Pular para o conteúdo
fernando.moretes.com
BlogEstudosCursosE-booksOpen SourcePodcasts
Loading…
Fernando Azevedo

Arquiteto de TI Especialista

Arquitetura, AWS, IA em produção, sistemas financeiros e FinOps, escritos a partir do que foi operado, com os números.

  • LinkedIn
  • GitHub
  • E-mail

Conteúdo

  • Blog
  • Estudos de arquitetura
  • Cursos
  • E-books
  • Open Source
  • Podcasts
  • Assuntos
  • Trilhas

Ferramentas

  • Well-Architected self-check
  • Arquitetura deste site
  • Números públicos
  • Histórico de estudo

Sobre

  • Comunidade
  • IA Builder
  • Perfil
  • Currículo (CV)
  • Trabalhe comigo
  • Media kit
  • RSS do blog
  • RSS dos estudos
  • Artigos narrados (podcast)
  • llms.txt
  • Termos, privacidade e uso de IA

(c) 2026 Fernando Francisco Azevedo

Assuntos/Segurança

Resiliência e segurança

Segurança

25 conteúdos publicados sobre este assunto: artigos, estudos de arquitetura e guias de repositório.

Artigos· 16

AWS & CloudCloudFront VPC origins dual-stack: IPv6 até a origem privada, com ressalvasDesde 15/10/2026, a CloudFront fala IPv6 com ALB, NLB e EC2 em subnet privada, sem custo adicional. Isso acaba com a escolha entre origem privada e IPv6 ponta a ponta, mas dual-stack não é IPv6 garantido, e trocar uma VPC origin em produção exige desassociá-la da distribuição.Abrir AWS & CloudPrivate CA registra cada emissão: guia de campo do IssueCertificateDetailsDesde 5 de outubro de 2026 o AWS Private CA emite um evento IssueCertificateDetails no CloudTrail para toda tentativa de emissão, com o certificado TBS completo, a CA emissora, o solicitante e o motivo da falha. Isso fecha um buraco de auditoria que eu contornava com relatório de auditoria mais GetCertificate. Estas notas de campo dizem o que ligar amanhã, o que o evento não resolve e onde o custo e a LGPD entram.Abrir IA & AgentesRAG sobre ServiceNow: o conector que apaga o user criteriaO conector nativo de ServiceNow do Amazon Bedrock Managed Knowledge Base chegou em 4 de setembro de 2026 e tira semanas de pipeline artesanal do caminho. Ele também instrui você a usar uma conta de serviço com knowledge_admin, que ignora o user criteria por knowledge base, e o conector não ingere ACL de documento. Este é o retro do piloto em que essas duas linhas de documentação se encontraram.Abrir AWS & CloudDocumentDB 8.0: MVU direto reduz risco, não elimina migraçãoO suporte a major version upgrade direto para o Amazon DocumentDB 8.0 é uma melhoria importante para quem ainda carrega clusters 3.6 ou 4.0. Eu trataria o recurso como redução de passos e de exposição, não como desculpa para pular ensaio, testes de compatibilidade e plano de rollback.Abrir Arquitetura de SoluçõesAWS Transform Continuous Modernization: Análise Técnica ProfundaO AWS Transform Continuous Modernization entrou em disponibilidade geral em agosto de 2026, trazendo análise e remediação autônoma de dívida técnica em repositórios de código a escala corporativa. Neste artigo, vou além do anúncio e examino o mecanismo de execução, os modos de falha reais e os trade-offs que toda equipe de plataforma precisa entender antes de conectar seus repositórios de produção.Abrir Segurança & ResiliênciaIAM Roles para Stream Sessions: Comparativo de Estratégias de CredenciaisO suporte a IAM roles em sessões do Amazon GameLift Streams, lançado em julho de 2026, elimina a necessidade de chaves de acesso de longa duração em aplicações de streaming. Neste artigo, comparo as quatro abordagens de credenciais disponíveis, chaves estáticas, variáveis de ambiente, AWS Secrets Manager e IAM roles via RoleArn, usando critérios de segurança, complexidade operacional, custo e rastreabilidade. A conclusão é direta: IAM roles vence em quase todos os eixos relevantes para ambientes de produção.Abrir Segurança & ResiliênciaIAM Roles para GameLift Streams: O Fim das Credenciais EmbutidasO Amazon GameLift Streams passou a suportar IAM roles em sessões de streaming, eliminando a necessidade de credenciais de longa duração embutidas em bundles ou variáveis de ambiente. A mudança alinha o serviço ao mesmo mecanismo de container credential provider já consolidado no ECS e EKS, sem alteração de código na aplicação. Neste artigo, analiso o que essa feature realmente entrega, onde ainda existem limites relevantes e como adotá-la com rigor em ambientes de produção.Abrir Segurança & ResiliênciaAmazon Managed Grafana FedRAMP