Google IAM

Définition

Google Cloud IAM (Identity and Access Management) est le système de contrôle d'accès de Google Cloud Platform (GCP) permettant de définir qui (membres) peut faire quoi (rôles/permissions) sur quelles ressources GCP. Il suit une philosophie similaire à AWS IAM et Azure RBAC, avec des concepts spécifiques à GCP. Les identités dans Google Cloud IAM incluent : les comptes Google (utilisateurs individuels), les Service Accounts (identités pour les applications et services GCP, équivalent des Instance Profiles AWS), les groupes Google (ensembles d'utilisateurs gérés dans Google Workspace), les domaines Google Workspace, les identités fédérées (via Workload Identity Federation pour les charges de travail hors GCP), et les identités spéciales (allUsers pour l'accès public, allAuthenticatedUsers). Les rôles GCP IAM sont de trois types. Les rôles de base (Basic roles : Owner, Editor, Viewer) sont hérités des premières versions de GCP et très permissifs ; ils sont déconseillés pour la production. Les rôles prédéfinis (Predefined roles) sont granulaires par service (roles/storage.objectViewer, roles/compute.instanceAdmin.v1) et constituent le standard recommandé. Les rôles personnalisés (Custom roles) permettent des combinaisons de permissions spécifiques. La politique IAM GCP (IAM Policy) est un document JSON attaché à une ressource GCP (projet, bucket, topic Pub/Sub) définissant les bindings : quel membre obtient quel rôle sur cette ressource. GCP supporte des politiques au niveau Organization, Folder, Project, et ressources individuelles, avec une hiérarchie d'héritage des politiques du parent vers l'enfant. Les vecteurs d'attaque sur Google Cloud IAM incluent : les Service Accounts avec des rôles Editor ou Owner permettant une compromission complète du projet si les credentials sont volés, les bindings public (allUsers) sur des ressources GCP (buckets GCS, topics Pub/Sub), et l'abus de l'impersonation de Service Account (iam.serviceAccounts.actAs permission).