Login do usuário root da AWS passa a ser atendido em três regiões dos EUA

O que mudou

Desde 14 de setembro de 2026, o AWS passou a atender o sign-in do usuário root em três regiões dos Estados Unidos: US East (N. Virginia), US East (Ohio) e US West (Oregon). O tráfego de login é distribuído entre as três, em vez de passar só por us-east-1, como acontecia antes.

O roteamento é automático. Quem já usa o root user continua acessando o console da mesma forma, sem escolher região nem mudar URL, usuário ou senha. A AWS descreve a mudança como disponível agora para todas as contas.

Em resumo: o processo de autenticação do root user, que antes dependia fortemente de uma única região, agora tem redundância geográfica embutida, sem que o usuário final precise fazer nada.

Por que isso importa

O root user é a credencial mais sensível de uma conta AWS: tem acesso irrestrito e é o único jeito de fazer certas operações, como fechar a conta ou alterar o plano de suporte. Manter o login dele disponível mesmo quando uma região inteira tem problema é um ganho direto de resiliência para qualquer empresa que opera na nuvem.

A própria AWS diz que o objetivo é reduzir a dependência de us-east-1 e melhorar a resiliência durante interrupções de serviço. Isso é relevante porque us-east-1 historicamente concentra parte do plano de controle de vários serviços AWS, e uma degradação ali pode, em tese, afetar fluxos que dependiam só dela, incluindo autenticação.

Para equipes de segurança e operações no Brasil, o ganho prático é: se us-east-1 tiver uma instabilidade, o login do root não fica automaticamente bloqueado, porque pode ser atendido em Ohio ou Oregon.

O que muda no CloudTrail

Aqui está o ponto que exige ação. Os eventos ConsoleLogin de login do root user agora são registrados na região que processou aquele login específico, não mais sempre em us-east-1.

Isso significa que, se o monitoramento de segurança da sua organização só observa ConsoleLogin em us-east-1, ele pode deixar de enxergar logins de root processados em us-east-2 ou us-west-2. A AWS recomenda explicitamente atualizar monitoramento e alertas para cobrir as três regiões: N. Virginia, Ohio e Oregon.

Vale confirmar diretamente na documentação do CloudTrail e do AWS Sign-In, indicadas pela própria AWS como referência, qual é o comportamento exato do seu trail antes de assumir qualquer cobertura automática.

Checklist para quem monitora root login

Para quem mantém controles de segurança em cima do root user, o momento é de revisar a configuração:

• Confirmar se o CloudTrail trail usado para auditoria cobre explicitamente us-east-1, us-east-2 e us-west-2;
• Revisar regras de alerta (EventBridge, Security Hub, SIEM externo) que filtram eventos ConsoleLogin do root user por região específica;
• Verificar se dashboards e relatórios de compliance que citam "login do root em us-east-1" ainda fazem sentido com a nova distribuição;
• Testar, se possível, um cenário de login do root e confirmar em qual região o evento aparece no CloudTrail.

Nenhuma dessas ações é obrigatória para continuar logando como root: o sign-in funciona normalmente sem mudança nenhuma de comportamento. A diferença é só na rastreabilidade do evento depois que ele acontece.

O que não mudou

A mudança é específica para o sign-in do root user, o processo de autenticação em si. A fonte da AWS não menciona impacto sobre outros mecanismos de autenticação, como login de usuários e roles IAM, Identity Center (antigo AWS SSO) ou federação via identity provider externo.

Também não há qualquer menção, na fonte da AWS, a expansão desse comportamento para regiões fora dos Estados Unidos, incluindo São Paulo (sa-east-1). O root user de uma conta brasileira continua autenticando contra regiões americanas, só que agora com três opções em vez de uma. Para detalhes de implementação, a AWS aponta a documentação do AWS Sign-In e a referência de eventos ConsoleLogin do CloudTrail como fontes oficiais para quem for revisar suas regras de auditoria.

Fonte: AWS What's New