> ## Documentation Index > Fetch the complete documentation index at: https://docs.enclave.ai/llms.txt > Use this file to discover all available pages before exploring further. > ## Agent Instructions > Enclave in these docs is the code and cloud security platform at enclave.ai. It is not Open Enclave, Intel SGX or other hardware enclaves, or enclave.gg. > People use Enclave in the web app at https://app.enclave.ai or the desktop app. These docs describe no public Enclave API or CLI, so don't invent endpoints, commands, or config files. > Connecting an integration needs a person to sign in and approve access in a browser. Tell the user the exact step to take instead of saying you completed it. # AWS > Conecte uma conta da AWS com uma função do IAM somente leitura para que o Enclave possa mapear sua nuvem e verificar se os achados são alcançáveis. Conecte uma conta da AWS para que o Enclave possa mapear os recursos e as identidades dela e identificar quais achados são alcançáveis. O acesso é somente leitura. ## Do que o Enclave precisa Uma função do IAM entre contas chamada `EnclaveScanner`, com permissões **somente leitura**. Um template do CloudFormation a cria para você. A política de confiança da função permite que apenas o principal do Enclave a assuma, e somente com um external ID gerado para a sua organização. A política `EnclaveScannerReadOnly` da função permite as ações `Describe`, `List` e `Get` em: * **Computação**: EC2, ECS, EKS, Lambda, Batch e Step Functions. * **Rede**: recursos de VPC por meio do EC2, Elastic Load Balancing, Route 53, CloudFront e API Gateway. * **Dados**: RDS, DynamoDB, ElastiCache e os nomes de filas do SQS, tópicos do SNS, streams do Kinesis e clusters do MSK. * **Armazenamento**: configuração, políticas, ACLs e configurações de acesso público de buckets do S3. Nenhuma leitura de objetos. * **Contêineres**: repositórios do ECR. * **Identidade**: funções, usuários, grupos e perfis de instância do IAM, e as políticas deles. Nenhuma ação de alteração, nenhum acesso a dados além dos metadados. ## Antes de começar * Você precisa da função **Owner** ou **Admin** no Enclave. * Na AWS, você precisa de permissão para criar stacks do CloudFormation **e funções do IAM** na conta que você conectar. > [!WARNING] > > A stack cria uma função do IAM, então o CloudFormation pede que você confirme que ela cria recursos do IAM. Se o seu usuário da AWS não puder criar funções do IAM, a stack falha. Clique em **Copy link** e envie o link para alguém que possa. ## Conectar uma conta da AWS Abra **Settings → Integrations** e clique em **Connect** ao lado de **Amazon Web Services**. **1. Abra o CloudFormation** Clique em **Open CloudFormation**. A AWS abre uma página de criação rápida para a stack `EnclaveScanner` em `us-east-1`, com o external ID da sua organização e o ARN do principal do Enclave já preenchidos. Revise a stack e crie-a. Para que outra pessoa a execute, clique em **Copy link** e envie o link para ela. **2. Copie o RoleArn em Outputs** Quando a stack terminar, abra **CloudFormation → Stacks → EnclaveScanner → Outputs**. Copie o **Value** da linha em que **Key** é `RoleArn`. **3. Valide a função** Cole o ARN em **RoleArn output** e clique em **Validate role**. O Enclave assume a função para confirmar que a relação de confiança funciona. Se tudo der certo, a conta é conectada e o Enclave começa a verificá-la. > [!TIP] > > Clique em **Finish later** para salvar seu progresso. Conclua a configuração em **Settings → Integrations → Amazon Web Services** quando a stack estiver pronta. ## Adicionar mais contas Você pode conectar mais de uma conta da AWS, por exemplo, `prod` e `staging`. Clique em **Add account**, inicie a stack `EnclaveScanner` na outra conta e valide o `RoleArn` dela. Todas as contas conectadas ficam disponíveis para toda a sua organização. ## Gerenciar uma conexão Em **Settings → Integrations → Amazon Web Services**, clique em uma conta para ver o ID da conta, o ARN da função e as regiões. * **Re-validate** verifica se o Enclave ainda consegue assumir a função. * **Delete** remove uma conta da conexão. * **Disconnect AWS** remove a conexão inteira. O Enclave para de usar essas contas. Em **CloudTrail notifications**, você pode, opcionalmente, conectar uma trilha do CloudTrail. Assim, o Enclave atualiza o inventário de uma conta quando os recursos dela mudam, em vez de esperar a verificação diária. Para revogar o acesso pela AWS, exclua a stack `EnclaveScanner` ou a função. O Enclave não consegue mais verificar a conta. ## O que o Enclave faz e não faz * **Faz**: chama as ações somente leitura da política `EnclaveScannerReadOnly`. * **Não faz**: alterar nada, ler o conteúdo dos dados, manter credenciais de longa duração nem executar agentes dentro da sua conta. O Enclave assume a função com credenciais temporárias do STS, restritas à função e ao external ID que você configurou. A função pode ser revogada a qualquer momento na sua conta da AWS. ## Solução de problemas * **AWS STS could not assume the role**: a stack não existe ou o external ID dela não corresponde a esta conexão do Enclave. Clique em **Open CloudFormation** de novo. Recrie a stack `EnclaveScanner` se ela tiver sido excluída ou atualize-a se ela existir. Depois, copie o novo `RoleArn` e valide novamente. * **"That ARN is the Enclave principal"**: você colou o ARN do principal do Enclave em vez do ARN da sua função. Cole o valor de `RoleArn` da aba **Outputs** da stack. * **Os ativos não aparecem no Coverage**: o Enclave faz a verificação quando uma conta é conectada e, depois disso, uma vez por dia. Para verificar agora, clique em **Analyze Environment** no [Coverage](https://docs.enclave.ai/pt-br/onboarding/coverage.md). This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.