Sumário

Tema cada vez mais cobrado em prova de TI e cargo administrativo. Aqui você domina a definição NIST canônica, os 3 modelos de serviço (IaaS, PaaS, SaaS), os 4 modelos de implantação, conhece os hyperscalers (AWS, Azure, GCP), e entende o modelo de responsabilidade compartilhada.

1. Definição NIST e características essenciais

   SP 800-145 (2011): 5 características, 3 serviços, 4 implantações
   p. 04
2. Modelos de serviço (IaaS, PaaS, SaaS, FaaS)

   Quem cuida do quê em cada modelo
   p. 08
3. Modelos de implantação

   Público, privado, comunitário, híbrido, multi-cloud
   p. 12
4. Hyperscalers e tecnologias

   AWS, Azure, GCP. Virtualização, containers, microsserviços
   p. 15
5. Storage, banco de dados e rede

   Object/Block/File, RDS/NoSQL/DW, VPC, IAM
   p. 19
6. Segurança e responsabilidade compartilhada

   Shared responsibility model, KMS, compliance
   p. 22
7. DevOps, IaC, CI/CD, FinOps

   Terraform, CloudFormation, ARM. Custo e otimização
   p. 25
8. Mapa mental, revisão e questões comentadas

   10 questões fechando a aula
   p. 28

Meta desta aula

Conhecer a definição NIST. Distinguir IaaS, PaaS, SaaS, FaaS. Distinguir público, privado, comunitário, híbrido. Conhecer hyperscalers. Compreender shared responsibility model. Conhecer ISO 27017 e 27018.

O que você vai aprender

Dica do Fuffu

Em prova, três pontos rendem 70%: 1) os 3 modelos de serviço (IaaS, PaaS, SaaS) e o que cada um inclui; 2) os 4 modelos de implantação; 3) modelo de responsabilidade compartilhada (segurança NA × DA nuvem). Decora esses 3.

Prof. Affonsinho explica, Módulo 01

1 O que é nuvem (NIST)

A definição canônica

O NIST SP 800-145, publicado em setembro de 2011 por Peter Mell e Timothy Grance, é a referência mundial para definir cloud computing. A definição:

"Cloud computing é um modelo que provê acesso ubíquo, conveniente e sob demanda, via rede, a um pool compartilhado de recursos computacionais configuráveis (por exemplo, redes, servidores, armazenamento, aplicações e serviços) que podem ser rapidamente provisionados e liberados com mínimo esforço de gerenciamento ou interação com o provedor."

Esta definição é cobrada em prova federal sempre que o tema é nuvem. Os 3 elementos do tripé NIST:

• 5 características essenciais.
• 3 modelos de serviço: IaaS, PaaS, SaaS.
• 4 modelos de implantação: público, privado, comunitário, híbrido.

As 5 características essenciais

1. On-demand self-service (autosserviço sob demanda): o usuário provisiona recursos (capacidade computacional, armazenamento) automaticamente, sem precisar interação humana com o provedor. Tudo via portal web ou API.
2. Broad network access (amplo acesso à rede): capacidades disponíveis através da rede, acessadas por mecanismos padrão que promovem uso por plataformas heterogêneas (laptop, mobile, tablet).
3. Resource pooling (pool de recursos): os recursos são reunidos para servir múltiplos consumidores em modelo multi-tenant, com diferentes recursos físicos e virtuais alocados dinamicamente conforme demanda. O cliente geralmente não sabe a localização exata dos recursos. Multi-tenancy é central.
4. Rapid elasticity (elasticidade rápida): capacidade de escalar para cima ou para baixo, automaticamente em alguns casos, em qualquer quantidade. Para o consumidor, parece ilimitado e disponível a qualquer momento.
5. Measured service (serviço mensurado): sistemas em nuvem controlam e otimizam recursos automaticamente, alavancando capacidade de medição em algum nível de abstração apropriado para o tipo de serviço (armazenamento, processamento, banda, contas ativas). Uso pode ser monitorado, controlado e reportado, oferecendo transparência tanto ao provedor quanto ao consumidor. É a base do modelo "pay-per-use".

Histórico

• 1960s: John McCarthy propõe que computação seria oferecida como utilidade pública (utility computing).
• 1970s-1980s: virtualização nasce com mainframes IBM (VM/370, 1972).
• 1999: Salesforce.com lança SaaS de CRM via web. Pioneiro.
• 2002: Amazon Web Services como projeto interno.
• 14 de março de 2006: AWS lança S3 (Simple Storage Service), o primeiro serviço público em larga escala. Considerado o início da era moderna de cloud.
• Agosto de 2006: AWS EC2 (Elastic Compute Cloud) entra em beta.
• 2008: Google App Engine (PaaS).
• 2008: Microsoft anuncia Azure (na época "Windows Azure").
• 2010: Azure lançado comercialmente.
• 2011: NIST SP 800-145.
• 2013: Docker (containers).
• 2014: Kubernetes (Google).
• 2015-2026: explosão de microsserviços, serverless, edge computing.

