IAM Roles Anywhere passa a checar revogação de certificados automaticamente

O que mudou

AWS Identity and Access Management (IAM) Roles Anywhere passou a suportar checagem automática de revogação de certificados usando certificate revocation list (CRL) distribution points (CDPs). O anúncio é de 5 de novembro de 2026, no blog What's New da AWS.

IAM Roles Anywhere é o serviço que deixa workloads rodando fora da AWS (servidor on-premises, outra nuvem, data center próprio) trocarem um certificado X.509 por credenciais temporárias da AWS, sem precisar guardar access key de longa duração. A segurança desse modelo depende de uma coisa: se um certificado é comprometido e revogado, o acesso à AWS precisa parar imediatamente.

Com o recurso habilitado num trust anchor, o IAM Roles Anywhere lê as URLs de CDP embutidas no próprio certificado que está autenticando, baixa as CRLs correspondentes direto da CA (certificate authority) e nega qualquer pedido de credencial que use um certificado revogado.

Antes disso, a checagem de revogação dependia de importação manual: o administrador tinha que subir a CRL pro IAM Roles Anywhere e repetir o processo toda vez que a CA publicava uma atualização. Enquanto isso não acontecia, um certificado já revogado continuava valendo para pedir credenciais da AWS.

Onde está disponível

A AWS diz que o recurso está disponível, sem custo adicional, em todas as regiões comerciais da AWS. Isso inclui a região América do Sul (São Paulo), sa-east-1, porque ela é uma região comercial padrão da AWS. A fonte não traz uma lista região a região, só a afirmação geral de cobertura em "all commercial AWS Regions".

Funciona tanto com AWS Private Certificate Authority quanto com uma PKI própria, desde que os certificados emitidos tragam URLs de CDP publicamente acessíveis e atendam aos requisitos de distribution point documentados pela AWS.

Quanto custa

O recurso é gratuito. A AWS classifica explicitamente a checagem automática de revogação via CDP como disponível "at no additional cost" em todas as regiões comerciais, sem cobrança separada por verificação ou por download de CRL.

Como começar

Para habilitar, é preciso mexer no trust anchor existente (ou criar um novo) no IAM Roles Anywhere:

• Pelo console do IAM Roles Anywhere, na configuração do trust anchor.
• Via AWS SDKs.
• Via AWS CLI.

A fonte não publica o comando exato nem o nome do parâmetro na CLI, só confirma os três caminhos possíveis. O guia de referência é a página "Automatic revocation checking with CRL distribution points", no IAM Roles Anywhere User Guide, que detalha os requisitos que o certificado precisa cumprir, principalmente a URL de CDP acessível publicamente.

O que muda para quem já usa

Quem já tinha automação pra reimportar CRL (cron job, pipeline de CI, script chamando a API do IAM Roles Anywhere toda vez que a CA publicava atualização) ganha a chance de aposentar essa automação e deixar o próprio serviço cuidar do refresh periódico. Isso reduz uma fonte comum de erro: CRL desatualizada por falha silenciosa no job de reimportação, que deixava certificado revogado ainda válido pra pedir credencial.

Tem uma condição que nem todo ambiente atende: o certificado precisa trazer uma URL de CDP publicamente acessível. Quem roda uma PKI isolada, sem CDP exposto na internet (comum em rede corporativa fechada ou ambiente air-gapped), não se beneficia direto e continua dependendo de importação manual de CRL.

Para quem trabalha com IAM, compliance e LGPD, o recurso fecha uma lacuna que auditoria costuma cobrar: controle automatizado do ciclo de vida de certificado, sem depender de processo manual que pode falhar ou atrasar. Em um cenário típico, um servidor on-premises que acessa dados pessoais via papel assumido pelo IAM Roles Anywhere, com certificado comprometido, agora tem a revogação aplicada sem intervenção humana, o que ajuda a sustentar o argumento de controle de acesso adequado exigido por programas de conformidade.

Um ponto que a fonte não esclarece: o intervalo do "refresh periódico" das CRLs baixadas via CDP. Para quem desenha runbook de resposta a incidente (revogar certificado e cortar acesso em X minutos), vale validar esse intervalo na documentação do IAM Roles Anywhere User Guide antes de assumir um SLA de corte de acesso, porque o anúncio não garante tempo real.

Fonte: AWS What's New