Fondamentaux de IAM

La gestion des identités et des accès (IAM) est la discipline qui consiste à garantir que les bonnes identités disposent des bons accès aux bonnes ressources au bon moment.

Elle constitue le socle de la sécurité des organisations.

Trois concepts distincts :

• Identification : déclarer qui vous êtes (un nom d’utilisateur).
• Authentification : le prouver (un mot de passe ou une clé).
• Autorisation : déterminer ce que vous avez le droit de faire.

Une identité représente une entité : un utilisateur humain, un compte de service ou une machine.

Dans les systèmes de contrôle d’accès, une identité authentifiée qui agit sur une ressource est souvent appelée un sujet.

Les identités suivent un cycle de vie :

• Arrivée : l’accès est attribué lorsqu’une personne rejoint l’organisation.
• Changement de poste : l’accès est mis à jour lorsque les rôles changent.
• Départ : l’accès est supprimé lorsque la personne quitte l’organisation.

Ne pas supprimer les accès laisse des comptes orphelins dangereux.

L’IAM centralise l’authentification afin que les utilisateurs prouvent leur identité une seule fois auprès d’un fournisseur d’identité (IdP) de confiance.

Cela évite de disperser des systèmes de mots de passe incohérents entre les applications.

Une fois l’utilisateur authentifié, l’autorisation détermine les permissions.

Les modèles courants comprennent le RBAC (fondé sur les rôles) et l’ABAC (fondé sur les attributs), qui seront étudiés dans la prochaine leçon.

Le troisième A de l’AAA (Authentication, Authorization, Accounting) consiste à journaliser qui a fait quoi.

Les journaux d’audit facilitent les enquêtes, la conformité et la détection des abus.

Les comptes d’administrateur et de superutilisateur sont des cibles de grande valeur. La gestion des accès privilégiés (PAM) ajoute des contrôles supplémentaires :

• Élévation juste à temps
• Enregistrement des sessions
• Stockage sécurisé des identifiants

Toutes les identités ne sont pas humaines. Les comptes de service, les clients d’API et les charges de travail ont également besoin d’une identité.

Ils sont souvent plus nombreux que les utilisateurs humains et nécessitent une rotation et une définition rigoureuses de la portée des identifiants.

Un annuaire stocke de manière centralisée les identités et les groupes. Les annuaires fondés sur LDAP et les annuaires cloud en sont des exemples.

Les applications interrogent l’annuaire au lieu de gérer leur propre liste d’utilisateurs.

La plupart des compromissions impliquent des identifiants volés ou utilisés à mauvais escient. Une IAM robuste :

• Réduit la surface d’attaque.
• Applique une politique cohérente.
• Rend les accès vérifiables et révocables.

Quelle est la différence entre l’authentification et l’autorisation ?

Vous avez appris les fondamentaux de l’IAM.

• Faites la distinction entre l’identification, l’authentification et l’autorisation.
• Gérez le cycle de vie des arrivées, changements de poste et départs.
• Protégez les identités privilégiées et les identités de machines, et conservez les journaux d’audit.

Ensuite, nous comparerons les modèles de contrôle d’accès RBAC et ABAC.