1. Le principe du moindre privilège (Principle of Least Privilege)

L’administration de la sécurité dans le Cloud commence par un axiome non négociable : toute entité (humain ou machine) se voit refuser tout accès par défaut et ne reçoit que les permissions strictement requises pour accomplir sa mission spécifique, pour une durée limitée.

2. La structure d’AWS IAM : Utilisateurs, Groupes, Politiques et Rôles

Le service AWS IAM (Identity and Access Management) structure la gouvernance des droits :

  • Politique IAM (Policy) : Document JSON formel définissant les autorisations selon la syntaxe standard :
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "LectureSeuleS3Educasuisse",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::educasuisse-cours-data",
        "arn:aws:s3:::educasuisse-cours-data/*"
      ]
    }
  ]
}

3. Les Rôles IAM (IAM Roles) : Éliminer les identifiants statiques

Il ne faut jamais inscrire des clés d’accès secrètes (Access Key / Secret Key) en clair dans un code applicatif ou un serveur virtuel :

Au lieu de cela, nous attribuons un Rôle IAM à l’instance EC2. Le service de métadonnées d’instance (IMDSv2) fournit alors des jetons cryptographiques temporaires renouvelés automatiquement toutes les 6 heures, rendant le vol d’identifiants inopérant.

4. Fédération d’identités d’entreprise et Azure Entra ID

En entreprise, on évite de créer des utilisateurs locaux dans chaque compte cloud. On configure une fédération SAML 2.0 ou OpenID Connect reliant le fournisseur de cloud à l’annuaire d’entreprise (ex: Microsoft Entra ID, anciennement Azure AD) avec activation obligatoire de l’authentification multi-facteurs (MFA).

Protection du compte racine (Root Account) : Le compte racine (créé avec l’adresse e-mail d’ouverture du compte AWS) possède les pleins pouvoirs absolus. Verrouillez-le avec une clé physique de sécurité matérielle (YubiKey), n’émettez aucune clé d’accès statique et réservez-le exclusivement à la clôture ou aux modifications de facturation.

PreviousNext