Gestion des identités et des accès (IAM)
Découvrez comment AWS contrôle qui peut faire quoi : les éléments de base d'IAM (utilisateurs, groupes, rôles et politiques), la sécurisation de l'utilisateur racine avec le moindre privilège, l'authentification et la MFA, et l'accès des équipes avec IAM Identity Center et la fédération.
La gestion des identités et des accès est le troisième sujet du domaine Sécurité et conformité. Chaque action dans AWS revient à une seule question : cette identité a-t-elle le droit de faire telle chose sur telle ressource ? IAM est le service qui y répond. Il contrôle qui peut se connecter à votre compte et ce que chaque personne ou application peut faire une fois à l'intérieur.
Le sujet compte 4 leçons. La première couvre les éléments de base d'IAM (utilisateurs, groupes, rôles et politiques) et la façon dont une requête est évaluée. La deuxième traite de l'utilisateur racine du compte, très puissant, et du principe du moindre privilège. La troisième porte sur l'authentification et l'authentification multifacteur. La quatrième couvre IAM Identity Center et la fédération, la méthode recommandée pour donner à une équipe l'accès à plusieurs comptes.
Ce que couvre ce sujet
- ce qu'est IAM, et la différence entre authentification et autorisation
- les quatre éléments de base : utilisateurs, groupes, rôles et politiques
- comment AWS évalue une requête, avec le refus par défaut et la règle qu'un refus explicite l'emporte toujours
- les politiques basées sur l'identité face aux politiques basées sur les ressources
- l'utilisateur racine du compte, les rares tâches que lui seul peut accomplir, et comment le verrouiller
- le principe du moindre privilège et le fait de partir des politiques gérées par AWS
- les façons de s'authentifier, l'authentification multifacteur, et les types d'appareils MFA pris en charge par AWS
- IAM Identity Center, les ensembles d'autorisations, et la fédération avec SAML 2.0 et OpenID Connect
Pourquoi c'est important
Sécurité et conformité est le domaine le plus lourd de l'examen CLF-C02, et IAM en représente une grande part. Beaucoup de questions vérifient si vous savez distinguer un utilisateur d'un rôle, reconnaître une tâche réservée à l'utilisateur racine, choisir l'option MFA la plus forte, ou préférer IAM Identity Center à des utilisateurs IAM éparpillés. Maîtrisez bien les éléments de base et vous raisonnez sur ces scénarios au lieu de deviner entre des noms qui se ressemblent.
Cela compte aussi dans les comptes réels. Les premières choses à faire dans un nouveau compte AWS sont de sécuriser l'utilisateur racine et de créer de vraies identités pour le travail quotidien. Bien configurer IAM, avec le moindre privilège, la MFA, des informations d'identification temporaires et une connexion centralisée, c'est ce qui garde un compte sûr à mesure qu'il passe d'une seule personne à toute une organisation.