IAM: Funções IAM Não Utilizadas

Esta regra identifica IAM Roles customizadas que não foram utilizadas recentemente ou que foram criadas há um período superior ao configurado sem registro de uso.

O objetivo é detectar roles obsoletas que aumentam a superfície de ataque e a complexidade de governança do ambiente.

---

Contexto da regra e impacto no negócio

IAM Roles são amplamente utilizadas para:

• Assumir permissões temporárias

• Execução de workloads (EC2, Lambda, ECS, EKS)

• Integrações cross-account

• Automação

Com o tempo, é comum acumular roles que:

• Foram criadas para projetos temporários

• Pertenciam a aplicações descontinuadas

• Foram substituídas por novas roles

• Nunca chegaram a ser utilizadas

Manter roles não utilizadas pode:

• Aumentar risco de exploração indevida

• Dificultar auditoria

• Elevar complexidade de segurança

• Violar princípio de menor privilégio

---

Detalhamento técnico da regra

A regra executa análise global da conta AWS (IAM é serviço global).

---

Como a regra é executada

1. Autentica na conta AWS.

2. Lista todas as roles via list_roles.

3. Filtra apenas roles customizadas:

   • Exclui roles gerenciadas pela AWS:

     arn:aws:iam::aws:

4. Para cada role:

   • Recupera as tags via list_role_tags.

   • Aplica filtros de tag (inclusão/exclusão).

   • Verifica:

     • RoleLastUsed.LastUsedDate

     • CreateDate

5. Calcula diferença de dias em relação à data atual.

6. Se a role:

   • Não foi utilizada dentro do período configurado

   • E não foi criada recentemente → A role é sinalizada.

---

Lógica aplicada

Uma role será considerada não utilizada quando:

(LastUsedDate inexistente OU Último uso > período configurado)
E
CreateDate > período configurado

Se a role foi criada recentemente dentro do período definido, ela não é sinalizada.

Se houve uso recente dentro do período definido, ela não é sinalizada.

---

Campos analisados

IAM Role:

• RoleName

• Arn

• CreateDate

• RoleLastUsed.LastUsedDate

• Tags

---

Parâmetros considerados na busca

APIs utilizadas:

• iam:ListRoles

• iam:ListRoleTags

Condições técnicas:

• Exclusão de roles AWS-managed.

• Comparação de datas baseada em self.checker.period.days.

---

Período Avaliado (Filtro Temporal)

Período Avaliado (Filtro Temporal): A regra avalia:

• A data de criação da role (CreateDate)

• A última utilização da role (RoleLastUsed.LastUsedDate)

O intervalo de análise corresponde ao número de dias configurado na regra.

Padrão configurado configurado é para 30 dias, qualquer role que não tenha sido utilizada nos últimos 30 dias e que também não tenha sido criada nesse período será considerada não utilizada.

Esse parâmetro de avaliação pode ser ajustado nas configurações das regras.

---

Intervalo de Análise

Execução padrão: a cada 8 horas.

---

Aderência às melhores práticas

Não possui cálculo direto de savings.

Está alinhada com:

• AWS Security Best Practices

• AWS Well-Architected Framework – Pilar de Segurança

• Princípio de menor privilégio

• Gestão de ciclo de vida de identidades

---

Riscos associados

• Roles esquecidas com permissões elevadas.

• Possível uso indevido por credenciais comprometidas.

• Complexidade de auditoria.

• Exposição desnecessária de políticas sensíveis.

---

Exemplo prático

Configuração da regra:

Período = 30 dias

Role:

• Criada há 2 anos

• Último uso há 30 dias

Resultado:

Role será sinalizada como não utilizada.

---

Dicas de uso e boas práticas para o usuário

• Validar dependências antes de remover.

• Desabilitar temporariamente antes da exclusão definitiva.

• Revisar permissões anexadas.

• Implementar revisão periódica de roles.

• Utilizar naming convention clara.

• Automatizar processo de limpeza de identidades obsoletas.

Possíveis exceções:

• Roles utilizadas esporadicamente.

• Roles de contingência.

• Integrações cross-account pouco frequentes.

Recomenda-se validação técnica antes da remoção definitiva.