Anexo Técnico – Integração com AWS

1. Principal AWS da Frust

Na AWS, um Principal é a identidade autorizada a realizar ações — neste caso, a conta AWS que a Frust usa para acessar seu ambiente. Ao implantar um stack de CloudFormation da Frust, é criada uma função IAM em sua conta que apenas este Principal específico pode assumir. Isso significa que nenhuma outra conta ou usuário AWS pode usar essa função.

Todo acesso da Frust à sua conta AWS é feito por meio do seguinte principal AWS, que assume funções criadas em sua conta via CloudFormation:

"Principal": {
  "AWS": "arn:aws:iam::064816466676:root"
}

2. Stack de Avaliação (Onboarding)

{
  "Type": "AWS::IAM::Role",
  "Properties": {
    "RoleName": "FrustEvaluation",
    "AssumeRolePolicyDocument": {
      "Principal": { "AWS": "arn:aws:iam::064816466676:root" },
      "Condition": { "StringEquals": { "sts:ExternalId": "<unique-per-client>" } }
    },
    "Policies": [
      {
        "PolicyName": "GeneralPolicy",
        "Action": [
          "ce:Describe*", "ce:Get*", "ce:List*",
          "ec2:Describe*",
          "savingsplans:Describe*", "savingsplans:List*",
          "rds:Describe*", "rds:List*"
        ]
      }
    ]
  }
}

Permissões limitadas à leitura de custos, savings plans e configuração de instâncias EC2 e RDS. A função pode ser excluída a qualquer momento pelo console AWS. Ao contratar o serviço completo, este stack é substituído pelo ClientStack — ambas as funções têm nomes distintos (FrustEvaluation vs FrustCloudformation) e não geram conflito.

3. Stacks de Produção (Cliente Ativo)

{
  "Type": "AWS::IAM::Role",
  "Properties": {
    "RoleName": "FrustCloudformation",
    "AssumeRolePolicyDocument": {
      "Principal": { "AWS": "arn:aws:iam::064816466676:root" },
      "Condition": { "StringEquals": { "sts:ExternalId": "<unique-per-client>" } }
    },
    "Policies": [
      {
        "PolicyName": "GeneralPolicy",
        "Action": [
          "application-autoscaling:Describe*",
          "autoscaling:Describe*",
          "ce:Describe*", "ce:Get*", "ce:List*",
          "cloudwatch:GetMetricData",
          "cloudformation:Describe*",
          "pricing:DescribeServices",
          "pricing:GetAttributeValues",
          "pricing:GetProducts",
          "savingsplans:Describe*", "savingsplans:List*",
          "organizations:List*", "organizations:Describe*",
          "organizations:InviteAccountToOrganization",
          "aws-portal:ViewBilling", "aws-portal:ViewUsage"
        ]
      },
      {
        "PolicyName": "EC2Policy",
        "Action": [
          "ec2:Describe*",
          "ecs:DescribeContainerInstances", "ecs:List*",
          "eks:Describe*", "eks:List*"
        ]
      },
      {
        "PolicyName": "RDSPolicy",
        "Action": ["rds:Describe*", "rds:List*"]
      },
      {
        "PolicyName": "RedShiftPolicy",
        "Action": ["redshift:Describe*"]
      },
      {
        "PolicyName": "PolicyES",
        "Action": ["es:Describe*", "es:List*"]
      },
      {
        "PolicyName": "ElasticCachePolicy",
        "Action": ["elasticache:List*", "elasticache:Describe*"]
      }
    ]
  }
}

{
  "Resources": {
    "CURS3Bucket": {
      "Type": "AWS::S3::Bucket",
      "Properties": {
        "BucketName": "cur-reports-{AccountId}",
        "PublicAccessBlockConfiguration": {
          "BlockPublicAcls": true,
          "BlockPublicPolicy": true,
          "IgnorePublicAcls": true,
          "RestrictPublicBuckets": true
        },
        "LifecycleConfiguration": {
          "TransitionToGlacierAfterDays": 30,
          "ExpirationInDays": 180
        }
      }
    },
    "CURS3BucketPolicy": {
      "Type": "AWS::S3::BucketPolicy",
      "Properties": {
        "Principal": {
          "AWS": "arn:aws:iam::064816466676:root",
          "Service": [
            "billingreports.amazonaws.com",
            "bcm-data-exports.amazonaws.com"
          ]
        },
        "Action": [
          "s3:GetObject",
          "s3:PutObject",
          "s3:GetBucketPolicy",
          "s3:GetBucketLocation",
          "s3:ListBucket"
        ]
      }
    },
    "CUR2Report": {
      "Type": "AWS::BCMDataExports::Export",
      "Properties": {
        "Format": "PARQUET",
        "Compression": "PARQUET",
        "TimeGranularity": "HOURLY",
        "IncludeResources": true,
        "IncludeSplitCostAllocationData": true
      }
    }
  }
}

