Cloud IAM — AWS, Azure, GCP

Principle of Least Privilege dans le cloud — mise en pratique

Appliquer le principe du moindre privilège dans le cloud est plus complexe qu'on ne l'imagine. Les politiques IAM cloud peuvent être extrêmement granulaires (AWS IAM a des centaines d'actions pour des dizaines de services), ce qui rend la définition précise des permissions nécessaires laborieuse. En pratique, les équipes accordent souvent AdministratorAccess ou des politiques très larges par facilité. Des outils comme AWS IAM Access Analyzer analysent les logs CloudTrail pour identifier les permissions accordées mais jamais utilisées et proposent des politiques "ajustées" au réel usage. La commande AWS "aws iam generate-service-last-accessed-details" révèle quels services un utilisateur ou rôle a réellement utilisés. Terraform Sentinel (HashiCorp) et OPA (Open Policy Agent) permettent d'automatiser la vérification des politiques IAM dans les pipelines CI/CD — bloquer un déploiement Terraform qui accorde AdministratorAccess avant qu'il ne soit appliqué.

Clés d'accès IAM — risques et alternatives

Les clés d'accès IAM (Access Key ID + Secret Access Key dans AWS, clés de service dans Azure/GCP) sont des credentials longue durée associés à des identités IAM. Elles sont fréquemment à l'origine de violations de sécurité cloud : clés exposées dans des repos GitHub (GitGuardian détecte des dizaines de milliers de clés AWS exposées quotidiennement), clés dans des images Docker publiées, ou clés dans des variables d'environnement hardcodées. Bonnes pratiques : éviter les clés d'accès longue durée au maximum — utiliser des rôles IAM pour les services cloud (Managed Identities Azure, IAM Roles AWS) et Workload Identity pour Kubernetes. Si des clés sont inévitables : rotation régulière (tous les 90 jours), stockage dans un secrets manager (AWS Secrets Manager, HashiCorp Vault, Azure Key Vault), et monitoring des activités anormales associées aux clés (alerte CloudTrail si une clé est utilisée depuis une nouvelle région). AWS a annoncé la désactivation progressive des clés IAM longue durée au profit des sessions temporaires.

Multi-cloud IAM — cohérence et gouvernance centralisée

La gestion IAM dans un environnement multi-cloud (AWS + Azure + GCP simultanément) est un défi de gouvernance. Chaque cloud a sa propre taxonomie (Rôles AWS vs Roles Azure vs IAM GCP), ses propres outils d'audit (CloudTrail vs Activity Log vs Cloud Audit Logs), et ses propres mécanismes de fédération. Une approche de gouvernance IAM multi-cloud utilise un IDP central (Azure AD/Entra ID, Okta) comme source d'autorité pour les identités humaines, fédéré vers les trois clouds. Les CIEM (Cloud Infrastructure Entitlement Management) — Ermetic, Sonrai Security, Wiz — offrent une vue unifiée des entitlements à travers les clouds, permettant de détecter les droits excessifs et les dérives de configuration IAM quelque soit le cloud. La réduction de la prolifération des identités cloud (comptes de service, rôles) via une gouvernance stricte (nommer, documenter, et auditer chaque identité cloud) est un travail continu indispensable dans les environnements multi-cloud.