Privileged Access Workstation Cloud

Définition

Une Privileged Access Workstation (PAW) cloud est un poste de travail dédié utilisé exclusivement pour les tâches d'administration des environnements cloud à haute sensibilité. Le principe est l'isolation : les tâches d'administration cloud (modification de politiques IAM, accès aux consoles de production, gestion des secrets) ne sont jamais effectuées depuis des postes de travail généraux pouvant être compromis via le surf web ou les emails. Les postes généraux sont exposés à de nombreux vecteurs d'attaque (phishing, malwares via les navigateurs, documents piégés) qui peuvent compromettre les credentials cloud si ces accès y sont disponibles. Une PAW dédié réduit drastiquement ce risque en isolant les activités d'administration cloud dans un environnement dédié et durci, sans accès email ni navigation web générale. L'implémentation d'une PAW cloud s'articule autour de plusieurs principes. Isolation physique ou logique : une machine physique dédiée (préférable) ou une VM sécurisée dans une infrastructure de confiance. Durcissement du système : MicrosoftOS avec LAPS pour les mots de passe locaux, BitLocker, Defender for Endpoint, mise à jour automatique, FireFox en mode kiosque pour les consoles cloud uniquement. Réseau isolé : les PAWs sont sur un VLAN dédié avec accès uniquement aux URLs des consoles cloud (console.aws.amazon.com, portal.azure.com, console.cloud.google.com) via un proxy filtrant. Pour les accès cloud depuis une PAW, les mécanismes recommandés sont : MFA hardware (FIDO2/YubiKey) obligatoire, sessions PIM (Privileged Identity Management) JIT avec durée limitée, enregistrement complet des sessions d'administration (screen recording via CyberArk, BeyondTrust, ou Teleport), et utilisation de VMs cloud bastion via IAP TCP tunneling ou AWS SSM Session Manager plutôt que SSH direct. Les PAWs cloud virtuelles (Cloud PAW as a Service) sont une alternative aux PAWs physiques : Azure Virtual Desktop (AVD) ou AWS WorkSpaces dédiés à l'administration cloud, avec des politiques Conditional Access Azure imposant que les accès aux consoles cloud viennent uniquement de ces AVD gérés et conformes.