4. Organizações AWS Multi-Conta e SCPs

Quando o cliente opera uma organização AWS com múltiplas contas, o serviço da Frust opera a partir de contas próprias da Frust que são vinculadas à organização do cliente. Para que isso funcione corretamente, a Conta de Gerenciamento (MPA) do cliente não deve bloquear as seguintes ações nas contas membro da organização:

Ações necessárias nas contas membro da Frust:

{
  "FrustIAMRole @ Customer MPA": {
    "Action": [
      "organizations:List*",
      "organizations:Describe*",
      "organizations:InviteAccountToOrganization"
    ]
  },
  "FrustIAMRole @ Member (Internal) Accounts": {
    "Action": [
      "organizations:AcceptHandshake",
      "organizations:DeclineHandshake",
      "organizations:LeaveOrganization"
    ]
  }
}

5. O Que a Frust Pode Fazer Com Essas Permissões

5. O Que a Frust Não Pode Fazer

A grande maioria das permissões é de somente leitura (Describe*, List*, Get*). Como exceção, um conjunto reduzido de ações de escrita existe exclusivamente para gerenciar o ciclo de vida dos compromissos cloud (organizations:InviteAccountToOrganization, organizations:AcceptHandshake, organizations:LeaveOrganization) — essas ações não são exercidas sobre dados ou recursos do cliente, mas sobre a associação à organização AWS da Frust. Fora dessas exceções, a Frust explicitamente não pode:

• ✗Acessar, ler, modificar ou excluir quaisquer dados armazenados em seus bancos de dados, buckets S3 (exceto o bucket CUR), repositórios de código-fonte, contêineres ou instâncias
• ✗Criar, modificar ou excluir recursos AWS em sua conta (fora das ações de gestão de compromissos descritas acima)
• ✗Modificar funções IAM, políticas ou permissões além daquelas criadas pelos stacks de CloudFormation
• ✗Acessar logs de aplicação, segredos, variáveis de ambiente ou arquivos de configuração
• ✗Realizar operações de escrita em sua infraestrutura (sem ec2:Run*, sem s3:Put* além do bucket CUR, sem rds:Create*, etc.)
• ✗Acessar o conteúdo de suas cargas de trabalho nem quaisquer dados de negócios processados em seu ambiente cloud

6. Custo que a Integração Gera na Sua Conta AWS

A integração da Frust gera um impacto econômico mínimo na sua conta. Veja o detalhamento por recurso:

Custo zero ou desprezível

• ✓Funções IAM (ClientStack, MarketplaceStack, Stack de Avaliação): funções IAM não têm custo na AWS.
• ✓Stacks de CloudFormation: a implantação e manutenção de stacks não tem custo.
• ✓Savings Plans API (savingsplans:Describe*, List*): as chamadas somente leitura à API do Savings Plans não têm custo na AWS.
• ✓CloudWatch GetMetricData: as chamadas ao GetMetricData custam $0,01 USD por 1.000 métricas solicitadas. O uso da Frust é mínimo e pontual — representa centavos por mês.
• ✓BCM Data Exports (CUR): a exportação em si não tem custo adicional.

Custo menor (apenas com FrustCUR Stack)

O único recurso que gera custo é o bucket S3 criado pelo FrustCUR Stack para armazenar os relatórios de faturamento:

• ·Armazenamento S3 Standard (primeiros 30 dias): ~$0,023/GB. Para uma conta típica, o CUR em formato PARQUET ocupa entre 100 MB e 1 GB por mês — menos de $0,03/mês.
• ·Armazenamento S3 Glacier (dias 30–180): os arquivos migram automaticamente para o Glacier Instant Retrieval a ~$0,004/GB, reduzindo o custo a centavos.
• ·Exclusão automática: os arquivos são excluídos automaticamente após 180 dias. O armazenamento não se acumula indefinidamente.
• ·Cost Explorer API (ce: *): as chamadas à API do Cost Explorer custam $0,01 USD por solicitação. O uso da Frust é mínimo — tipicamente menos de 100 chamadas por mês, menos de $1 USD/mês.

