Least Privilege Cloud

Définition

Le principe du Least Privilege (moindre privilège) dans le cloud consiste à accorder à chaque utilisateur, service, application et processus uniquement les permissions minimales nécessaires pour accomplir sa tâche, et rien de plus. Dans les environnements cloud où les ressources sont accessibles via des APIs, une mauvaise gestion des permissions est la cause principale des incidents de sécurité cloud. L'application du moindre privilège dans le cloud est plus complexe que dans les systèmes traditionnels en raison de la granularité des permissions (des centaines d'actions IAM dans AWS, Azure et GCP), de la nature dynamique des environnements cloud (les applications évoluent rapidement, les permissions s'accumulent), et de l'interdépendance des ressources (un accès à un service peut donner accès indirect à d'autres services). Sur AWS, l'implémentation du moindre privilège passe par plusieurs mécanismes. IAM Access Analyzer identifie les permissions accordées mais jamais utilisées dans les 90 derniers jours et génère des politiques de moindre privilège basées sur l'usage réel. Les Permission Boundaries définissent le maximum de permissions qu'un rôle peut avoir, même si des politiques excessives lui sont attachées. Les SCPs (Service Control Policies) dans AWS Organizations définissent les limites de permissions pour tous les comptes de l'organisation. Sur Azure, le moindre privilège utilise les Azure RBAC Built-in Roles granulaires (préférer Storage Blob Data Reader à Storage Account Contributor), Privileged Identity Management (PIM) pour les accès Just-in-Time aux rôles privilegiés, et Azure Policy pour enforcer les contraintes de configuration (ex: imposer que les Storage Accounts ne permettent pas l'accès public). Sur GCP, IAM Recommender analyse les activités IAM et propose des rôles plus restrictifs correspondant à l'usage réel (remplacement de roles/editor par des rôles prédéfinis spécifiques). Les VPC Service Controls limitent le périmètre des données accessibles même si un compte a des permissions IAM larges. L'IAM drift (dérive des permissions) est inévitable dans les environnements cloud dynamiques : les permissions s'accumulent au fil du temps. Des outils CIEM (Cloud Infrastructure Entitlement Management) comme Ermetic, Sonrai Security, et CloudKnox (Microsoft) analysent continuellement les permissions effectives vs. permissions utilisées et alertent sur les dérives.