Mise en œuvre de l'accès le moins privilégié avec un contrôle d'accès fin en utilisant IBM Cloud IAM

Appliquez le principe du moindre privilège dans votre entreprise IBM Cloud en utilisant une gestion fine des accès pour n'accorder aux utilisateurs que les autorisations minimales dont ils ont besoin pour exercer leurs fonctions.

Le principe du moindre privilège stipule que les utilisateurs ne doivent se voir accorder que le niveau d'accès minimal nécessaire à l'accomplissement de leurs tâches. IBM Cloud L'IAM fournit les outils et la flexibilité dont vous avez besoin pour mettre en œuvre ce principe de manière efficace au sein de votre entreprise.

Pourquoi l'accès au niveau le moins privilégié est-il important?

La mise en œuvre de l'accès le moins privilégié offre plusieurs avantages essentiels à votre organisation :

Réduction du risque de sécurité
En limitant les autorisations des utilisateurs, on réduit les dommages potentiels liés à la compromission des informations d'identification, aux menaces internes ou aux abus accidentels. Si un compte est compromis, l'attaquant ne peut accéder qu'aux ressources et effectuer les actions qui ont été accordées à ce compte.
Une plus grande conformité
De nombreux cadres réglementaires et normes industrielles exigent des organisations qu'elles mettent en œuvre des contrôles d'accès au moindre privilège. La gestion fine des accès vous aide à répondre à ces exigences de conformité et à démontrer l'existence de contrôles de sécurité adéquats lors des audits.
Un meilleur contrôle opérationnel
Lorsque les utilisateurs n'ont que l'accès dont ils ont besoin, il est plus facile de savoir qui peut effectuer des actions spécifiques et de résoudre les problèmes. Cette clarté améliore la responsabilité et facilite l'identification de la source des changements de configuration ou des incidents de sécurité.
Minimisation des modifications accidentelles
Les utilisateurs disposant d'autorisations excessives peuvent modifier ou supprimer des ressources critiques par inadvertance. En limitant l'accès au strict nécessaire, vous réduisez le risque d'erreurs coûteuses.

Comment IBM Cloud IAM permet un accès précis

IBM Cloud L'IAM utilise un modèle de contrôle d'accès basé sur les attributs (ABAC) qui offre la flexibilité et la granularité nécessaires pour mettre en œuvre efficacement l'accès au moindre privilège. Contrairement aux systèmes traditionnels de contrôle d'accès basés sur les rôles (RBAC) qui attribuent des autorisations générales, l'IAM vous permet de définir des politiques d'accès précises basées sur des attributs multiples.

Ciblage granulaire des ressources

Les politiques IAM permettent de cibler les ressources à plusieurs niveaux de granularité :

Accès à l'ensemble du compte
Accorder l'accès à toutes les ressources d'un type spécifique sur l'ensemble de votre compte.
Accès à un groupe de ressources
Limiter l'accès aux ressources au sein d'un groupe de ressources spécifique.
Accès à l'instance de service
Restreindre l'accès à une instance de service spécifique.
Accès au niveau des ressources
Contrôler l'accès à des ressources individuelles au sein d'un service, telles qu'un panier Object Storage spécifique ou une base de données particulière.

Cette flexibilité vous permet d'accorder exactement le niveau d'accès nécessaire sans sur-attribuer des permissions.

Attribution précise des rôles

IBM Cloud L'IAM fournit deux types de rôles prédéfinis qui fonctionnent ensemble pour permettre un accès précis :

Types de rôles IAM
Type de rôle Description Rôles
Rôles de gestion de plateforme Contrôler les actions administratives telles que la création d'instances de service, la gestion de l'accès et la visualisation de l'utilisation Afficheur, Opérateur, Editeur, Administrateur
Rôles d'accès au service Définir les actions que les utilisateurs peuvent effectuer au sein d'un service, telles que la lecture et l'écriture de données ou la gestion de configurations spécifiques à un service Lecteur, rédacteur, gestionnaire

Vous pouvez également créer des rôles personnalisés qui combinent des actions spécifiques pour répondre aux besoins particuliers de votre organisation, en veillant à ce que les utilisateurs aient exactement les autorisations dont ils ont besoin, et rien de plus.

Conditions basées sur les attributs

L'IAM prend en charge des conditions temporelles et contextuelles qui ajoutent un niveau de contrôle supplémentaire :

Ces conditions vous permettent de mettre en œuvre des politiques d'accès dynamiques qui s'adaptent à différents scénarios tout en maintenant le principe du moindre privilège.

Stratégies de mise en œuvre de l'accès le moins privilégié

Les stratégies suivantes vous aident à établir et à maintenir des contrôles d'accès au niveau le moins privilégié dans IBM Cloud.

Commencer avec un accès zéro

Dans IBM Cloud, les utilisateurs et les identifiants de service n'ont pas de permissions par défaut jusqu'à ce que vous les accordiez explicitement par le biais de politiques d'accès. Cette approche de refus par défaut garantit que l'accès est accordé intentionnellement plutôt qu'accidentellement. Lors de l'intégration de nouveaux utilisateurs, identifiez les ressources spécifiques auxquelles ils doivent accéder, déterminez les actions minimales qu'ils doivent effectuer et n'attribuez que les rôles et les règles qui leur permettent d'obtenir ces autorisations spécifiques.

Utiliser les groupes d'accès pour un accès basé sur les rôles

Les groupes d'accès constituent un moyen efficace de mettre en œuvre le principe du moindre privilège à grande échelle. Au lieu d'attribuer des politiques à des utilisateurs individuels, créez des groupes d'accès qui représentent des fonctions ou des responsabilités professionnelles spécifiques, puis attribuez les politiques appropriées à ces groupes.

Par exemple, vous pouvez créer des groupes d'accès tels que

Administrateurs de bases de données
Access pour gérer les instances de base de données dans des groupes de ressources spécifiques.
Développeurs d'applications
Accès au déploiement et à la gestion d'applications dans des environnements de développement.
Auditeurs de sécurité
Accès en lecture seule aux ressources de sécurité et de conformité.
Responsables de la facturation
Accès à la consultation et à la gestion des informations relatives à la facturation.

Cette approche offre la simplicité du contrôle d'accès basé sur les rôles tout en conservant la flexibilité des politiques basées sur les attributs. Lorsque le rôle d'un utilisateur change, il suffit de l'ajouter ou de le supprimer des groupes d'accès appropriés plutôt que de modifier les politiques individuelles.

Mise en œuvre de la segmentation des groupes de ressources

Organisez vos ressources en groupes de ressources en fonction de l'environnement, de l'application, de l'équipe ou d'autres limites logiques. Cette segmentation facilite l'attribution d'un accès approprié sans pour autant accorder des autorisations plus larges que nécessaire.

Par exemple, vous pouvez créer des groupes de ressources distincts pour :

  • Environnements de développement, de mise en scène et de production
  • Différentes applications ou projets
  • Différentes équipes ou départements
  • Services et infrastructures partagés

En alignant les politiques d'accès sur les groupes de ressources, vous pouvez vous assurer que les développeurs ont un accès complet aux ressources de développement tout en n'ayant qu'un accès en lecture aux ressources de production, ou qu'une équipe ne peut pas modifier accidentellement les ressources d'une autre équipe.

Appliquer le principe de la séparation des fonctions

Séparer les fonctions critiques entre différents utilisateurs ou rôles afin d'éviter qu'un seul utilisateur ait le contrôle total des opérations sensibles. Par exemple, séparez la possibilité de créer des ressources de celle de les supprimer, ou limitez le nombre d'utilisateurs ayant un accès administrateur aux services de gestion des comptes.

Examiner et auditer régulièrement l'accès

IBM Cloud fournit plusieurs outils pour vous aider à examiner et à vérifier régulièrement l'accès :

Accéder aux rapports
Générer des rapports montrant l'accès de chaque utilisateur à votre compte. Pour plus d'informations, voir Vérification de l'accès aux ressources.
Identification des politiques inactives
Identifier les politiques qui n'ont pas été utilisées récemment et qui ne sont peut-être plus nécessaires. Pour plus d'informations, voir Identifying inactive identities.
Suivi des activités
Contrôler les personnes qui accèdent aux ressources et les actions qu'elles effectuent. Pour plus d'informations sur le suivi des événements pour les restrictions IAM et contextuelles, voir la section Observabilité.
Journaux d'audit des politiques
Suivre les modifications apportées aux politiques d'accès au fil du temps. Pour plus d'informations, voir Événements de suivi d'activité pour IAM.

Planifiez des examens réguliers des accès pour vérifier que les utilisateurs ont toujours besoin de leur accès actuel, supprimez l'accès des utilisateurs qui ont changé de rôle ou quitté l'organisation, identifiez et supprimez les politiques inutilisées ou trop larges, et mettez à jour les politiques pour refléter les changements dans les responsabilités professionnelles.

Utiliser des profils de confiance pour les ressources informatiques

Pour les applications et les charges de travail s'exécutant sur des ressources informatiques, utilisez des profils de confiance au lieu de créer des identifiants de service avec des clés API. Les profils de confiance fournissent une autorisation fine sans qu'il soit nécessaire de gérer les informations d'identification, et ils révoquent automatiquement l'accès lorsque les ressources informatiques sont supprimées. Pour plus d'informations, voir Profils de confiance pour les utilisateurs et charges de travail fédérés.

Mettre en œuvre des restrictions basées sur le contexte

Combinez les politiques IAM avec des restrictions basées sur le contexte pour ajouter des contrôles au niveau du réseau. Les restrictions basées sur le contexte vous permettent de définir des zones de réseau et de restreindre l'accès en fonction du contexte réseau de la demande, par exemple en limitant l'accès administratif à des adresses IP spécifiques ou en empêchant l'accès à des données sensibles à partir de réseaux publics. Pour plus d'informations, voir Restrictions basées sur le contexte.

Créer des modèles IAM gérés par l'entreprise

Pour les organisations qui utilisent IBM Cloud, utilisez des modèles IAM gérés par l'entreprise pour normaliser la gestion de l'accès sur plusieurs comptes. Les modèles vous permettent de définir des groupes d'accès, des profils de confiance et des paramètres de sécurité de manière centralisée et de les appliquer de manière cohérente à tous les comptes enfants.

En utilisant cette approche, vous pouvez vous assurer que votre stratégie d'accès au niveau le moins privilégié est appliquée de manière cohérente à tous les comptes de votre entreprise :

  • Les politiques de sécurité sont appliquées de manière uniforme dans toute l'entreprise.
  • Les exigences de conformité sont respectées de manière cohérente.
  • La gestion de l'accès est simplifiée par la centralisation.
  • Les changements peuvent être déployés efficacement sur plusieurs comptes.
  • Les ressources appliquées à l'aide de modèles sont immuables par les utilisateurs du compte enfant, ce qui empêche toute dérive de l'accès et de la configuration de la sécurité.

Etapes suivantes

Maintenant que vous avez compris comment mettre en œuvre l'accès au moindre privilège avec IBM Cloud IAM, vous pouvez :