Just-in-Time Access Cloud

cloud

Définition

Just-in-Time (JIT) Access est un principe de sécurité Zero Trust consistant à accorder des accès privilegiés uniquement lorsqu'ils sont nécessaires, pour une durée limitée et justifiée, plutôt que de maintenir des droits privilégiés permanents. Dans le contexte cloud, JIT Access remplace les accounts permanents d'administration par des mécanismes d'élévation temporaire à la demande. Le JIT Access cloud s'implémente via différentes solutions selon le cloud provider. Sur Azure, PIM (Privileged Identity Management) permet d'activer temporairement des rôles Azure AD (Global Admin, Security Admin, Owner) avec une approbation possible par un manager, pour une durée maximale configurable (1h à 8h). Sur AWS, AWS IAM Identity Center avec des permission sets temporaires ou des solutions tierces (Teleport, StrongDM) implémentent le JIT. Sur GCP, les Access Approvals et les bindings IAM temporaires via des Cloud Functions ou Terraform répondent au même besoin. Les composants clés d'un système JIT Access complet sont : le catalogue des rôles disponibles (quels droits peuvent être demandés), le moteur d'approbation (auto-approuvé pour les accès bas risque, approbation manager pour les accès critiques), la durée maximale d'accès par type de rôle, l'enregistrement de la justification (pourquoi l'accès est demandé), l'audit logging complet (qui a demandé, qui a approuvé, quand, combien de temps), et la révocation automatique à l'expiration. Le JIT Access réduit drastiquement la surface d'exposition aux comptes privilegiés : si un compte admin permanent est compromis, l'attaquant a un accès illimité dans le temps. Avec JIT, même si les credentials sont compromis, ils expirent rapidement (1-4h typiquement) et toute utilisation hors des fenêtres d'approbation est détectable. Des solutions comme Teleport, StrongDM, BeyondTrust, et CyberArk Conjur implémentent le JIT Access cloud-agnostique, gérant l'élévation temporaire sur AWS, Azure, GCP, Kubernetes, et bases de données simultanément depuis une interface unifiée.

PIM Azure pour le JIT Access

Configurez PIM pour les rôles Azure critiques : activez PIM dans Entra ID Privileged Identity Management. Rendez les rôles sensibles (Owner, Global Admin, User Access Administrator) éligibles plutôt que permanents. Configurez des paramètres de rôle : durée maximale d'activation (2-4h), approbation requise pour Global Admin, justification obligatoire, et alertes par email à chaque activation. Déployez des révisions d'accès PIM mensuelles pour revalider les éligibilités. L'activation d'un rôle PIM génère une alerte auditée dans Sentinel.

JIT Access sur AWS

Sur AWS, implémentez le JIT via AWS IAM Identity Center (SSO) avec des permission sets temporaires. Créez une Lambda déclenché par un formulaire interne (ou Slack bot) qui crée un assignment IAM Identity Center temporaire, attend la durée approuvée, puis révoque le permission set. Alternativement, utilisez AWS STS AssumeRole avec une session courte (--duration-seconds 3600) et un mécanisme d'approbation en amont. AWS IAM Identity Center supporte aussi les workflows d'approbation natives dans certaines configurations.

JIT Access Kubernetes

Pour l'accès JIT aux clusters Kubernetes, Teleport Kubernetes Access intercepte kubectl et kubeconfig : les développeurs demandent un accès temporaire (kubectl certificate create), l'accès est approuvé avec une durée limitée (certificat Kubernetes à TTL court), et toutes les commandes kubectl exécutées pendant la session sont enregistrées. Teleport centralise aussi l'accès JIT SSH, DB, et Kubernetes avec une interface unique et des logs d'audit unifiés.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis