Utilisateurs et groupes IAM

AWS IAM contrôle qui peut se connecter et ce que cette personne ou cette application est autorisée à faire. Le service est gratuit et repose sur trois éléments : les utilisateurs, les groupes et les rôles. 🔐

Un utilisateur IAM représente une personne ou une application. Il peut disposer d’un mot de passe de console pour se connecter manuellement, ainsi que de clés d’accès pour le code. Bonne pratique : activez toujours MFA.

Un groupe IAM regroupe plusieurs utilisateurs. Attachez une policy une seule fois et tous les membres du groupe obtiennent ces autorisations — sans modifier chaque utilisateur individuellement.

Voici quelques règles à retenir pour les groupes : un utilisateur peut appartenir à 10 groupes au maximum, les groupes ne peuvent pas être imbriqués et ne sont pas de véritables identités — ils servent uniquement à regrouper des autorisations.

L’utilisateur racine correspond à l’adresse e-mail utilisée lors de votre inscription et dispose de pouvoirs illimités. Protégez-le : activez MFA, supprimez ses clés et ne l’utilisez jamais au quotidien.

Les clés d’accès sont un identifiant et un secret qui permettent au code d’appeler AWS. Ne les placez jamais dans votre code source, renouvelez-les souvent et supprimez celles que vous n’utilisez pas.

IAM applique un principe de refus par défaut : rien n’est autorisé à moins qu’une policy ne le précise. Un utilisateur auquel aucune policy n’est attachée ne peut absolument rien faire.

Une policy gérée peut être réutilisée avec de nombreuses identités, tandis qu’une policy intégrée est liée à une seule identité. Préférez les policies gérées pour éviter les répétitions.

Dans la console, IAM → Users et Groups indiquent qui est qui, leurs autorisations et leur état MFA. Le rapport d’identifiants fournit un audit complet dans un fichier CSV.

Avec AWS Organizations, les Service Control Policies (SCPs) définissent des garde-fous entre les comptes. Elles n’accordent jamais d’accès — elles limitent uniquement ce que chacun peut faire, y compris l’utilisateur racine.

Plutôt que de créer un utilisateur IAM par employé, les grandes équipes utilisent la fédération des identités : les employés se connectent avec leur compte d’entreprise (Okta, Azure AD) et obtiennent un accès AWS temporaire.

En bref : les utilisateurs sont des identités individuelles, les groupes regroupent leurs autorisations et l’utilisateur racine reste protégé avec MFA. Ensuite : les rôles et les policies.