Vantagens da nuvem

• CAPEX → OPEX: troca investimento em hardware por despesa operacional.
• Elasticidade: paga só pelo que usa.
• Time-to-market: rápido provisionamento.
• Escala global: data centers em múltiplas regiões.
• Manutenção pelo provedor: patch, hardware, atualização.
• Inovação: serviços gerenciados (IA, ML, big data) acessíveis.
• Resiliência: replicação automática, alta disponibilidade.

Desvantagens e desafios

• Dependência do provedor (lock-in): migrar é caro.
• Internet: queda de conexão = sem acesso.
• Custo a longo prazo: pode ser maior que on-premises em workloads estáveis.
• Compliance: dados em outras jurisdições.
• Segurança: superfície de ataque diferente.
• Complexidade: aprender múltiplos serviços.
• Custo imprevisível: má gestão pode estourar o orçamento (FinOps).

Bate-papo com o Seu Teoffilo

Em prova federal, decore: NIST SP 800-145 (2011) = definição padrão. 5 características: autosserviço sob demanda, amplo acesso, pool de recursos, elasticidade rápida, serviço mensurado. 3 modelos serviço: IaaS, PaaS, SaaS. 4 modelos implantação: público, privado, comunitário, híbrido. Esses 4 números fixos resolvem 40% das questões.

Prof. Affonsinho explica, Módulo 02

2 IaaS, PaaS, SaaS, FaaS

IaaS - Infrastructure as a Service

Provê infraestrutura virtualizada: máquinas virtuais, armazenamento, rede. O cliente gerencia SO, middleware, runtime, aplicações e dados. O provedor cuida de hardware, virtualização, rede física, energia.

Exemplos:

• AWS EC2 (Elastic Compute Cloud): VMs.
• Azure Virtual Machines.
• Google Compute Engine.
• Linode, DigitalOcean, Vultr: alternativas mais simples.

Quando usar: workloads tradicionais migradas, cargas com necessidade de configuração específica de SO, lift-and-shift.

PaaS - Platform as a Service

Provê plataforma para desenvolvimento e implantação de aplicações. O cliente gerencia apenas a aplicação e seus dados. O provedor cuida de tudo abaixo (SO, middleware, runtime, dependências).

Exemplos:

• Heroku: pioneiro.
• AWS Elastic Beanstalk.
• Google App Engine: lançado 2008.
• Azure App Service.
• Vercel, Netlify: foco em frontend e Jamstack.
• Render, Railway, Fly.io: PaaS modernos.

Quando usar: equipes que querem focar em código, sem se preocupar com infraestrutura.

SaaS - Software as a Service

Provê software pronto via web. O cliente apenas usa, sem responsabilidade técnica. Pagamento por usuário/assinatura. Atualização e manutenção pelo provedor.

Exemplos:

• Microsoft 365 (Word, Excel, Teams, Outlook online).
• Google Workspace (Docs, Sheets, Gmail, Meet).
• Salesforce: CRM. Foi pioneiro do SaaS.
• Slack, Zoom, Notion, Asana, Trello: produtividade.
• Netflix, Spotify: também são SaaS para o consumidor final.
• Dropbox, Google Drive, OneDrive: armazenamento como serviço.

Quando usar: usuário final, sem necessidade de customização técnica.

FaaS - Function as a Service (Serverless)

Provê execução de funções sob evento. O cliente escreve apenas o código da função; o provedor cuida de tudo, inclusive escala automática a zero. Pagamento por execução.

Exemplos:

• AWS Lambda: pioneiro (2014).
• Azure Functions.
• Google Cloud Functions, Cloud Run.
• Cloudflare Workers: edge.
• Vercel Functions, Netlify Functions.

Quando usar: cargas de trabalho event-driven, microsserviços leves, integrações.

Outros "as a Service"

• BaaS (Backend as a Service): backend completo. Firebase (Google), Supabase, Amplify (AWS).
• DaaS (Desktop as a Service): desktop virtual remoto. Azure Virtual Desktop, AWS WorkSpaces.
• DBaaS (Database as a Service): banco gerenciado. AWS RDS, Aurora; Azure SQL; Google Cloud SQL.
• CaaS (Container as a Service): containers gerenciados. AWS ECS/Fargate, Azure Container Instances, Google Cloud Run.
• STaaS (Storage as a Service): armazenamento. S3, Blob.
• NaaS (Network as a Service): rede como serviço.
• SECaaS (Security as a Service): segurança gerenciada. Cloudflare, Akamai.
• AIaaS (AI as a Service): IA pronta. AWS SageMaker, Azure ML, Vertex AI.
• XaaS / EaaS / Anything as a Service: termo genérico.

