente que a federação entre partições está disponível sem custo adicional. Isso cobre o uso do mecanismo de federação em si; as chamadas normais ao STS e os recursos acessados pela role assumida continuam sujeitos aos preços padrão de cada serviço e de cada partição, como sempre foi.

Como começar

O caminho documentado pela AWS para configurar o fluxo está no guia "Federating AWS identities across AWS partitions" do IAM User Guide e no post "Simplify cross-partition access with AWS IAM outbound identity federation", ambos citados no anúncio. Em linhas gerais, a configuração define:

• Na partição de origem, qual identidade IAM pode solicitar um token via GetWebIdentityToken.
• Na partição de destino, qual role IAM aceita esse token via AssumeRoleWithWebIdentity, e sob qual política de confiança.
• Em nível organizacional, quais identidades têm permissão para criar esse vínculo entre contas de partições diferentes (a fonte indica que a organização controla esse acesso e pode aplicar governança, mas não detalha o mecanismo exato).

Para organizações que já operam uma infraestrutura de chave pública (PKI) própria, a AWS lembra que o AWS IAM Roles Anywhere segue sendo outra opção para acesso entre partições, útil quando a identidade de origem não é uma identidade IAM nativa, mas um certificado X.509.

O que muda para quem já usa

Para quem arquiteta ambientes multi-partição hoje, a mudança prática é poder aposentar access keys de usuário IAM usadas só para ponte entre partições. Essas chaves, por não expirarem automaticamente, são um dos vetores clássicos de vazamento em auditoria de segurança: ficam em variáveis de ambiente, em arquivos de configuração esquecidos, em pipelines de CI/CD mal revisados.

Com o token de curta duração do STS, o uso fica rastreável via AWS CloudTrail nas duas partições envolvidas, o que facilita consolidar relatórios de segurança e compliance de contas comerciais e GovCloud num único pipeline de observabilidade, em vez de reconciliar dois sistemas de auditoria separados manualmente. Isso também simplifica o uso de ferramentas centralizadas de operação que hoje precisam de uma credencial por partição.

O ponto em aberto é a granularidade da governança: a AWS diz que a organização controla quais identidades acessam quais roles, mas não detalha se isso é feito via políticas de confiança tradicionais ou se existe um recurso específico para aprovar vínculos entre partições. Quem administra múltiplas contas e partições deve revisar a documentação linkada antes de migrar fluxos de produção que dependem hoje de access keys estáticas.

Fonte: AWS What's New