Cloud IAM Policy

Définition

Une Cloud IAM Policy est un document définissant les permissions accordées à une identité (utilisateur, groupe, rôle, service) pour effectuer des actions sur des ressources cloud. La structure, la syntaxe, et les mécanismes d'évaluation des IAM Policies diffèrent entre les cloud providers (AWS, Azure, GCP), mais le principe est commun : Allow ou Deny des actions spécifiques sur des ressources spécifiques sous des conditions spécifiques. Sur AWS, une IAM Policy est un document JSON avec des Statements contenant : Effect (Allow/Deny), Action (les actions AWS autorisées ou interdites, ex: s3:GetObject), Resource (les ARNs des ressources concernées, ex: arn:aws:s3:::my-bucket/*), et optionnellement Condition (conditions supplémentaires comme aws:MfaPresent: true). Les politiques Deny explicites prévalent toujours sur les Allow (principe de la précédence du Deny). Sur Azure, les Role Definitions (roles) définissent des sets de permissions (Actions, NotActions, DataActions, NotDataActions) et des Assignable Scopes. Les Role Assignments attribuent un Role à une identité pour un scope spécifique (subscription, resource group, ressource). La logique d'évaluation Azure vérifie d'abord si un Deny Assignment existe (prévaut sur tout), puis si un Role Assignment permet l'action. Sur GCP, les IAM Bindings dans la Resource IAM Policy lient des Roles (collections de permissions) à des members (utilisateurs, groupes, ServiceAccounts, Workload Identity). Les Roles IAM GCP sont organisés en Basic roles (trop larges), Predefined roles (granulaires par service), et Custom roles (définition précise des permissions nécessaires). GCP évalue les permissions en cherchant un binding qui accorde la permission dans la hiérarchie des ressources (Organisation → Dossier → Projet → Ressource). La gestion des IAM Policies via Infrastructure as Code (Terraform) garantit la traçabilité (toute modification passe par une PR) et la réversion (git revert pour annuler une modification de policy). L'utilisation de templates Terraform pour les patterns récurrents (policy de moindre privilège pour les Lambda, policy read-only pour les auditeurs) standardise les permissions et réduit les erreurs.