Pirâmide de responsabilidade

Em cada modelo, a divisão entre cliente e provedor muda. Do mais "do cliente" ao mais "do provedor":

Mnemônico clássico: na pizza as a service (analogia do Albert Barron, 2014), on-premises é fazer pizza em casa do zero; IaaS é pizza take-and-bake; PaaS é pizza delivery; SaaS é jantar fora. Útil para entender a divisão de responsabilidades.

Pegadinha da Dotôra Soffya

Cuidado em prova: cada modelo de serviço tem nuance diferente sobre responsabilidade. SaaS: cliente cuida de credenciais e configuração; provedor cuida do resto. PaaS: cliente cuida de código + dados. IaaS: cliente cuida de SO + tudo acima. Banca cobra exatamente essa divisão.

Prof. Affonsinho explica, Módulo 03

3 Os 4 modelos de implantação

Nuvem Pública

A infraestrutura é aberta para uso público em geral. Pertence e é gerenciada por uma organização que oferece serviços (Amazon, Microsoft, Google). Multi-tenant: vários clientes compartilham os mesmos recursos físicos, isolados logicamente.

Vantagens: economia de escala, rápida adoção, sem CAPEX, escala global, inovação constante.

Desvantagens: dados em ambiente de terceiros, dependência de provedor, restrições regulatórias para algumas indústrias/países.

Exemplos: AWS, Azure, GCP, Oracle Cloud, IBM Cloud, Alibaba Cloud.

Nuvem Privada

A infraestrutura é provisionada para uso exclusivo de uma única organização (com múltiplas unidades de negócio). Pode ser hospedada on-premises (no data center da empresa) ou em terceiro especializado.

Vantagens: controle total, compliance facilitado, customização, segurança percebida maior.

Desvantagens: alto CAPEX, manutenção, escala limitada, custo de operação.

Exemplos: VMware vSphere/vCloud, OpenStack, Microsoft Azure Stack, Red Hat OpenShift on-premises, Nutanix.

Nuvem Comunitária

A infraestrutura é compartilhada por várias organizações que têm requisitos comuns (segurança, compliance, jurisdição). Pode ser hospedada por uma das organizações ou por terceiro.

Exemplo clássico: governo federal dos EUA tem AWS GovCloud, Azure Government, Google for Government. No Brasil, há iniciativas similares (TIC do Governo Federal). Outras: setor financeiro (FedRAMP), saúde, defesa.

Menos comum que pública/privada/híbrida.

Nuvem Híbrida

Combinação de duas ou mais nuvens (pública + privada, ou pública + comunitária), que permanecem distintas mas estão conectadas por tecnologia padronizada que permite portabilidade de dados e aplicações.

Casos de uso típicos:

• Cloud bursting: workload normal no privado; em pico, transborda para o público.
• Dados sensíveis no privado, processamento no público: regulação obriga manter dado em casa.
• DR para nuvem: produção on-premises; replicação para nuvem pública como contingência.
• Migração gradual: passar do on-prem para cloud público em etapas.

Soluções: AWS Outposts, Azure Arc, Google Anthos, VMware Cloud on AWS, Red Hat OpenShift.

Multi-cloud (não-NIST mas relevante)

Não é um dos 4 modelos NIST originais, mas é tendência atual: usar múltiplos provedores públicos simultaneamente. Razões:

• Reduzir lock-in.
• Aproveitar o melhor de cada provedor (AWS para compute, GCP para BigQuery/IA, Azure para integração com Office).
• Distribuir geograficamente.
• Resiliência (falha em um provedor, outro continua).
• Compliance regional.

Desafio: complexidade de gerenciar múltiplas plataformas. Ferramentas multi-cloud: Terraform, Crossplane, Anthos, Kubernetes.

Sovereign cloud

Categoria emergente: nuvem com dados que permanecem em jurisdição soberana específica. Atende a regulações de proteção de dados (LGPD, GDPR), Cloud Act dos EUA. Exemplo: Oracle, AWS, Microsoft, Google têm regiões dedicadas em alguns países.

Comparativo

Alerta do Examinador

Decora: NIST tem 4 modelos de implantação, não 5. Multi-cloud não é modelo NIST oficial; é prática. Híbrida = combinação de duas (ou mais) das três anteriores. Nuvem privada NÃO precisa estar on-premises (pode ser hospedada por terceiro mas exclusiva da organização). Banca cobra essas distinções.

Prof. Affonsinho explica, Módulo 04

4 Os grandes provedores

AWS - Amazon Web Services

Líder global em participação de mercado (cerca de 31-33% em 2026). Lançado em 14 de março de 2006 com o S3, depois EC2 em agosto. +200 serviços. Receita de mais de USD 100 bilhões anuais.

Serviços principais:

• Compute: EC2 (VMs), Lambda (FaaS), ECS/EKS/Fargate (containers).
• Storage: S3 (objeto), EBS (block), EFS (file), Glacier (archive).
• Banco: RDS, Aurora (relacional), DynamoDB (NoSQL), Redshift (data warehouse).
• Rede: VPC, Route 53 (DNS), CloudFront (CDN), Direct Connect.
• IA: SageMaker, Bedrock, Comprehend, Rekognition.
• Identidade: IAM, Cognito.
• Outros: CloudWatch (monitoramento), CloudFormation (IaC), Secrets Manager.

Microsoft Azure

Lançado 1º de fevereiro de 2010 (sob o nome "Windows Azure"). Forte em ambiente corporativo, integração com Microsoft 365 e Active Directory. Cerca de 22-25% do mercado.

Serviços:

• Compute: Virtual Machines, Functions, App Service, AKS (Kubernetes).
• Storage: Blob (objeto), Disk (block), Files, Queue.
• Banco: SQL Database, Cosmos DB (multi-modelo NoSQL).
• Rede: Virtual Network, Front Door, ExpressRoute.
• IA: Azure OpenAI Service, Azure ML, Cognitive Services.
• Identidade: Microsoft Entra ID (antes Azure AD).

Google Cloud Platform (GCP)

Lançado em 2008 com App Engine (PaaS). Forte em dados, BigQuery e IA/ML. Cerca de 10-12% do mercado.

Serviços:

• Compute: Compute Engine (VMs), Cloud Functions, Cloud Run, GKE (Kubernetes).
• Storage: Cloud Storage (objeto), Persistent Disk, Filestore.
• Banco: Cloud SQL, Spanner (NewSQL global), Firestore, Bigtable, BigQuery (data warehouse, popular para analytics).
• Rede: VPC, Cloud Load Balancing, Cloud CDN, Premium Tier (rede privada do Google).
• IA: Vertex AI, Gemini API, AutoML.
• Identidade: Cloud IAM.

Outros provedores

• IBM Cloud: forte em legado mainframe, SAP, Watson AI, blockchain.
• Oracle Cloud: forte em Oracle Database, ERP.
• Alibaba Cloud: dominante na China, presente na Ásia.
• Tencent Cloud, Huawei Cloud: chinesas.
• DigitalOcean, Linode (Akamai), Vultr, Hetzner: alternativas mais simples e baratas para desenvolvedores.
• Cloudflare: forte em CDN, edge, security, R2 (storage), Workers (serverless).

Tecnologias fundamentais

A nuvem é construída sobre algumas tecnologias-chave:

• Virtualização: VMware, Hyper-V (Microsoft), KVM (Linux), Xen. Permite múltiplas VMs num único hardware.
• Containers: Docker (2013) popularizou. Mais leves que VMs, compartilham kernel do host. Imagens, registro (Docker Hub, ECR, GCR).
• Orquestração: Kubernetes (k8s, lançado pelo Google em 2014, doado à CNCF em 2015) é o padrão. Concorrentes: Docker Swarm (em desuso), Nomad, OpenShift (Kubernetes da Red Hat).
• Microsserviços: arquitetura em que aplicação é composta de serviços pequenos, independentes, comunicando via API. Oposto do monolito.
• Service Mesh: Istio, Linkerd, Consul. Comunicação segura entre microsserviços.
• API Gateway: Kong, AWS API Gateway, Azure API Management.
• Mensageria: Kafka, RabbitMQ, AWS SQS/SNS, Azure Service Bus.

Edge computing e CDN

• Edge computing: leva computação para próximo do usuário/dispositivo. Reduz latência. Importante para IoT, jogos, vídeo, AR/VR.
• CDN (Content Delivery Network): cache distribuído em múltiplos PoPs. Akamai (1998, pioneiro), Cloudflare, AWS CloudFront, Azure Front Door, Google Cloud CDN, Fastly.
• Fog computing: camada entre edge e nuvem central.

Regiões, zonas, edge

• Região (Region): área geográfica. AWS tem ~30 regiões (us-east-1 Virgínia; sa-east-1 São Paulo).
• Zona de Disponibilidade (AZ): data centers separados dentro de uma região, com falha independente. Tipicamente 3 AZs por região.
• Edge location / PoP: pontos de presença para CDN, mais numerosos que regiões.
• Local zone, Wavelength, Outposts: extensões em locais específicos.

Boa prática: distribuir entre AZs para alta disponibilidade; entre regiões para DR.

Bate-papo com o Seu Teoffilo

Em prova federal, decora: AWS 2006 (líder), Azure 2010 (corporate), GCP 2008 (dados/IA). Esses são os 3 hyperscalers principais. Docker popularizou containers em 2013; Kubernetes orquestra desde 2014. Em prova de TI, decora também: VPC, IAM, S3 (AWS); Blob, Entra ID (Azure); BigQuery (GCP).

