Politique Gestion Accès Privilégiés PAM

Architecture PAM et coffre-fort de mots de passe

Une architecture PAM couvre 3 domaines : (1) Coffre-fort de credentials (Password Vault) — stockage chiffré de tous les mots de passe et clés SSH des comptes privilégiés, rotation automatique périodique (ex. : tous les 30 jours ou après chaque usage), check-out et check-in des credentials (l'administrateur emprunte le mot de passe pour une durée limitée) ; (2) Session management — proxy sécurisé interceptant les sessions d'administration (RDP, SSH, HTTP), enregistrement complet de la session (video recording), possibilité de terminer la session en temps réel si activité suspecte détectée ; (3) Just-In-Time Access (JIT) — les comptes privilégiés n'existent pas en permanence mais sont créés pour la durée de la tâche et supprimés ensuite (Ephemeral Accounts), ou les droits privilégiés sont accordés temporairement à un compte standard (Privilege Elevation).

Le principe PEDM (Privilege Elevation and Delegation Management) gère l'élévation temporaire de privilèges sur les endpoints : un utilisateur standard peut obtenir temporairement des droits admin locaux pour une tâche spécifique, avec approbation workflow et enregistrement. CyberArk EPM, BeyondTrust PowerBroker, Delinea Agent, et les solutions EDR avec PEDM couvrent ce besoin.

Revue des droits d'accès (Access Review / Recertification)

La recertification périodique des accès privilégiés est une exigence de conformité clé : PCI-DSS Requirement 8.6 (revue des comptes utilisateurs et de leurs droits), ISO 27002 contrôle 5.18 (droits d'accès — revue et révocation). Un processus de recertification typique : liste des comptes privilégiés exportée depuis l'AD, IAM ou PAM → envoi aux responsables (managers, responsables applicatifs) → revue et validation/invalidation de chaque accès → révocation automatique des accès non recertifiés dans un délai fixé → rapport de recertification archivé comme preuve de conformité.

La fréquence recommandée des revues d'accès varie selon la sensibilité : comptes administrateurs domaine (mensuel), comptes administrateurs serveurs (trimestriel), comptes applicatifs privilégiés (semestriel). Les outils IGA (Identity Governance and Administration — SailPoint, Saviynt, IBM IGI, Microsoft Identity Governance) automatisent ces campagnes de recertification.

Comptes de service et secrets applicatifs

Les comptes de service (service accounts) et les secrets applicatifs (clés API, mots de passe de bases de données dans les fichiers de configuration) sont souvent les comptes privilégiés les plus mal gérés : ils sont rarement changés, leurs droits sont souvent excessifs, et ils sont parfois hardcodés dans le code source (secret sprawl). Des scanners de secrets (GitGuardian, TruffleHog, GitHub Advanced Security — Secret Scanning) détectent les secrets exposés dans les repositories de code source.

Des solutions dédiées à la gestion des secrets applicatifs (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, CyberArk Conjur, Infisical) permettent aux applications de récupérer leurs credentials de manière dynamique depuis un vault sécurisé, sans les stocker dans des fichiers de configuration statiques. Cette approche élimine le secret sprawl et permet la rotation automatique des credentials sans redéploiement applicatif.