Amazon Q CLI: a IA que usei para trabalhar com AWS

Usei o Amazon Q CLI, a IA da AWS que roda no terminal, para listar instâncias, gerar relatórios e criar uma EC2 com Terraform e acesso por SSM. Neste post mostro o passo a passo, os prompts e por que ele foi a IA que mais usei no dia a dia com AWS.

Qual IA para qual tarefa

Nos meses anteriores à gravação, testei quatro IAs e passei a pagar por três. Cada uma ficou com um papel:

• ChatGPT: geração de imagem e construção de copy, pouco para desenvolvimento.
• Cursor: desenvolvimento, no modo agent. Encadeia bem as operações quando você passa contexto, mas para o que depende do terminal ainda o acho lento.
• Amazon Q: o campeão da minha rotina. Uso no modo agent e no terminal, onde ele tem o contexto da sua aplicação e da sua máquina.

No modo ask, a IA responde e você executa. No modo agent, ela executa as tarefas por você, com a sua autorização.

Para programação, os modelos da Claude (4, 3.7 e 3.5, disponíveis no Cursor e no Amazon Q) são os melhores que usei. O que decidiu foi a especialização em AWS: tentei as mesmas operações no Cursor e no Amazon Q, e o Cursor não chegou perto. Com um prompt contextualizado e completo, o Amazon Q entregou o que eu buscava com quase zero interrupção.

1Instale e abra o Amazon Q CLI

A documentação "Installing Amazon Q for command line" traz o passo a passo para macOS, Linux e Windows (no Windows, via WSL). Depois de habilitar, o plano gratuito me serviu por uns 10 a 12 dias; passado esse período, contratei o plano Pro.

Para abrir o assistente, digite:

q

Por estar no terminal, ele alcança o que está na sua máquina. Dentro da sessão, você executa um comando bash digitando ! na frente dele.

2Configure as credenciais só na sessão

Minha primeira recomendação: configure as credenciais a nível de sessão e não trabalhe com profile. Quem tem vários profiles pode esquecer de informar qual usar e mexer no ambiente errado. O meu medo não é o Amazon Q fazer algo errado, é eu pedir algo errado e ele executar.

Para testar, perguntei em linguagem natural:

quantas instâncias eu tenho rodando na virginia

Ele usou a CLI da AWS e listou as 5 instâncias EC2 da região: 4 de um cluster ECS com instâncias spot e uma de demonstração, todas T3 micro.

3Escolha o modelo e conheça o MCP

O comando /model mostra os modelos e deixa você escolher. Eu trabalhava com o Claude 4 Sonnet. O /help lista os demais comandos, e o que merece destaque é o MCP.

Imagine pedir um relatório de custos e, quando terminar, um aviso por Telegram. O relatório usa as credenciais da sessão; o aviso depende de o agente chegar ao seu Telegram. O MCP Server é essa porta USB que pluga a IA a um serviço, como e-mail, Telegram ou banco de dados.

/mcp

O comando lista os MCP servers configurados. No meu caso, havia um para o Postgres: depois de configurar o acesso uma vez, é só pedir para ele se conectar ao banco.

4Peça uma infraestrutura completa

O teste da gravação foi criar uma EC2 com Terraform. O resultado depende do prompt: quanto mais contexto e requisito, menos interrupção. Este foi o meu pedido:

No meu diretório 2-iac-code-generation, crie um novo diretório para um novo projeto de exemplo Terraform. Será um projeto web. Quero apenas um hello-world e dizer que o projeto foi criado com o Amazon Q. O acesso será através de SSM: crie uma role de acesso SSM para essa finalidade. Crie também um security group que vai estar aberto apenas na porta 80.

O Amazon Q pede autorização antes de cada ação (criar o diretório, criar o main.tf). Você acompanha e libera. Ao terminar, ele entrega o projeto com um README: copie o terraform.tfvars.example para terraform.tfvars e edite os valores (região, ambiente, tipo da instância, volume e se quer IP elástico).

Antes de aplicar, revisei o código: provider da AWS na versão 5 ou superior, Amazon Linux 2, entrada só na porta 80, role IAM com instance profile e user_data.

5Aplique, confira no console e destrua

Pedi que ele entrasse no diretório, inicializasse e rodasse um plan e, na sequência, um apply. Os comandos são os do Terraform:

terraform init
terraform plan
terraform apply

O init prepara o projeto, o plan mostra o que será criado e o apply cria. Em seguida, conferi no console da AWS:

• EC2: a instância Hello World Web Server já estava sendo criada, com IP público.
• Role: a política era a AmazonSSMManagedInstanceCore.
• Security group: entrada só na porta 80.

Abri o link que ele me entregou e a página respondeu.

Faltou acertar um detalhe: no rodapé, Hostname e Data aparecem como o texto literal $(hostname) e $(date). Eu poderia pedir a correção ao Amazon Q.

Para não deixar nada cobrando, pedi que ele destruísse os recursos:

terraform destroy

O que mais a IA entregou: relatórios

O Amazon Q também gerou relatórios em HTML. Um deles, de troubleshooting, documentou a migração de acesso por SSH para SSM numa aplicação web: objetivo, mudanças, log do sistema, link para a aplicação e botão para imprimir.

O outro foi um relatório de análise de custo e otimização, com gráfico de custo por serviço, análise das instâncias e recomendações. Os dados dele não são reais: pedi para modificar os dados da minha conta e combinei com dados de outras, só para mostrar o que é possível. Na segurança, ele apontou que as instâncias ainda usavam o IMDSv1 em vez do IMDSv2 e sugeriu criptografia por padrão, e fechou com um plano de ação em semanas.

Usei o Amazon Q também para mover várias EC2 de uma subnet para outra. O prompt pedia, para cada instância, gerar uma AMI, migrar mantendo IAM role, IPv4, security group e user data, e passar as informações da nova subnet.

Checklist

• Abra o Amazon Q CLI com q e escolha o modelo com /model.
• Configure as credenciais AWS só na sessão do terminal, sem profile.
• Teste com uma pergunta simples, como quantas instâncias EC2 estão rodando numa região.
• Use /mcp para ver os MCP servers e plugar a IA nos serviços que você usa.
• Escreva o prompt com contexto e requisitos completos: diretório, acesso por SSM, security group na porta 80.
• Autorize cada ação só depois de entender o que ela faz.
• Rode terraform plan e terraform apply, confira role, security group e instância no console e use terraform destroy ao terminar.

A IA acelera o trabalho, mas quem sabe o que pedir e o que conferir continua sendo você.