Nova capacidade do AWS IAM Identity Center permite migrar do Active Directory para provedores como Microsoft Entra ID e Okta sem recriar usuários, grupos ou atribuições de acesso, reduzindo riscos operacionais durante a modernização da identidade corporativa.
A Amazon Web Services (AWS) anunciou uma mudança significativa no processo de migração de fontes de identidade do AWS IAM Identity Center. A funcionalidade, disponibilizada em outubro de 2026, permite que organizações migrem do Microsoft Active Directory para provedores externos de identidade ou para o diretório interno do IAM Identity Center preservando suas identidades e configurações de acesso.
A novidade resolve uma limitação importante que historicamente tornava essas migrações complexas e potencialmente disruptivas.
Anteriormente, a mudança do Active Directory para outra fonte de identidade provocava a exclusão de usuários, grupos, associações e atribuições de acesso no IAM Identity Center, exigindo a reconstrução dessas configurações após a migração.
Com a nova capacidade, essas informações podem ser preservadas, permitindo uma transição com menor esforço administrativo e menor risco de interrupção dos acessos.
O que mudou no AWS IAM Identity Center?
O AWS IAM Identity Center é o serviço responsável por centralizar o acesso de usuários a contas AWS e aplicações integradas, permitindo a utilização de diferentes fontes de identidade.
Entre as opções estão o Active Directory, provedores externos de identidade baseados em federação e o próprio diretório interno do serviço.
Até recentemente, substituir o Active Directory por outra fonte representava um desafio operacional significativo.
Durante o processo de alteração, o IAM Identity Center removia os objetos associados à fonte anterior, obrigando as equipes de IAM a recriar usuários, grupos e atribuições.
A nova funcionalidade modifica esse comportamento.
Agora, ao migrar do Active Directory para um provedor externo ou para o diretório do IAM Identity Center, a plataforma preserva:
- Usuários e grupos existentes.
- Associações entre usuários e grupos.
- Atribuições de acesso às contas AWS.
- Atribuições de acesso às aplicações integradas.
- Identificadores internos dos usuários e grupos.
- Referências utilizadas pelas políticas e configurações de autorização.
A preservação dos identificadores é especialmente relevante porque reduz o risco de inconsistências em políticas e integrações que dependem dessas referências.
Migração para Microsoft Entra ID e Okta fica mais simples
A mudança beneficia organizações que estão modernizando suas arquiteturas de identidade e substituindo a dependência de diretórios tradicionais por provedores de identidade cloud.
Entre os cenários possíveis estão migrações para Microsoft Entra ID, Okta e outros provedores compatíveis com os mecanismos de federação suportados pelo AWS IAM Identity Center.
Em uma arquitetura típica, o novo provedor assume a responsabilidade pela autenticação dos usuários, enquanto o IAM Identity Center continua gerenciando as atribuições de acesso às contas e aplicações AWS.
O processo envolve tecnologias como:
SAML 2.0: utilizado para estabelecer a federação de autenticação entre o provedor de identidade e o AWS IAM Identity Center.
SCIM: utilizado para provisionar e sincronizar usuários e grupos entre os sistemas.
AWS Permission Sets: responsáveis por definir as permissões que serão disponibilizadas aos usuários e grupos nas contas AWS.
A principal diferença é que as atribuições já existentes podem continuar associadas aos mesmos objetos de identidade durante a mudança.
Isso não significa que a migração seja automática ou livre de riscos. A correspondência correta das identidades, a configuração da federação e a sincronização dos usuários continuam sendo etapas críticas.
O impacto para a governança de identidades
Sob a perspectiva de Identity Governance and Administration (IGA), a novidade representa um avanço importante.
Em ambientes corporativos, a alteração de uma fonte de identidade pode afetar não apenas a autenticação, mas também os processos de governança, auditoria, certificação de acessos e segregação de funções.
Quando usuários e grupos são recriados, existe o risco de perder referências utilizadas por ferramentas externas de governança e automação.
Ao preservar os identificadores internos, o AWS IAM Identity Center reduz a necessidade de reconstruir essas relações.
Isso é particularmente relevante para organizações que utilizam plataformas de IGA, como SailPoint, midPoint ou outras soluções responsáveis por controlar o ciclo de vida das identidades e seus acessos.
Entretanto, a preservação dos objetos no AWS IAM Identity Center não garante, por si só, que todas as correlações existentes em plataformas externas continuarão funcionando.
É necessário validar os identificadores utilizados pelas integrações, as regras de correlação e o comportamento do provisionamento após a mudança.
AWS disponibiliza roteiro técnico de migração
Além da nova capacidade, a AWS publicou um guia técnico detalhado demonstrando a transição do Active Directory para o Okta.
O material apresenta um processo estruturado em sete fases:
- Planejamento e inventário: identificação dos usuários, grupos, aplicações, atribuições e dependências existentes.
