IAM : gestion des identités et accès

Le principe du moindre privilège

IAM (Identity and Access Management) gère qui peut faire quoi sur les ressources cloud. Le principe fondamental : chaque utilisateur ou service ne doit avoir que les permissions strictement nécessaires à sa tâche, jamais plus.

Utilisateurs, groupes et rôles

• Utilisateur : une identité individuelle (une personne, ou un service).
• Groupe : rassemble des utilisateurs pour leur appliquer des permissions communes en une fois.
• Rôle : un ensemble de permissions qu'une identité peut "endosser" temporairement, sans identifiants permanents attachés.

Exemple de politique IAM (format AWS)

{
  "Effect": "Allow",
  "Action": ["s3:GetObject"],
  "Resource": "arn:aws:s3:::mon-bucket/*"
}

Cette politique autorise uniquement la lecture de fichiers dans un bucket précis, rien d'autre.

Clés d'accès : le risque le plus fréquent

Les clés d'accès (access key + secret key) permettent à un programme de s'authentifier sans interface graphique. Une clé qui fuite (code source public sur GitHub, notamment) donne un accès direct au compte cloud à n'importe qui la trouve.

Cas concret

Un développeur commit accidentellement un fichier contenant une clé d'accès AWS sur un dépôt GitHub public. En quelques minutes, des robots automatisés scannant GitHub détectent la clé et l'utilisent pour lancer des dizaines de VM de minage de cryptomonnaie, générant une facture de plusieurs milliers d'euros avant que l'incident ne soit détecté et la clé révoquée.

Erreurs fréquentes

• Donner des permissions administrateur complètes par facilité, "pour ne pas avoir à y revenir" : viole le principe du moindre privilège et démultiplie l'impact d'une fuite.
• Committer des clés d'accès dans le code source, cause la plus fréquente de compromission de compte cloud.
• Ne jamais faire tourner ses clés d'accès (rotation régulière) : une clé ancienne compromise depuis longtemps sans le savoir reste active indéfiniment.

À retenir

• IAM applique le principe du moindre privilège : donner seulement les permissions nécessaires.
• Les rôles évitent d'attacher des identifiants permanents à un service.
• Une clé d'accès qui fuite dans du code public est exploitée en quelques minutes par des robots automatisés.

Mini-exercice

Un script automatisé doit uniquement lire des fichiers dans un bucket de stockage, jamais les modifier ni les supprimer. Quelle permission IAM lui donner ?

Réponse : uniquement l'action de lecture (ex. s3:GetObject), jamais d'écriture ni de suppression, conformément au principe du moindre privilège.