Prof. Affonsinho explica, Módulo 05

5 Recursos centrais

Tipos de storage em nuvem

• Object storage: armazena objetos (arquivos + metadados) acessíveis via API HTTP/REST. Praticamente ilimitado. AWS S3, Azure Blob, Google Cloud Storage, Cloudflare R2, Backblaze B2. Ótimo para backup, mídia, big data, sites estáticos. Não é montável como filesystem.
• Block storage: volumes que funcionam como disco virtual anexado a VM. Baixa latência. AWS EBS, Azure Managed Disks, GCP Persistent Disk. Para VMs, bancos de dados.
• File storage: filesystem em rede (NFS/SMB) para acesso compartilhado. AWS EFS, Azure Files, GCP Filestore. Para aplicações que precisam compartilhar arquivos entre VMs.
• Archive / Cold storage: armazenamento de muito longo prazo, baixíssimo custo, recuperação lenta. AWS S3 Glacier (Deep Archive), Azure Archive, GCP Archive. Útil para conformidade.

Bancos de dados em nuvem

• Relacionais gerenciados (RDBMS): PostgreSQL, MySQL, SQL Server, Oracle, MariaDB. AWS RDS, Aurora (compatível com MySQL/Postgres, mais escalável). Azure SQL, Azure Database for PostgreSQL/MySQL. GCP Cloud SQL.
• NoSQL chave-valor: AWS DynamoDB, Azure Cosmos DB, GCP Bigtable, Redis (ElastiCache).
• NoSQL documento: MongoDB Atlas, AWS DocumentDB, Cosmos DB.
• NoSQL grafo: AWS Neptune, Cosmos DB Gremlin.
• Data warehouse: AWS Redshift, Azure Synapse, Google BigQuery, Snowflake (multi-cloud, popular).
• Search: AWS OpenSearch (antigo Elasticsearch Service), Azure AI Search.
• NewSQL/distribuído: Google Spanner, CockroachDB, TiDB.
• Time-series: AWS Timestream, InfluxDB, TimescaleDB.

Rede em nuvem

• VPC (Virtual Private Cloud): rede virtual privada do cliente dentro do provedor. Isolada de outros clientes.
• Subnet: subdivisão da VPC. Pode ser pública (com IP roteável) ou privada (sem acesso direto à internet).
• Internet Gateway: porta de saída para internet.
• NAT Gateway: permite instâncias privadas acessarem internet sem expor IP público.
• Security Group: firewall de camada de instância (stateful).
• Network ACL (NACL): firewall de camada de subnet (stateless).
• VPN, Direct Connect, ExpressRoute, Cloud Interconnect: conexão privada entre data center on-prem e nuvem.
• VPC Peering: conecta duas VPCs.
• Transit Gateway: hub central que conecta múltiplas VPCs e on-prem.
• Load Balancer: distribui tráfego entre instâncias. ALB (camada 7), NLB (camada 4) na AWS.
• DNS gerenciado: AWS Route 53, Azure DNS, Cloud DNS.
• CDN: AWS CloudFront, Azure Front Door, Cloud CDN, Cloudflare.
• WAF: proteção contra ataques web. AWS WAF, Azure WAF, Cloudflare WAF.
• Shield, DDoS Protection: proteção contra DDoS.

Identidade em nuvem

• IAM (Identity and Access Management): controla quem (usuário/role) pode fazer o quê (ação) em qual recurso. AWS IAM, Azure RBAC + Microsoft Entra ID, GCP IAM.
• Roles: papéis assumidos por serviços ou usuários temporariamente.
• Políticas (Policies): regras JSON com permissões.
• Federação: integração com IdP externo (corporate AD, Google, Okta) via SAML, OIDC.
• SSO: AWS IAM Identity Center, Azure AD SSO, Google Workspace SSO.
• Service principals: identidades para aplicações.
• Managed Identities (Azure): identidades automáticas para recursos.

Boas práticas de IAM

1. Princípio do menor privilégio.
2. Sem credenciais hard-coded em código.
3. Rotação de chaves.
4. MFA obrigatório.
5. Roles em vez de usuários para serviços.
6. Separação por contas/projetos para ambientes (dev, staging, prod).
7. Logs de IAM monitorados (CloudTrail, Azure Monitor, Cloud Audit Logs).
8. Revisão periódica de permissões.

Dica do Raffinha

Em prova de TI, decora os 3 tipos de storage: object (S3, ilimitado, via API HTTP), block (EBS, anexa a VM como disco), file (EFS, NFS/SMB compartilhado). E lembra: VPC é rede virtual; IAM controla acessos; Security Group é firewall stateful por instância. Esses 5 conceitos resolvem boa parte das questões.

Prof. Affonsinho explica, Módulo 06

6 Modelo de responsabilidade compartilhada

Conceito central

Em nuvem, a segurança não é totalmente do provedor nem totalmente do cliente. Há divisão clara, conhecida como Shared Responsibility Model:

• Segurança DA nuvem (provedor): infraestrutura física, hardware, hypervisor, rede do data center, serviços gerenciados.
• Segurança NA nuvem (cliente): configuração de IAM, criptografia de dados, patches do SO (em IaaS), políticas, conformidade do uso.