- Validação pré-migração: preparação do novo provedor e testes de sincronização e autenticação.
- Alteração da fonte de identidade: execução da mudança no IAM Identity Center.
- Verificação da nova fonte: confirmação da correspondência entre os objetos existentes e as identidades provisionadas pelo novo provedor.
- Testes pós-migração: validação dos acessos às contas AWS e aplicações.
- Limpeza e monitoramento: identificação de objetos desnecessários e acompanhamento dos processos de sincronização.
- Procedimento de recuperação: documentação das ações necessárias caso a migração apresente problemas.
A AWS também disponibiliza exemplos de scripts Python para apoiar inventários, validações e atividades operacionais.
Um ponto importante é a recomendação de manter o Active Directory disponível durante o período de estabilização, evitando sua desativação prematura.
A migração inversa continua apresentando riscos
Existe uma limitação importante na nova funcionalidade.
A preservação de usuários, grupos e atribuições se aplica às migrações que saem do Active Directory, não às migrações que passam a utilizá-lo como fonte.
Quando uma organização altera sua fonte de identidade de um provedor externo ou do diretório interno do IAM Identity Center para o Active Directory, o comportamento anterior permanece.
Nesse cenário, os usuários, grupos e atribuições são removidos e precisam ser recriados.
Por isso, uma estratégia de rollback que envolva retornar ao Active Directory exige planejamento específico.
A AWS recomenda realizar inventários e backups das configurações antes da migração e documentar os procedimentos de restauração.
Essa diferença de comportamento precisa ser considerada especialmente por organizações que possuem requisitos rigorosos de continuidade operacional.
Atenção aos impactos no portal de acesso
Outro aspecto relevante envolve a experiência dos usuários.
Após a migração para um provedor externo, o endereço tradicional do portal AWS associado ao Active Directory deixa de ser suportado.
A organização passa a utilizar o endereço regional do portal de acesso do IAM Identity Center.
Isso exige a atualização de favoritos, documentação, eventuais regras de rede e orientações de autenticação.
Também é necessário revisar aplicações que dependam de URLs específicas ou fluxos de redirecionamento.
Embora essas mudanças pareçam secundárias, podem gerar incidentes de autenticação caso não sejam comunicadas adequadamente.
O que os profissionais de IAM devem considerar?
A novidade representa uma oportunidade para organizações que pretendem modernizar sua infraestrutura de identidade, mas algumas práticas continuam essenciais.
Inventário de acessos: identificar todos os usuários, grupos, permission sets e aplicações integradas antes da migração.
Correlação de identidades: garantir que as contas existentes sejam corretamente associadas aos usuários do novo provedor.
Validação de governança: verificar se as integrações com plataformas de IGA continuam reconhecendo as identidades e suas atribuições.
Testes de autenticação: validar os fluxos de SSO, MFA e acesso às contas AWS.
Monitoramento: acompanhar erros de sincronização SCIM, eventos de autenticação e registros do AWS CloudTrail.
Plano de recuperação: documentar procedimentos de contingência e os riscos associados à reversão da fonte de identidade.
O objetivo deve ser preservar não apenas a capacidade de autenticação, mas também a integridade dos processos de autorização e governança.
Uma mudança importante para arquiteturas de identidade híbridas
O anúncio também reflete uma transformação mais ampla no mercado de Identity and Access Management.
Durante décadas, o Active Directory ocupou uma posição central nas arquiteturas corporativas de identidade.
Com a expansão das aplicações SaaS, dos ambientes multicloud e das estratégias Zero Trust, muitas organizações passaram a adotar arquiteturas baseadas em federação e provedores de identidade cloud.
Isso não significa necessariamente abandonar o Active Directory em toda a infraestrutura.
Sistemas legados, estações de trabalho, aplicações Windows e serviços dependentes de LDAP ou Kerberos podem continuar exigindo sua utilização.
A novidade da AWS está especificamente relacionada à fonte de identidade utilizada pelo IAM Identity Center.
Portanto, ela facilita a modernização do acesso aos recursos AWS, mas não substitui um projeto completo de desativação do Active Directory corporativo.
Conclusão
A nova capacidade do AWS IAM Identity Center elimina uma das principais dificuldades técnicas enfrentadas pelas organizações durante a substituição do Active Directory como fonte de identidade para ambientes AWS.
Ao preservar usuários, grupos, identificadores e atribuições de acesso, a AWS reduz o esforço necessário para realizar a transição e diminui os riscos associados à reconstrução manual das permissões.
Para as equipes de IAM e IGA, o avanço é especialmente relevante porque permite modernizar a autenticação mantendo maior continuidade das estruturas de autorização existentes.
Ainda assim, migrações de identidade continuam exigindo planejamento, testes, validação de correlações e estratégias de recuperação.
A principal mensagem é que modernizar a autenticação não deveria significar reconstruir toda a estrutura de autorização. Com essa atualização, a AWS dá um passo importante nessa direção.