6. Conformidade com SOC 2 e ISO 27001

O modelo de acesso descrito neste anexo foi projetado para ser compatível com SOC 2 (Critérios de Serviços de Confiança) e ISO 27001. A seguir, um mapeamento ponto a ponto de como a integração da Frust atende aos requisitos de cada framework.

Toda a atividade da Frust em sua conta AWS é registrada automaticamente no AWS CloudTrail sob sua própria conta, sem nenhuma configuração adicional. O cliente pode auditar ou configurar alertas sobre essa atividade a qualquer momento.

SOC 2 — Critérios de Serviços de Confiança

SOC 2 avalia cinco Critérios de Serviços de Confiança: Segurança, Disponibilidade, Integridade do Processamento, Confidencialidade e Privacidade. Veja como a integração da Frust aborda os critérios relevantes para este modelo de acesso:

• Segurança (CC6): O acesso ao seu ambiente é estritamente controlado por funções IAM com políticas de mínimo privilégio. A condição ExternalID previne a assunção não autorizada de funções. Não há acesso permanente — a Frust usa credenciais STS temporárias que expiram automaticamente.
• Confidencialidade (CC9): A Frust acessa apenas metadados de recursos cloud (tipos de instância, padrões de uso, dados de faturamento). Nenhum dado de negócio, dado de aplicação, segredo ou código-fonte é acessado ou armazenado pela Frust.
• Disponibilidade (A1): A integração da Frust não está no caminho de dados de suas cargas de trabalho. Suas aplicações continuam funcionando independentemente do status do serviço da Frust. Os stacks de CloudFormation são funções IAM passivas que não introduzem nenhuma dependência de disponibilidade.
• Integridade do Processamento (PI1): Todas as recomendações e ações da Frust são baseadas exclusivamente nos metadados que você autoriza. Nenhuma modificação é feita em sua infraestrutura sem uma ação explícita através da plataforma Frust.
• Privacidade (P1–P8): A Frust não coleta nem processa dados pessoais através da integração com a AWS. No entanto, os dados de faturamento CUR podem conter informações pessoais indiretas se o cliente usar tags de recursos com nomes ou endereços de e-mail. A Frust trata todos os dados de faturamento com as mesmas garantias de confidencialidade que aplica a qualquer dado pessoal.

ISO 27001 — Mapeamento de Controles Principais

ISO 27001 é uma norma internacional para gestão de segurança da informação. Ela define um conjunto de controles (o catálogo Anexo A) que as organizações devem implementar para proteger seus ativos de informação. Quando uma empresa é certificada ISO 27001, significa que um auditor independente verificou que esses controles estão efetivamente implementados e funcionando. O mapeamento abaixo mostra quais controles específicos desse catálogo se aplicam à integração da Frust com seu ambiente AWS.

• Mínimo privilégio (A.9.4): Todas as funções IAM concedem apenas as permissões mínimas necessárias para a prestação dos serviços contratados.
• Sem acesso a dados de negócio (A.9.4.1): A Frust acessa apenas metadados de infraestrutura cloud — não dados processados ou armazenados pelas suas cargas de trabalho.
• Condição ExternalID (A.9.2): Previne a assunção não autorizada de funções (ataque confused deputy), conforme as melhores práticas da AWS.
• Trilha de auditoria (A.12.4): Todas as assunções de funções pela Frust são registradas no AWS CloudTrail em sua conta, proporcionando visibilidade total e suportando seus próprios requisitos de auditoria.
• Segregação de dados (A.9.4.1): Os dados de faturamento CUR são armazenados em um bucket S3 privado e dedicado, com acesso restrito à Frust e aos serviços de faturamento da AWS.
• Revogabilidade (A.9.2.6): O acesso pode ser revogado a qualquer momento excluindo os stacks de CloudFormation, o que remove todas as funções IAM concedidas à Frust.
• Sem credenciais persistentes (A.9.2.4): A Frust utiliza credenciais temporárias STS (AssumeRole) e nunca armazena chaves de acesso de longa duração no seu ambiente.