Melhores Práticas do SDK da Nuvem

O uso seguro, eficiente e bem escopado do SDK da AWS mantém os serviços Python rápidos sob carga e limita o raio de explosão quando credenciais vazam ou scripts visam a conta errada.

Como Usar Esta Lista

• Aplique em toda nova integração com boto3 antes do tráfego de produção.
• Reforce as configurações de IAM e de retentativa através de uma biblioteca interna compartilhada, não por copiar e colar em cada serviço.
• Revise após incidentes envolvendo throttling, acesso à conta errada ou exposição de credenciais.
• Verifique com Padrões de Credenciais e Sessão para configuração de identidade.

A - Credenciais e Identidade

• Não use chaves de acesso de longa duração em código ou imagens. Use perfis IAM, perfis SSO ou federação OIDC de CI.
• Chame sts.get_caller_identity() em CLIs destrutivas. Confirme a conta antes de operações de exclusão.
• Escope as políticas IAM para ARNs de recursos e ações necessárias. Evite ações * em recursos *.
• Use perfis AWS separados por conta. AWS_PROFILE documentado em runbooks e jobs de CI.
• Rotacione e audite chaves de acesso se usuários legados permanecerem. Prefira plano de migração para perfis SSO.

B - Clientes, Sessões e Desempenho

• Crie boto3.Session uma vez por contexto de processo. Reutilize clientes entre requisições em workers e manipuladores Lambda.
• Defina region_name explícita nas sessões. Evite redirecionamentos entre regiões ambíguos e bugs de assinatura.
• Ajuste as retentativas e timeouts de botocore.config.Config. Corresponda à latência p99 do serviço e ao comportamento de throttling.
• Use paginadores para todas as operações de listagem. Nunca assuma que uma única página está completa.
• Aumente max_pool_connections para uploads paralelos. Evite a exaustão do pool de conexões.

C - Dados e Segurança

• Busque segredos do Secrets Manager/SSM com cache TTL. Não a cada requisição HTTP sem limites.
• Nunca registre SecretString, URLs pré-assinadas ou cabeçalhos de autenticação. Registre apenas ARNs e IDs de requisição.
• Use SSE e bloqueie acesso público para buckets S3. URLs pré-assinadas com expiração curta para acesso externo.
• Valide códigos de erro, não strings de mensagem. Ramifique em ClientError.response["Error"]["Code"].
• Mantenha payloads abaixo dos limites do serviço. Armazene blobs grandes no S3; passe referências em mensagens SQS.

D - Confiabilidade

• Manipule throttling com backoff e jitter. Combine retentativas do botocore com limites no nível do aplicativo.
• Torne os consumidores idempotentes. SQS e Lambda podem entregar duplicatas - use chaves de deduplicação.
• Use DLQs e alarmes na profundidade da fila. Mensagens venenosas não devem girar para sempre.
• Exclua mensagens SQS apenas após processamento bem-sucedido. Ajuste o timeout de visibilidade para o p99 do manipulador.
• Teste com moto/LocalStack em testes unitários. Testes de fumaça em conta sandbox para caminhos de integração.

E - Operações

• Fixe as versões do boto3/botocore em lockfiles. Comportamento reproduzível entre laptops e CI.
• Envolva chamadas de nuvem com logs estruturados. Inclua serviço, operação, latência e ID de correlação.
• Exponha métricas do CloudWatch para taxas de erro do SDK. Alerte sobre picos de AccessDenied após mudanças no IAM.
• Documente quais perfis cada serviço usa. A equipe de plantão não deve adivinhar o perfil de execução às 3 da manhã.
• Prefira IaC para criação de recursos. boto3 em aplicativos para operações em tempo de execução, não scripts de administração únicos sem revisão.

FAQs

Relacionados

• Noções Básicas do Boto3 - sessões, clientes, recursos
• Padrões de Credenciais e Sessão - perfis e roles
• Retentativa, Paginação e Throttling - chamadas resilientes
• Secrets Manager & SSM - recuperação de segredos
• Melhores Práticas de Automação de Infraestrutura - complemento de IaC

Versões da Stack: Esta página foi escrita para Python 3.14.0 (estável 3.14, manutenção 3.13), FastAPI 0.115+, Django 5.2, Flask 3.1, Pydantic 2, PyTorch 2.6+, pandas 2.2+, Polars 1.x, ruff 0.9+, e uv 0.6+.