Appliquez le principe du moindre privilège aux identités humaines et programmatiques sur Alibaba Cloud en réduisant la durée et la surface d'exposition des identifiants.
Les identités cloud se divisent en deux catégories : les identités humaines et les identités programmatiques.
Une identité humaine correspond à une personne (administrateur sécurité, ingénieur d'exploitation ou développeur) qui gère les ressources cloud via la console Alibaba Cloud, l'interface CLI ou des clients spécialisés.
Une identité programmatique désigne une application ou un service qui accède aux ressources et données cloud via les API Alibaba Cloud.
La gestion des identités sur Alibaba Cloud repose sur deux principes fondamentaux du moindre privilège : minimiser la durée d'exposition et réduire la surface d'exposition.
Pour limiter la durée d'exposition, privilégiez les identités ou identifiants temporaires plutôt que statiques, et renouvelez régulièrement ces derniers lorsqu'ils sont permanents.
Afin de restreindre la surface d'exposition, stockez les clés et identifiants de manière sécurisée. Ne les partagez ni ne les réutilisez jamais entre différentes applications ou types d'identités.
Les sections suivantes détaillent les bonnes pratiques applicables à chaque type d'identité.
Identités humaines
Évitez d'utiliser l'identité racine
L'identité racine dispose de permissions complètes sur toutes les ressources du compte. Une fuite de son mot de passe entraîne un risque critique. Le partage de cette identité entre plusieurs personnes accroît la probabilité de compromission et empêche toute traçabilité dans les journaux opérationnels. À l'exception de quelques scénarios spécifiques, utilisez des identités Resource Access Management (RAM) pour accéder aux ressources cloud. Pour protéger l'identité racine, suivez les recommandations de la section « Mettre en place un mécanisme de connexion plus sécurisé » ci-dessous.
Mettez en œuvre une authentification unifiée pour les identités humaines
Un fournisseur d'identité (IdP) centralisé simplifie la gestion des identités et garantit la cohérence entre les identités locales et cloud. Les mouvements de personnel ne nécessitent alors des mises à jour qu'à un seul endroit, ce qui élimine la gestion distincte des identifiants des utilisateurs RAM. Certaines organisations restreignent en outre l'accès à l'IdP au réseau intranet de l'entreprise.
Alibaba Cloud prend en charge le SSO basé sur SAML 2.0. Intégrez votre IdP via RAM SSO afin d'unifier l'authentification des identités humaines. Si votre organisation possède plusieurs comptes Alibaba Cloud, recourez à CloudSSO pour centraliser la configuration SSO sur l'ensemble des comptes.
Mettez en place un mécanisme de connexion plus sécurisé
Des identifiants compromis permettent à des attaquants de se connecter et de causer des dommages irréparables. Protégez tous les identifiants liés aux identités humaines en appliquant les mesures suivantes :
Renforcez la complexité des mots de passe. Exigez des mots de passe longs combinant chiffres, lettres majuscules et minuscules ainsi que caractères spéciaux. Pour les utilisateurs RAM, les administrateurs peuvent définir des règles de complexité des mots de passe afin d'imposer ces exigences.
Proscrivez la réutilisation des mots de passe. L'usage d'un même mot de passe sur plusieurs services ou par plusieurs utilisateurs élargit la surface d'exposition. En cas de compromission d'un seul identifiant, les attaquants pourraient accéder à tous les services protégés par ce mot de passe. Attribuez un mot de passe unique à chaque service et à chaque utilisateur.
Renouvelez les mots de passe régulièrement. Plus un mot de passe reste actif longtemps, plus le risque de fuite augmente. Concernant les utilisateurs RAM, les administrateurs peuvent configurer une politique d'expiration dans les règles de complexité des mots de passe pour imposer un renouvellement périodique.
Activez l'authentification multifacteur (MFA). La MFA ajoute une seconde couche de vérification lors de la connexion ou de l'exécution d'opérations sensibles. Alibaba Cloud propose diverses méthodes de vérification, notamment des appareils MFA virtuels et des clés de sécurité U2F. Activez la MFA pour toutes les identités humaines. Les organisations utilisant un IdP local doivent également activer la MFA côté IdP.
Privilégiez l'endossement de rôle aux identités statiques
Les identités temporaires réduisent la surface d'exposition et limitent les risques de fuite d'identifiants. L'accès basé sur les rôles permet aussi de modéliser les permissions selon les fonctions métier, normalisant ainsi le contrôle d'accès.
Gérez les identités humaines via le SSO en vous appuyant sur l'endossement de rôle.
Identités programmatiques
N'utilisez pas les AccessKeys du compte Alibaba Cloud
Un AccessKey associé au compte Alibaba Cloud confère un contrôle administratif total et sans restriction, équivalent à celui de l'identité racine. Il est impossible de le limiter par des conditions telles que l'IP source ou l'heure d'accès, et ses permissions ne sauraient être restreintes. Utilisez toujours des AccessKeys d'utilisateurs RAM pour tout accès programmatique.
Évitez de partager les AccessKeys
Le partage d'AccessKeys impose des permissions trop larges et amplifie l'impact potentiel d'une fuite. Partager des clés entre environnements s'avère particulièrement risqué : une fuite dans un environnement de test moins sécurisé peut compromettre directement la production.
Créez un AccessKey unique pour chaque application, module et environnement. N'accordez à chaque clé que les permissions strictement nécessaires à son cas d'usage spécifique.
Renouvelez les AccessKeys régulièrement
Plus un AccessKey reste actif longtemps, plus le risque de fuite augmente. Créez périodiquement une nouvelle clé, remplacez celle en cours d'utilisation, puis désactivez et supprimez l'ancienne. Utilisez Secrets Manager dans KMS pour automatiser ce processus de renouvellement.
Appliquez également un renouvellement régulier à tous les autres identifiants programmatiques.
Utilisez des identifiants temporaires plutôt que statiques
Un AccessKey statique comprend un AccessKey ID et un Secret fixes qui persistent jusqu'à leur suppression. Les identifiants statiques comportent des risques importants : un développeur pourrait par exemple coder une clé en dur et la publier dans un dépôt public, provoquant ainsi une fuite.
Recourez à l'endossement de rôle pour obtenir un jeton Security Token Service (STS) temporaire au lieu d'un AccessKey statique. Les jetons STS expirent automatiquement après la durée maximale de session du rôle (en heures), ce qui limite la fenêtre d'exposition.
Alibaba Cloud intègre les jetons STS aux méthodes de déploiement suivantes :
Pour les instances Elastic Compute Service (ECS), utilisez un rôle RAM d'instance. Votre application pourra ensuite obtenir un jeton d'autorisation temporaire via le service de métadonnées d'instance.
Pour Container Service for Kubernetes (ACK), utilisez la fonctionnalité RRSA afin d'associer un rôle RAM à un ServiceAccount spécifique et de l'endosser au niveau du pod pour obtenir un jeton STS.
Pour Function Compute, accordez au service auquel appartient la fonction les permissions nécessaires pour accéder à d'autres services Alibaba Cloud afin d'obtenir un jeton STS.
Quelle que soit la méthode de déploiement, utilisez les SDK officiels d'Alibaba Cloud. Configurez les paramètres d'identifiants appropriés à votre type de déploiement ; le SDK gère automatiquement la mise en cache et le rafraîchissement des jetons STS.