Ce cours répond à une question de sécurité concrète : quel principal peut effectuer quelle action sur quelle ressource AWS, et quelle limite détermine cette autorisation ? Nous établirons une base de référence reproductible pour prévenir les utilisations abusives, détecter les preuves d’incidents et réagir, sans confondre les responsabilités d’AWS avec celles du client.
Le modèle de responsabilité partagée distingue la sécurité du cloud de la sécurité dans le cloud. AWS protège les installations, le matériel, le réseau et l’infrastructure de virtualisation qui assurent le fonctionnement des services AWS. Les clients protègent les charges de travail, les données, les identités, les configurations et veillent au respect des obligations de conformité applicables.
La charge de travail du client varie selon le service choisi. Avec Amazon Elastic Compute Cloud, les clients gèrent l’application des correctifs du système d’exploitation invité, les logiciels applicatifs et la configuration des groupes de sécurité. Avec Amazon Simple Storage Service, AWS gère l’infrastructure et la plateforme ; toutefois, les clients restent responsables de la classification des données, du choix des options de chiffrement et de l’application des autorisations d’accès.
Règle réutilisable Attribuez chaque contrôle à la couche capable d’influer réellement sur le risque. Une infrastructure gérée ne dispense pas le client de sa responsabilité en matière de configuration.
Un compte AWS constitue une limite d’isolation pour les ressources, la facturation et de nombreuses autorisations. Une Région représente une limite géographique de déploiement. Le service IAM (Identity and Access Management) évalue le principal, l’action demandée, la ressource cible et les conditions pertinentes avant qu’AWS n’autorise une requête.
L’établissement d’une base de référence commence par l’identification des comptes propriétaires des données de production, des Régions où elles sont hébergées et des identités pouvant y accéder. L’utilisation d’identifiants temporaires et du principe du moindre privilège réduit l’impact d’une éventuelle exposition des identifiants. Le placement réseau et le chiffrement restreignent ensuite les chemins d’accès et les opérations sur les données que les identités peuvent utiliser.
Examinons comment les limites liées au compte, à la Région, à l’identité et à la ressource encadrent une requête.
Une base de référence de sécurité (security baseline) constitue l’ensemble minimal de contrôles garantissant des accès traçables, la protection des données, l’enregistrement des activités et une capacité de réponse préparée. Les contrôles préventifs bloquent les requêtes non sécurisées avant qu’elles n’aboutissent. Les contrôles de détection mettent en évidence les comportements suspects ou les dérives de configuration. Les contrôles de réponse permettent de contenir les incidents avérés et de s’en rétablir.
Les autorisations IAM établissent les fondations de la gestion des identités. Les contrôles réseau limitent les chemins d’accès autorisés. Le chiffrement et les contrôles d’accès protègent les données, qu’elles soient au repos ou en transit. La journalisation et la détection assurent la traçabilité. Aucune couche prise isolément ne garantit la sécurité de la charge de travail ; chaque couche doit donc répondre à un mode de défaillance spécifique.
Examinons les couches de contrôle qui articulent la prévention, la détection et la réponse.