IaaS

Définition

L'Infrastructure as a Service (IaaS) est un modèle de cloud computing dans lequel un fournisseur tiers met à disposition des ressources informatiques virtualisées via Internet. Ces ressources comprennent les serveurs, le stockage, les réseaux et les systèmes d'exploitation, que les entreprises peuvent louer à la demande plutôt que d'investir dans une infrastructure physique coûteuse. Dans le modèle IaaS, le fournisseur cloud gère et maintient le matériel physique dans ses datacenters, tandis que le client garde le contrôle sur les systèmes d'exploitation, les middlewares, les applications et les données. Cette séparation des responsabilités est formalisée dans le Shared Responsibility Model. Du point de vue de la sécurité, l'IaaS présente des défis spécifiques. Le client est responsable de la sécurisation de tout ce qui s'exécute sur l'infrastructure : configurations des VMs, patchs des OS, firewalls applicatifs, chiffrement des données, gestion des accès IAM. Le fournisseur sécurise l'infrastructure physique (datacenters, hyperviseurs, réseaux physiques). Les principaux risques IaaS incluent les mauvaises configurations (buckets S3 publics, security groups trop permissifs), les vulnérabilités liées aux métadonnées d'instances (SSRF IMDS), l'escalade de privilèges via les rôles IAM mal configurés, et les mouvements latéraux entre instances. Les outils CSPM (Cloud Security Posture Management) permettent de détecter ces écarts de configuration en continu. Pour sécuriser une infrastructure IaaS, les bonnes pratiques incluent : appliquer le principe du moindre privilège pour tous les rôles IAM, activer les logs CloudTrail/Azure Monitor/GCP Audit Logs, chiffrer toutes les données au repos et en transit, utiliser des réseaux privés virtuels (VPC) avec des security groups restrictifs, déployer des solutions CWPP pour la protection des workloads, et mettre en place une surveillance continue via un SIEM cloud-native. Les trois grands fournisseurs IaaS sont AWS (EC2, S3, VPC), Microsoft Azure (Virtual Machines, Blob Storage, VNet) et Google Cloud Platform (Compute Engine, Cloud Storage, VPC). Chacun propose des services de sécurité natifs complémentaires pour aider les organisations à respecter leurs obligations de conformité (PCI-DSS, ISO 27001, SOC 2, HDS).