MIDDAG Docs

Appearance

Acesso da MIDDAG à sua conta AWS (CloudFormation) ​

A MIDDAG acessa a sua conta AWS sem usuário IAM e sem chave de acesso. Você cria, com uma stack CloudFormation, roles IAM que confiam apenas nas contas da MIDDAG e que expiram sozinhas na data combinada.

O que a stack cria ​

Ela cria só roles IAM e, se você pedir, access entries de EKS. Não cria rede, instância nem nada que gere custo.

RolePodeNão pode
middag-auditLer a configuração da conta (ReadOnlyAccess)Ler segredos, credenciais e conteúdo de dados (bucket, banco, fila)
middag-operateOperar serviços (PowerUserAccess)IAM, faturamento e Organizations
middag-adminAdministrar a conta. O acesso da MIDDAG a ela é temporário e aprovado caso a caso—
middag-probeNada; só prova que a stack existe e está válidaQualquer leitura

A confiança vale até o parâmetro ExpiresOn (inclusive). Depois dessa data, a AWS nega a entrada mesmo que a role continue existindo.

Versões do template ​

VersãoDataURLSHA-256
1.0.02026-11-03https://mdg-access-shared-s3-cfn-templates.s3.us-east-1.amazonaws.com/client-access/v1.0.0/client-access.yaml3e4f94a32316abc6ab58675ae416e26b82e978df4e9d3718da1ba629281cf4a5

Há duas formas de conferir o arquivo. A primeira é baixar e comparar o resultado com a coluna SHA-256 da tabela:

sh
curl -fsSO https://mdg-access-shared-s3-cfn-templates.s3.us-east-1.amazonaws.com/client-access/v1.0.0/client-access.yaml
sha256sum client-access.yaml

A segunda é ler o checksum que o S3 gravou no upload, sem baixar o arquivo. O S3 devolve o SHA-256 em base64; para a versão 1.0.0 o valor esperado é Pk+UoyMWq8arWGda5Bbia4LpeN9OnTcY2humKSgc9KU=:

sh
aws s3api head-object --no-sign-request --region us-east-1 --checksum-mode ENABLED \
  --bucket mdg-access-shared-s3-cfn-templates --key client-access/v1.0.0/client-access.yaml \
  --query ChecksumSHA256 --output text

Sem AWS CLI, o mesmo valor vem no cabeçalho x-amz-checksum-sha256 (só com o cabeçalho de pedido x-amz-checksum-mode: ENABLED):

sh
curl -sI -H 'x-amz-checksum-mode: ENABLED' https://mdg-access-shared-s3-cfn-templates.s3.us-east-1.amazonaws.com/client-access/v1.0.0/client-access.yaml | grep -i x-amz-checksum-sha256

A MIDDAG envia o link por canal privado, com os parâmetros preenchidos.

  1. Abra o link já logado na sua conta, na região us-east-1.
  2. Revise os parâmetros. Se quiser ver o que será criado antes de criar, use "Create change set".
  3. Marque as confirmações de recursos IAM e de auto-expand e clique em Create stack.
  4. Avise a MIDDAG que a stack foi criada. Não é preciso enviar ARN nem credencial.

Alternativas ​

  • Console sem o link: "Create stack" → "Upload a template file", com o arquivo baixado da URL da versão. Preencha os parâmetros que a MIDDAG informou.

  • CLI:

    sh
    aws cloudformation create-stack --region us-east-1 --stack-name middag-client-access \
  --template-url https://mdg-access-shared-s3-cfn-templates.s3.us-east-1.amazonaws.com/client-access/v1.0.0/client-access.yaml \
  --capabilities CAPABILITY_NAMED_IAM CAPABILITY_AUTO_EXPAND \
  --parameters ParameterKey=Alias,ParameterValue=<alias> ParameterKey=ExpiresOn,ParameterValue=<AAAA-MM-DD> ...

    Sem acesso à URL, use --template-body file://client-access.yaml.

Atualizar ​

Vá em Update → Replace current template → URL S3 da versão nova. Nunca use "Use existing template": a stack guarda o template já processado, com os valores antigos.

Revogar ​

Apague a stack (aws cloudformation delete-stack --stack-name middag-client-access). Para cortar na hora uma sessão já aberta, use "Revoke active sessions" na role, no console do IAM.

Último recurso: criar as roles à mão ​

Se a sua política não permitir CloudFormation, peça à MIDDAG a trust e as policies de cada role e crie-as pelo console do IAM. O Deny da role middag-operate não pode ficar de fora.

MIDDAG © 2015-2026