A divisão exata varia conforme o modelo de serviço:

Pilares da segurança em nuvem

• Identidade: IAM, MFA, SSO, federação.
• Rede: VPC, security groups, NACL, WAF, DDoS protection.
• Dados: criptografia em repouso (KMS, HSM) e em trânsito (TLS).
• Aplicação: WAF, validação de entrada, dependency scanning.
• Detecção: GuardDuty (AWS), Defender for Cloud (Azure), Security Command Center (GCP).
• Compliance: configurações monitoradas, audit trail, certificações.
• Governança: políticas (Service Control Policies AWS, Azure Policy, Org Policy GCP).

KMS e HSM

• KMS (Key Management Service): serviço gerenciado para criar, armazenar, rotacionar chaves criptográficas. AWS KMS, Azure Key Vault, GCP Cloud KMS. Integrado a quase todos os serviços do provedor.
• HSM (Hardware Security Module): hardware dedicado certificado FIPS 140-2/140-3 que armazena chaves. AWS CloudHSM, Azure Dedicated HSM. Necessário para cargas com requisitos rígidos (PCI-DSS, governo).

Criptografia em nuvem

• Em repouso (at rest): dados armazenados são criptografados. Quase todos os serviços (S3, EBS, RDS) oferecem, geralmente com AES-256.
• Em trânsito (in transit): TLS 1.2+ entre cliente e serviço, e entre serviços.
• Em uso (in use): emergente. Confidential Computing com TEE (Trusted Execution Environment): Intel SGX, AMD SEV. Protege dado mesmo enquanto está em RAM.
• Modelos de chave: SSE-S3 (provedor gera e gerencia), SSE-KMS (chave gerenciada no KMS), SSE-C (cliente fornece).
• BYOK (Bring Your Own Key): cliente importa chave própria.
• HYOK (Hold Your Own Key): cliente mantém chave externa, provedor consulta.

Conformidade e certificações

• ISO/IEC 27001: SGSI (vimos na aula 9).
• ISO/IEC 27017: controles para serviços cloud.
• ISO/IEC 27018: proteção de PII em nuvem pública.
• ISO/IEC 27701: PIMS (gestão de privacidade).
• SOC 2 Type II: relatório AICPA sobre controles de serviço.
• PCI-DSS: cartões.
• HIPAA: saúde EUA.
• FedRAMP: setor público EUA.
• GDPR: UE.
• LGPD: Brasil.
• FISC: financeiro Japão.
• BACEN, SUSEP, ANS: regulações setoriais brasileiras.

LGPD em nuvem

Quando dados pessoais são tratados em nuvem (especialmente fora do Brasil), aplicam-se exigências da LGPD:

• Definição de papéis: controlador (cliente) e operador (provedor).
• Contrato com cláusulas específicas (acordo de processamento de dados).
• Avaliação de impacto à privacidade (RIPD/DPIA).
• Transferência internacional: regras do Art. 33 da LGPD (decisão de adequação, cláusulas-padrão, regras corporativas globais, consentimento específico).
• Notificação de incidentes (provedor avisa cliente em prazo razoável).
• Direito de portabilidade do titular.

Os principais provedores oferecem regiões no Brasil (AWS sa-east-1 São Paulo desde 2011; Azure Brazil South São Paulo; GCP southamerica-east1 São Paulo) para atender clientes que precisam manter dados em território nacional.

Pegadinha da Dotôra Soffya

Em prova federal, banca cobra: o provedor não é responsável pela configuração que o cliente faz dentro da nuvem. Bucket S3 público vazando dados é responsabilidade do cliente, não da AWS. Isso é o "shared responsibility model". O provedor garante a infraestrutura segura; o cliente garante o uso seguro.

Prof. Affonsinho explica, Módulo 07

7 Operação moderna

DevOps

O DevOps é a cultura e o conjunto de práticas que aproxima desenvolvimento (Dev) e operações (Ops). Surgiu por volta de 2008-2009 (movimento iniciado por Patrick Debois). Pilares (CALMS de Jez Humble):

• Culture: cultura de colaboração.
• Automation: automação de tarefas repetitivas.
• Lean: eliminação de desperdícios.
• Measurement: métricas (DORA: deploy frequency, lead time, change fail rate, MTTR).
• Sharing: compartilhamento de conhecimento.

Variações: DevSecOps (segurança como parte do ciclo), GitOps (Git como fonte de verdade), Platform Engineering (plataforma interna para devs).

CI/CD - Continuous Integration / Continuous Delivery / Deployment

• Continuous Integration: cada commit dispara build + testes automatizados.
• Continuous Delivery: pipeline que prepara para deploy a qualquer momento (com aprovação manual final).
• Continuous Deployment: deploy automático em produção após pipeline passar.

