Como automatizar permissões personalizadas no Amazon QuickSight

À medida que os ambientes do Amazon QuickSight crescem e os novos recursos com IA ampliam o que os usuários podem fazer, automatizar permissões personalizadas se torna essencial para manter o princípio do menor privilégio. Com as permissões personalizadas do QuickSight, é possível ativar ou desativar recursos específicos por usuário — por exemplo, deixar analistas financeiros criar relatórios sem exportar dados brutos, ou permitir que parceiros externos vejam dashboards sem acessar controles de compartilhamento.

Quatro cenários de automação

A AWS descreve quatro padrões de arquitetura para aplicar permissões em diferentes etapas do ciclo de vida do usuário, do mais simples ao mais complexo:

1. Usuários pré-cadastrados (API direta)

Se a sua organização provisiona usuários por um portal ou script próprio, basta incluir o parâmetro --custom-permissions-name na chamada RegisterUser:

aws quicksight register-user \
  --aws-account-id 123456789012 \
  --namespace default \
  --identity-type QUICKSIGHT \
  --user-role AUTHOR \
  --email [email protected] \
  --user-name user_name \
  --custom-permissions-name "Restricted-Author-Profile"

2. Padrão em nível de conta ou função

Duas APIs nativas definem perfis padrão sem automação por usuário: UpdateAccountCustomPermission (fallback para qualquer usuário sem perfil explícito) e UpdateRoleCustomPermission (por função READER, AUTHOR, ADMIN e PRO). As permissões seguem uma hierarquia de três níveis — usuário > função > conta.

3. Lógica orientada a eventos

Quando é preciso aplicar perfis diferentes por grupo, a arquitetura usa Amazon EventBridge (detecta o evento de mudança de grupo no CloudTrail) e AWS Lambda (aplica o perfil via UpdateUserCustomPermission). Isso funciona tanto com grupos nativos do QuickSight quanto com grupos do IAM Identity Center.

4. Atualização retroativa em lote

Para usuários criados antes da automação, um script Python percorre os grupos e aplica o perfil a cada membro — tratando a paginação da API ListGroupMemberships, que retorna 100 membros por vez.

Recomendação da AWS

A orientação oficial é combinar os cenários 2 e 3: primeiro, defina um padrão restritivo em nível de conta (linha de base), para que nenhum usuário fique sem restrição no intervalo entre o provisionamento e a atribuição ao grupo. Depois, refine com a automação por eventos. Como um exemplo citado, um banco global com mais de 200 mil usuários bloqueia a exportação de dados no instante em que um funcionário entra, usando o padrão de conta como base.

Por que isso importa

Com a chegada de recursos de BI generativa (GenBI) e conectores impulsionados por IA no QuickSight, o controle de quem pode fazer o quê deixa de ser um detalhe administrativo e vira questão de governança e conformidade. Para empresas brasileiras sob a LGPD, aplicar o menor privilégio de forma automatizada — sem brechas entre provisionamento e atribuição de grupo — é o que separa uma política de segurança que funciona de uma que só existe no papel.