AWS IAM Security (Sécurité des identités AWS)
cloudDéfinition
AWS Identity and Access Management (IAM) est le service central de contrôle d'accès d'Amazon Web Services, permettant de définir qui peut faire quoi sur quelles ressources cloud. La sécurité IAM repose sur le principe du moindre privilège : chaque entité (utilisateur, rôle, service) ne doit disposer que des permissions strictement nécessaires à ses fonctions. Les bonnes pratiques incluent la désactivation du compte root AWS (avec MFA obligatoire), la préférence des rôles IAM sur les clés d'accès statiques, l'utilisation de politiques basées sur les conditions (IP source, heure, MFA requis), et l'audit régulier via AWS IAM Access Analyzer. Les erreurs courantes comme les politiques AdministratorAccess trop larges, les clés d'accès hardcodées dans le code source, ou les rôles S3 publics sont détectées par des outils CSPM comme AWS Security Hub, Prisma Cloud ou Prowler. SCPs (Service Control Policies) dans AWS Organizations permettent de définir des garde-fous organisationnels irréversibles.
Description
AWS IAM est le service central de contrôle d'accès d'Amazon Web Services, reposant sur le principe du moindre privilège. Les identités IAM (utilisateurs, rôles, groupes) sont associées à des politiques JSON définissant précisément les actions, ressources et conditions autorisées dans chaque compte AWS.
Contexte cloud
Les meilleures pratiques IAM AWS incluent la désactivation des clés root, l'utilisation d'IRSA (IAM Roles for Service Accounts) sur EKS, l'IAM Access Analyzer pour générer des politiques least privilege basées sur l'activité CloudTrail réelle, et les Permission Boundaries pour déléguer la création de rôles sans risque d'escalade.
Points clés
- Audit des permissions inutilisées :
aws iam generate-service-last-accessed-details --arn ROLE_ARNpour identifier les services non utilisés à retirer - SCPs Organizations :
Deny iam:CreateAccessKeysur tous les comptes pour interdire la création de clés d'accès statiques à l'échelle de l'organisation - Outil Prowler :
prowler aws --checks iam_root_hardware_mfa_enabled,iam_password_policy_uppercasepour audit CIS AWS IAM automatisé
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis