AWS : Amazon Web Services
Infrastructure
AWS : Amazon Web Services. « Services web d'Amazon », par analogie avec une zone industrielle où l'on loue à l'heure entrepôts, camions et coffres-forts au lieu de les bâtir soi-même.
Responsabilité partagée : Le fournisseur sécurise les bâtiments, le matériel et les couches qu'il opère ; le client répond de tout ce qu'il configure : identités, règles réseau, données. Le contrat l'écrit noir sur blanc, ce qui n'a jamais empêché personne de le découvrir le jour de la fuite.
Identités et rôles : IAM décide qui peut faire quoi sur quelle ressource. Une instance EC2 reçoit des identifiants temporaires liés au rôle qui lui est attaché, servis localement par le service de métadonnées IMDS.
Briques courantes : Calcul avec EC2, stockage objet, réseau privé avec VPC, gestion de clés avec KMS : chaque service a sa propre console, ses propres permissions et ses propres façons d'être mal réglé.
Comptes et régions : Les ressources vivent dans un compte et une région géographique. Séparer production, recette et outillage dans des comptes distincts borne la portée d'une compromission.
Ce qui arrive si on s'en passe
Ignorer le modèle de responsabilité partagée, c'est croire que le fournisseur surveille aussi ce qu'il a laissé au client : identités, règles réseau et données. Un rôle IAM trop large attaché à une instance EC2 transforme alors la moindre faille applicative en accès aux ressources du compte, grâce aux identifiants que sert IMDS. Sans séparation de la production, de la recette et de l'outillage dans des comptes distincts, une seule compromission embrasse l'ensemble. Le fournisseur, lui, aura parfaitement sécurisé ses bâtiments : la fuite se produira dans un centre de données impeccable.
Explication de la marmotte
Plutôt que d'acheter des ordinateurs, de les installer dans une salle climatisée et de les réparer quand ils tombent en panne, beaucoup d'entreprises les louent à distance chez un géant du commerce en ligne. On paie à l'usage, comme l'électricité : quelques minutes de calcul, un peu de place pour ranger des fichiers, un réseau privé. Tout se commande depuis un site web ou par des programmes. Le propriétaire s'occupe des machines ; le client, lui, reste chargé de bien fermer ses propres portes, c'est-à-dire de décider qui a le droit d'entrer et de toucher à quoi.
Où ce terme est utilisé
- Configurer GitHub Actions OIDC vers AWS sans clé statique (24 occurrences)
- Mettre en place un accès JIT AWS pour comptes à privilèges (15 occurrences)
- Détecter la persistance IAM dans AWS (14 occurrences)
- Cloud networking, VPC/VNet, CDN et équilibrage (13 occurrences)
- OIDC pour sécuriser les identifiants CI/CD (12 occurrences)
- Configurer le moindre privilège sur un compte cloud existant (11 occurrences)
- Auditer l'héritage des permissions et le droit effectif (9 occurrences)
- SSRF vers IMDS et vol d’identifiants IAM (9 occurrences)
- Quotas cloud contre le déni de service par coût (5 occurrences)
- Comment gouverner les coûts cloud contre un compte compromis (4 occurrences)