Ferramentas:

• GitHub Actions: integrado ao GitHub.
• GitLab CI/CD: integrado ao GitLab.
• Jenkins: pioneiro open source.
• CircleCI, Travis CI, Buildkite, Drone.
• AWS CodePipeline, Azure Pipelines, Google Cloud Build.
• ArgoCD, Flux: GitOps em Kubernetes.

Infraestrutura como Código (IaC)

O IaC trata configuração de infraestrutura como código versionado. Permite reproducibilidade, revisão por pares, rastreabilidade de mudanças, rollback. Ferramentas:

• Terraform (HashiCorp, 2014): declarativo, multi-cloud (AWS, Azure, GCP, Kubernetes, etc.). HCL (HashiCorp Configuration Language). Padrão de fato.
• OpenTofu: fork open source do Terraform após mudança de licença em 2023.
• AWS CloudFormation: específico AWS.
• Azure ARM Templates / Bicep: específico Azure. Bicep é a linguagem moderna sobre ARM.
• Google Cloud Deployment Manager.
• Pulumi: IaC com linguagens de programação reais (TypeScript, Python, Go).
• AWS CDK: similar ao Pulumi, gera CloudFormation.
• Ansible: configuração de servidores (procedural). Mais usado em config management que em provisioning.
• Chef, Puppet: legados de config management.
• Crossplane: gerencia infra via Kubernetes resources.

Contêineres e Kubernetes em produção

Recapitulando:

• Docker: cria imagens, executa containers localmente. Em produção, pouco usado isolado.
• Kubernetes: orquestrador de containers em escala. Gerencia deploy, rolling update, scaling, self-healing, service discovery, load balancing, secrets, config.
• Kubernetes gerenciado: AWS EKS, Azure AKS, Google GKE.
• OpenShift: Kubernetes da Red Hat com extras.
• Helm: package manager para Kubernetes (charts).
• Service Mesh: Istio, Linkerd. Comunicação cifrada e observável entre microsserviços.
• ArgoCD/Flux: GitOps para deploy contínuo no Kubernetes.

Monitoramento e observabilidade

• Métricas: Prometheus + Grafana (open source padrão), Datadog, New Relic, AWS CloudWatch.
• Logs: ELK Stack (Elasticsearch + Logstash + Kibana), Splunk, Loki, AWS CloudWatch Logs.
• Tracing: Jaeger, Zipkin, OpenTelemetry, AWS X-Ray, Datadog APM.
• Alerting: Alertmanager, PagerDuty, Opsgenie.
• SRE (Site Reliability Engineering): práticas do Google (SLI, SLO, SLA, error budget).

FinOps - Cloud Financial Operations

Disciplina que une finanças, engenharia e produto para gerir gasto em nuvem. Surgiu como prática no fim dos anos 2010, formalizada pela FinOps Foundation (parte da Linux Foundation, 2019).

Princípios:

• Times falam de custo (não só finanças).
• Decisões orientadas pelo valor de negócio.
• Cada um é responsável pelo seu uso.
• Modelo central capacita.
• Reports tempestivos e acessíveis.
• Aproveite o modelo de variabilidade da nuvem.

Mecanismos de economia:

• Pay-per-use (on-demand): paga pelo que usa, mais caro por hora.
• Reserved Instances / Savings Plans: compromisso de 1-3 anos com desconto de 30-72%.
• Spot/Preemptible: capacidade ociosa do provedor com desconto de até 90%, mas pode ser revogada com aviso de minutos.
• Auto-scaling: ajustar capacidade conforme demanda real.
• Right-sizing: dimensionar instâncias conforme uso real.
• Reservar storage, transferência: descontos por compromisso.
• Tagging: identificar custos por projeto, time.
• Budgets e alertas: prevenir surpresas.

Outros conceitos

• Cloud-native: aplicações projetadas para nuvem (microsserviços, containers, IaC, observabilidade).
• Lift-and-shift / rehost: migra app sem grandes mudanças.
• Replatform: mudanças mínimas para se beneficiar de cloud (ex: usar RDS em vez de banco em VM).
• Refactor / re-architect: reescrever para modelo cloud-native.
• 5 ou 7 Rs da AWS: Rehost, Replatform, Repurchase, Refactor, Retire, Retain, Relocate.
• Well-Architected Framework (AWS): 6 pilares - excelência operacional, segurança, confiabilidade, eficiência de performance, otimização de custos, sustentabilidade.

Coach Jeff manda a real

Em prova de TI, decora: DevOps = cultura + automação. CI/CD = build, test e deploy automáticos. IaC = infraestrutura como código (Terraform multi-cloud, CloudFormation AWS, ARM/Bicep Azure). Kubernetes orquestra containers. FinOps gere custo. Esses 5 conceitos resolvem boa parte das questões modernas.