High: Observabilidade em Ambientes ReguladosO Amazon Managed Grafana alcançou autorização FedRAMP High nas regiões AWS GovCloud (US-East) e (US-West), desbloqueando observabilidade gerenciada para agências federais e setores com requisitos de conformidade rigorosos. Neste artigo, analiso o que essa autorização realmente significa em termos de arquitetura, os padrões de design que ela habilita e os anti-padrões que ainda persistem mesmo com o serviço autorizado.Abrir IA & AgentesOAuth no AWS MCP Server: Comparativo de Estratégias de Autenticação para AgentesO suporte OAuth nativo no AWS MCP Server muda o jogo para quem estava improvisando autenticação de agentes com credenciais estáticas ou fluxos Cognito customizados. Mas 'suporte OAuth' não é uma decisão de arquitetura, é um ponto de partida. Neste artigo, faço um bake-off honesto entre quatro estratégias de autenticação para agentes de IA em ambientes financeiros, com trade-offs reais, números plausíveis e uma recomendação direta.Abrir IA & AgentesAWS WAF no AgentCore Gateway: Segurança de Produção para IA AgênticaA disponibilidade geral do AWS WAF para o Amazon Bedrock AgentCore Gateway marca uma inflexão importante: workloads de IA agêntica agora podem receber proteções de borda consistentes sem instrumentação por agente. Analiso o que essa integração realmente entrega, onde ela ainda deixa lacunas e como estruturar uma postura de segurança madura para sistemas agênticos em produção.Abrir Segurança & ResiliênciaAMI Watermarks: Governança de Imagens em Escala FinanceiraAMI Watermarks chegam ao EC2 como uma primitiva de proveniência que persiste através de cópias entre regiões, compartilhamento entre contas e criação de novas imagens a partir de instâncias em execução. Para ambientes financeiros com centenas de contas e dezenas de regiões, isso resolve um problema que scripts de tag e SCPs parcialmente endereçavam, mas nunca de forma confiável. Neste artigo, percorro a jornada de migração de um modelo ad hoc para uma cadeia de custódia auditável.Abrir IA & AgentesAmazon Bedrock AgentCore Harness: Da Ideia ao Agente de ProduçãoO AgentCore Harness chegou ao GA em junho de 2026 como uma abstração gerenciada que colapsa o plano de controle de agentes LLM em dois chamadas de API. Neste artigo, analiso como o harness funciona internamente, onde ele falha, e o que arquitetos de sistemas financeiros precisam entender antes de colocá-lo em produção.Abrir IA & AgentesInvokeGuardrailChecks vs Guardrails Clássicos: Qual Usar em Agentes AI?A AWS lançou a InvokeGuardrailChecks API no Amazon Bedrock Guardrails, uma API sem recurso que permite aplicar salvaguardas individuais em qualquer ponto de um loop agentic sem criar ou versionar recursos de guardrail. Neste artigo, faço uma análise comparativa direta entre essa abordagem e os Guardrails clássicos baseados em recursos, avaliando trade-offs de latência, governança, custo e adequação para sistemas financeiros de missão crítica.Abrir Segurança & ResiliênciaAWS WAF e Monetização de Tráfego de Bots de IA: Análise TécnicaO AWS WAF ganhou capacidade nativa de identificar e rotear tráfego originado por bots de IA, uma mudança que transforma uma ferramenta defensiva em um ponto de controle de receita. Neste artigo, analiso o que a funcionalidade entrega de fato, onde ela falha e como integrá-la com segurança em arquiteturas financeiras.Abrir Segurança & ResiliênciaPadrões de Recuperação de Ransomware na AWS: Uma Análise TécnicaRansomware continua sendo o vetor de ameaça com maior impacto financeiro em ambientes corporativos, e a AWS oferece primitivas técnicas sólidas para construir resiliência real. Nesta análise, examino os padrões de recuperação publicados pelo AWS Architecture Blog sob a lente de quem já operou planos de DR em ambientes financeiros regulados. O resultado é uma visão honesta: onde esses padrões entregam valor real, onde há lacunas operacionais e o que você precisa adicionar para que funcionem sob pressão.Abrir Segurança & ResiliênciaUma Organização ou Várias? O Postmortem que Ninguém Quer EscreverA decisão entre uma única AWS Organization e múltiplas organizações parece estratégica no papel, mas se torna operacional no pior momento possível, durante um incidente. Este artigo reconstrói o padrão de falha mais comum que observo em ambientes financeiros e propõe remediações concretas baseadas nos pilares do AWS Well-Architected.Abrir

Estudos de arquitetura· 9

Decisão (ADR)ADR: IAM Role Sessions no GameLift Streams: Eliminando Credenciais EstáticasO Amazon GameLift Streams passou a suportar IAM roles por sessão em julho de 2026, eliminando a necessidade de credenciais estáticas em bundles de aplicação. Este artigo analisa a decisão arquitetural por trás dessa mudança, os padrões de segurança envolvidos e as consequências operacionais para times que constroem plataformas de streaming com acesso a recursos AWS.Abrir PlaybookPlaybook: 5 Mudanças em Arquitetura de IA, e o que fazer com cada umaO que era avançado em 2025 virou default em 2026: o gargalo saiu do prompt, agentes foram para produção gerenciada, MCP padronizou ferramentas, segurança virou multicamadas e FinOps de token entrou na pauta. Este playbook mapeia cada mudança com o que fazer de concreto, para quem constrói sistemas, não demos.Abrir Decisão (ADR)ADR: Executar Código Gerado por IA: Lambda MicroVMs vs. Containers IsoladosDecisão de arquitetura sobre como executar com segurança código gerado por agentes de IA ou submetido por usuários em ambiente multi-tenant, comparando Lambda MicroVMs (lançamento AWS jun/2026), containers efêmeros com gVisor/Firecracker em ECS/EKS e Lambda padrão. A decisão recomendada é Lambda MicroVMs por sessão, orquestrado pelo Bedrock AgentCore, com isolamento em nível de VM sem overhead operacional de virtualização própria.Abrir Decisão (ADR)RAG Multi-Tenant Seguro: ADR para Autorização em Duas CamadasAutorização em RAG multi-tenant não é um detalhe de implementação, é uma decisão arquitetural com consequências diretas em compliance, vazamento de dados entre tenants e superfície de ataque de modelos de linguagem. Neste ADR, documento as forças que me levaram a adotar um padrão de defesa em profundidade com Amazon Verified Permissions e Bedrock Knowledge Bases, as alternativas que descartei e as consequências operacionais que precisam ser gerenciadas.Abrir TeardownTeardown: Frontier Agents para Segurança e DevOps na AWSUma análise técnica aprofundada da arquitetura por trás dos agentes autônomos de frontier da AWS para pentest sob demanda e resolução de incidentes em cloud operations. Avaliamos isolamento, escopo de ação, aprovação humana, rollback e os riscos operacionais reais que emergem quando você coloca um LLM no loop de controle de infraestrutura.Abrir Design Doc / RFCDesign Doc: Zero Trust na AWS para Acesso a Serviços InternosEste documento propõe uma arquitetura Zero Trust na AWS onde identidade, contexto e postura do dispositivo substituem o perímetro de rede como mecanismo primário de controle de acesso. O design cobre segmentação de workloads, acesso adaptativo via IAM Identity Center e Verified Access, e instrumentação de auditoria contínua. O objetivo é eliminar a confiança implícita baseada em localização de rede sem introduzir fricção operacional excessiva.Abrir Design Doc / RFCDesign Doc: Plataforma RAG Enterprise com Avaliação Contínua e Guardrails no BedrockEste documento descreve a arquitetura de uma plataforma RAG enterprise construída sobre Amazon Bedrock, cobrindo recuperação semântica, avaliação contínua de qualidade, guardrails de segurança e controle de custo. O design prioriza rastreabilidade, operabilidade e contenção de risco em ambientes regulados, sem abrir mão de latência aceitável para usuários finais.Abrir PlaybookPlaybook: Como Blindar um Agente de IA: As Camadas de DefesaAgentes de IA expõem superfícies de ataque que firewalls tradicionais não cobrem: injeção de prompt, exfiltração via tool call, saída não controlada. Este playbook descreve as quatro camadas de defesa, borda, conteúdo, ferramentas e saída, e o que cada uma barra, onde falha e como compô-las sem redundância inútil.Abrir PlaybookPlaybook: MCP na Prática: Conecte um Agente a uma Ferramenta InternaO Model Context Protocol elimina o adaptador artesanal entre agente e ferramenta: um servidor MCP expõe tools com nome, descrição e schema; o cliente descobre e chama sem acoplamento direto. Este playbook cobre os três passos concretos para subir um servidor MCP, descrever bem uma tool e conectar o agente, com atenção especial à segurança, que é onde a maioria erra.Abrir