SEC03-BP01 Définir les conditions d’accès

Chaque composant ou ressource de votre charge de travail doit être accessible aux administrateurs, aux utilisateurs finaux ou à d’autres composants. Définissez clairement qui ou quoi doit avoir accès à chaque composant, choisissez le type d’identité approprié et la méthode d’authentification et d’autorisation.

Anti-modèles courants :

Niveau d’exposition au risque si cette bonne pratique n’est pas respectée : élevé

Directives d’implémentation

Chaque composant ou ressource de votre charge de travail doit être accessible aux administrateurs, aux utilisateurs finaux ou à d’autres composants. Définissez clairement qui ou quoi doit avoir accès à chaque composant, choisissez le type d’identité approprié et la méthode d’authentification et d’autorisation.

L’accès régulier aux Comptes AWS au sein d’une organisation doit être assuré par un accès fédéré ou un fournisseur d’identité centralisé. Vous devez également centraliser la gestion des identités et vous assurer qu’il existe une pratique établie pour intégrer l’accès à AWS au cycle de vie de l’accès des employés. Par exemple, lorsqu’un employé change de poste et de niveau d’accès, son appartenance à un groupe doit également évoluer de façon à refléter les nouvelles conditions d’accès qui lui sont associées.

Lorsque vous définissez des conditions d’accès pour des identités non humaines, déterminez quels applications et composants ont besoin d’un accès et comment les autorisations sont accordées. Dans cette optique, il est recommandé d’utiliser les rôles IAM créés avec le modèle d’accès du moindre privilège. AWS Les politiques gérées établissent des politiques IAM prédéfinies qui couvrent les cas d’utilisation les plus courants.

Les services AWS, tels que AWS Secrets Manager et AWS Systems Manager Parameter Store, peuvent aider à dissocier les secrets de l’application ou de la charge de travail en toute sécurité dans les cas où il n’est pas possible d’utiliser des rôles IAM. Dans Secrets Manager, vous pouvez établir une rotation automatique de vos informations d’identification. Vous pouvez utiliser Secrets Manager de façon à référencer les paramètres dans vos scripts, commandes, documents SSM, configuration et flux de travail d’automatisation en utilisant le nom unique que vous avez spécifié lors de la création du paramètre.

Vous pouvez utiliser Rôles Anywhere AWS IAM pour obtenir des informations d’identification de sécurité temporaires dans IAM pour les charges de travail qui s’exécutent en dehors d’AWS. Vos charges de travail peuvent utiliser les mêmes politiques et rôles IAM que ceux que vous utilisez avec les applications AWS pour accéder aux ressources AWS.

Dans la mesure du possible, privilégiez les informations d’identification temporaires à court terme plutôt que les informations d’identification statiques à long terme. Pour les scénarios dans lesquels vous avez besoin d’utilisateurs disposant d’un accès programmatique et d’informations d’identification à long terme, utilisez les dernières informations utilisées concernant les clés d’accès pour faire pivoter et supprimer les clés d’accès.

Les utilisateurs ont besoin d’un accès programmatique s’ils souhaitent interagir avec AWS en dehors de la AWS Management Console. La manière d’octroyer un accès par programmation dépend du type d’utilisateur qui accède à AWS.

Pour accorder aux utilisateurs un accès programmatique, choisissez l’une des options suivantes.

Ressources

Documents connexes :

Vidéos connexes :