! Encontro com o vilão

O PhD em Concursos é o vilão desta aula. Cobra jurisprudência de turma específica com voto vencido. Em informática, ele jura que SaaS exige instalação local (errado), que IaaS dispensa configuração de SO (errado, é justamente onde o cliente cuida do SO), que multi-cloud é um dos modelos NIST (errado, NIST tem 4 modelos), que nuvem privada precisa estar on-prem (errado, pode ser hospedada por terceiro), que provedor é responsável por bucket público mal configurado (errado, é responsabilidade do cliente).

O vilão da aula: PhD em Concursos

Ele troca IaaS × PaaS × SaaS, confunde os 4 modelos de implantação, mistura responsabilidade compartilhada, e exige saber se NIST tem 3 ou 4 modelos de cada coisa. Atenção redobrada nas questões.

Como derrotar o PhD:

1. Memorize a definição NIST: 5 características essenciais, 3 modelos de serviço, 4 modelos de implantação.
2. Memorize: IaaS = infra (cliente cuida do SO), PaaS = plataforma (cliente cuida da app), SaaS = software pronto (cliente quase nada).
3. Memorize: Pública, Privada, Comunitária, Híbrida. Multi-cloud não é NIST oficial.
4. Memorize: Responsabilidade compartilhada: provedor cuida DA nuvem; cliente cuida NA nuvem.
5. Memorize: AWS 2006, GCP 2008, Azure 2010. NIST SP 800-145 = 2011.
6. Memorize: ISO 27017 = controles cloud; ISO 27018 = PII em cloud público.

◆ Mapa mental

↻ Revisão relâmpago

5 minutos antes da prova, leia só isto.

1. Definição NIST SP 800-145 (2011): 5 características + 3 modelos serviço + 4 modelos implantação.
2. 5 características: on-demand self-service, broad network access, resource pooling, rapid elasticity, measured service.
3. IaaS: infraestrutura virtual. EC2, Azure VMs, GCE. Cliente cuida SO+aplicação.
4. PaaS: plataforma. Heroku, App Engine, App Service. Cliente cuida só da aplicação.
5. SaaS: software pronto. Microsoft 365, Salesforce, Google Workspace. Cliente cuida das credenciais e configurações.
6. FaaS/Serverless: funções por evento. AWS Lambda, Azure Functions, Cloud Functions, Cloudflare Workers.
7. Pública: aberta a qualquer cliente. Privada: exclusiva. Comunitária: grupo com requisito comum. Híbrida: combinação.
8. Multi-cloud: prática (não NIST oficial) de usar múltiplos provedores.
9. AWS 2006 (líder, S3 14/3/2006, EC2 ago/2006). GCP 2008. Azure 2010.
10. Virtualização: VMware, Hyper-V, KVM, Xen. Containers: Docker 2013. Kubernetes: Google 2014, CNCF 2015.
11. Microsserviços: aplicação em serviços pequenos comunicando via API. Oposto do monolito.
12. Edge computing + CDN: leva computação para próximo do usuário.
13. Storage: object (S3, Blob), block (EBS, Disk), file (EFS, Files), archive (Glacier).
14. Banco: relacional (RDS), NoSQL (DynamoDB), data warehouse (Redshift, BigQuery, Snowflake).
15. Rede: VPC, subnet, security group (stateful), NACL (stateless), VPN, Direct Connect, peering, transit gateway.
16. IAM: identidade. Roles, políticas, federação SSO. Princípio do menor privilégio.
17. Responsabilidade compartilhada: provedor cuida DA nuvem; cliente cuida NA nuvem.
18. Em IaaS: cliente cuida SO + middleware + app + dados. Em SaaS: cliente cuida basicamente das credenciais e configurações.
19. Criptografia: at rest (KMS, AES-256), in transit (TLS 1.2+), in use (TEE/SGX/SEV).
20. KMS: chaves gerenciadas. HSM: hardware certificado FIPS.
21. Compliance: ISO 27017 (controles cloud), 27018 (PII em cloud público), 27701 (PIMS), SOC 2, PCI-DSS, HIPAA, LGPD.
22. LGPD em nuvem: cliente é controlador; provedor é operador. Transferência internacional Art. 33.
23. DevOps (CALMS): Culture, Automation, Lean, Measurement, Sharing.
24. CI/CD: integração contínua + entrega/deploy contínuo. GitHub Actions, GitLab CI, Jenkins.
25. IaC: Terraform (multi-cloud), CloudFormation (AWS), ARM/Bicep (Azure), Pulumi. FinOps: gestão de custo cloud.

Você está pronto

25 pontos densos sobre nuvem. Bora para as questões.

? 10 questões comentadas

Foco em definição NIST, IaaS/PaaS/SaaS, modelos de implantação, hyperscalers, responsabilidade compartilhada, ISO cloud, LGPD em nuvem, IaC.

Dica do Fuffu

Decore os números fixos: NIST SP 800-145, 5 características essenciais, 3 modelos de serviço, 4 modelos de implantação. E lembre da pizza: SaaS = jantar fora; PaaS = pizza delivery; IaaS = pizza take-and-bake; on-prem = fazer em casa.