CaaS

Définition

La Container as a Service (CaaS) est un modèle de cloud computing qui permet aux développeurs et aux équipes opérationnelles de gérer et déployer des conteneurs sans administrer l'infrastructure sous-jacente. Le fournisseur CaaS gère l'orchestration des conteneurs, la planification des workloads, la mise à l'échelle automatique et la gestion du cycle de vie des nœuds. AWS ECS, AWS EKS, Azure AKS, Google GKE et Google Cloud Run sont des exemples représentatifs de CaaS. Le CaaS se situe entre l'IaaS (où l'utilisateur gère les VMs) et le PaaS (où l'utilisateur déploie uniquement du code). Dans un modèle CaaS, l'utilisateur fournit des images de conteneurs, définit des configurations de déploiement (YAML Kubernetes, Task Definitions ECS) et laisse la plateforme gérer la planification et l'exécution. La sécurité CaaS couvre plusieurs dimensions. Au niveau des images, il faut scanner systématiquement les images Docker pour détecter les CVE (Trivy, Grype, Snyk Container), utiliser des images de base minimales (Distroless, Alpine), et maintenir un registre de conteneurs sécurisé avec contrôle d'accès (AWS ECR avec signing, Azure Container Registry avec Content Trust). Au niveau de l'orchestration, la sécurisation de Kubernetes RBAC, des Network Policies, des Pod Security Standards et des Admission Controllers est essentielle. Les vecteurs d'attaque spécifiques au CaaS incluent : l'échappement de conteneur (container escape) exploitant des vulnérabilités du runtime (runc, containerd), l'abus des conteneurs privilégiés, l'exploitation des métadonnées de l'instance cloud depuis un conteneur, et les mouvements latéraux via des NetworkPolicies absentes ou trop permissives. Les solutions CWPP (Cloud Workload Protection Platform) comme Falco, Sysdig Secure, Aqua Security et StackRox offrent une protection runtime pour les environnements CaaS, détectant les comportements anormaux (shell dans un conteneur, accès à des fichiers sensibles, connexions réseau inattendues) en temps réel.