Azure RBAC

Définition

Azure Role-Based Access Control (RBAC) est le système d'autorisation d'Azure qui gère l'accès aux ressources Azure basé sur les rôles attribués aux identités (utilisateurs, groupes, service principals, managed identities). Azure RBAC permet d'appliquer le principe du moindre privilège en accordant uniquement les permissions nécessaires pour effectuer les tâches requises sur des ressources spécifiques. Azure RBAC fonctionne selon trois composants fondamentaux : le security principal (qui obtient l'accès), le role definition (ensemble de permissions définissant ce qui peut être fait), et le scope (portée d'application : management group, subscription, resource group, ou ressource individuelle). L'assignation d'un rôle (role assignment) lie ces trois éléments. Azure propose plus de 100 rôles intégrés (built-in roles). Les plus courants sont Owner (contrôle total incluant la gestion des accès), Contributor (création et gestion des ressources sans gestion des accès), Reader (lecture seule), et User Access Administrator (gestion des accès uniquement). Pour des besoins spécifiques, les Custom Roles permettent de définir des permissions granulaires sur des actions Azure (par exemple, autoriser uniquement le démarrage/arrêt des VMs). Les meilleures pratiques de sécurité Azure RBAC incluent : attribuer les rôles au niveau le plus bas nécessaire (resource group plutôt que subscription), utiliser des groupes Azure AD plutôt que des attributions individuelles pour faciliter la gestion, activer Azure AD Privileged Identity Management (PIM) pour les rôles privilégiés (accès just-in-time avec approbation et durée limitée), et réaliser des Access Reviews régulières pour détecter les permissions non utilisées ou inappropriées. Les vecteurs d'attaque sur Azure RBAC incluent : l'escalade de privilèges via des Custom Roles mal définis permettant des actions sensibles (Microsoft.Authorization/roleAssignments/write), les Service Principals avec des rôles Owner hérités de configuration legacy, et les Managed Identities avec des permissions excessives.