A governança e segurança de redes em nuvem em ambientes multi-conta é centralizada com quatro pilares: uma hierarquia de contas com guardrails preventivos, uma rede hub-and-spoke com inspeção centralizada de tráfego, identidade única com acesso de menor privilégio e detecção e logs consolidados em contas dedicadas. Na AWS, isso se apoia em serviços como Organizations, Control Tower, Transit Gateway e Network Firewall. Azure e Google Cloud oferecem equivalentes gerenciados.
Conforme a empresa cresce na nuvem, o número de contas, redes e times se multiplica. Sem um modelo central, surgem regras de firewall inconsistentes, sobreposição de endereços IP, acessos excessivos e pouca visibilidade. Este guia mostra como estruturar segmentação e controles de acesso para que o gerenciamento de múltiplas contas continue seguro e escalável.
Por que usar múltiplas contas na nuvem?
Contas separadas criam limites naturais de segurança, custo e cota. Uma falha ou credencial comprometida em uma conta de desenvolvimento não alcança a produção, e cada área ou produto tem seus custos isolados. O desafio passa a ser aplicar regras comuns a todas essas contas sem depender de configuração manual.
Como estruturar a hierarquia de contas?
- Conta de gerenciamento: usada apenas para administrar a organização e o faturamento, sem cargas de trabalho.
- Conta de segurança: concentra ferramentas de detecção, auditoria e resposta a incidentes.
- Conta de logs: armazena registros de auditoria e de tráfego de forma imutável.
- Conta de rede: hospeda os componentes de conectividade compartilhada, como hub de trânsito, firewalls e DNS.
- Contas de cargas de trabalho: separadas por ambiente (produção, homologação, desenvolvimento) e por produto ou área.
Agrupe as contas em unidades organizacionais por ambiente ou criticidade. Assim, as políticas são aplicadas ao grupo, e não a cada conta individualmente.
Como segmentar a rede entre contas?
O modelo mais usado é o hub-and-spoke: cada conta tem suas próprias redes (spokes), conectadas a um hub central na conta de rede. Todo tráfego entre ambientes, para a internet ou para o data center passa pelo hub, onde é inspecionado e registrado.
- Separe produção de não produção em tabelas de roteamento distintas, sem comunicação direta entre elas.
- Centralize a saída para a internet em uma VPC ou VNet de egresso com firewall e filtragem de domínios.
- Planeje endereçamento IP com uma ferramenta de IPAM para evitar sobreposição entre contas, regiões e o ambiente local.
- Use acesso privado a serviços por endpoints privados, sem expor tráfego à internet.
- Centralize o DNS com regras de resolução compartilhadas entre contas.
- Aplique microssegmentação com security groups e regras por aplicação dentro de cada rede.
Quais serviços gerenciados usar em cada provedor?
Os serviços de conectividade em nuvem e de segurança dos três principais provedores cobrem as mesmas funções com nomes diferentes:
| Função | AWS | Azure | Google Cloud |
|---|---|---|---|
| Hierarquia de contas | AWS Organizations e Control Tower | Management Groups e Azure Landing Zones | Organização, pastas e projetos |
| Guardrails preventivos | Service Control Policies (SCPs) | Azure Policy | Organization Policy Service |
| Conectividade central | Transit Gateway e Cloud WAN | Virtual WAN ou hub-and-spoke com VNet peering | Shared VPC e Network Connectivity Center |
| Firewall e inspeção | AWS Network Firewall e Firewall Manager | Azure Firewall e Firewall Manager | Cloud NGFW com políticas hierárquicas |
| Acesso privado a serviços | AWS PrivateLink e VPC endpoints | Azure Private Link | Private Service Connect |
| Identidade centralizada | IAM Identity Center | Microsoft Entra ID e PIM | Cloud Identity e IAM |
| Detecção e postura | Security Hub e GuardDuty | Microsoft Defender for Cloud | Security Command Center |
Como controlar o acesso de forma centralizada?
- Identidade única: integre o provedor de identidade corporativo e elimine usuários locais em cada conta.
- Menor privilégio: crie conjuntos de permissões por função, e não por pessoa.
- Acesso temporário: conceda privilégios administrativos sob demanda, com aprovação e prazo de expiração.
- Guardrails preventivos: bloqueie em nível de organização ações como desativar logs, sair da organização ou usar regiões não autorizadas.
- Revisão periódica: audite permissões e acessos não utilizados.
Como garantir visibilidade e conformidade?
A governança centralizada depende de enxergar tudo em um só lugar. Envie logs de auditoria, logs de fluxo de rede e eventos de firewall para a conta de logs, consolide alertas na conta de segurança e use verificações automáticas de conformidade para identificar desvios em todas as contas.
Boas práticas operacionais
- Crie contas por um processo automatizado (account vending), já com rede, logs e guardrails aplicados.
- Gerencie redes, firewalls e políticas como código, com revisão e versionamento.
- Teste guardrails em uma unidade organizacional de sandbox antes de aplicá-los à produção.
- Documente o fluxo de tráfego permitido entre ambientes.
- Acompanhe custos de tráfego entre contas e regiões, que podem crescer com a centralização.
E em uma rede multinuvem?
Em uma rede multinuvem, os princípios se mantêm: hub de conectividade, segmentação por ambiente, identidade única e logs consolidados. A interconexão entre provedores pode ser feita por VPN, conexões dedicadas ou serviços de interconexão gerenciada. O ponto crítico é padronizar políticas com infraestrutura como código, para que a segurança de rede na nuvem não dependa do provedor.
Perguntas frequentes
Quais serviços de rede e segurança ajudam a centralizar a governança multi-conta?
Na AWS, os principais são AWS Organizations, Control Tower, SCPs, Transit Gateway, Network Firewall, Firewall Manager, IAM Identity Center e Security Hub. No Azure, Management Groups, Azure Policy, Virtual WAN, Azure Firewall e Defender for Cloud. No Google Cloud, hierarquia de organização e pastas, Organization Policy, Shared VPC, VPC Service Controls e Security Command Center.
O que é segmentação de redes em ambientes multi-conta?
É a separação de cargas de trabalho em contas, redes e zonas de segurança distintas, com tráfego entre elas controlado por regras centralizadas. Isso limita o alcance de incidentes e facilita a aplicação de políticas por ambiente, como produção, homologação e desenvolvimento.
Qual a diferença entre controles preventivos e detectivos?
Controles preventivos impedem ações proibidas antes que aconteçam, como SCPs e Azure Policy com efeito de negação. Controles detectivos identificam desvios depois que ocorrem, como Security Hub, GuardDuty, Defender for Cloud e Security Command Center.
É possível aplicar a mesma governança em várias nuvens?
Sim, desde que os princípios sejam os mesmos: hierarquia de contas, guardrails preventivos, conectividade centralizada, identidade única e logs consolidados. As ferramentas mudam em cada provedor, mas o modelo de governança pode ser padronizado com infraestrutura como código.
Conclusão
Segmentar redes e centralizar controles de acesso é o que permite crescer na nuvem sem perder segurança nem controle. Com hierarquia de contas, guardrails preventivos, conectividade hub-and-spoke, identidade única e visibilidade consolidada, cada nova conta já nasce governada.
Quer falar com um especialista?
One Comment