IAM : Identity and Access Management
Sécurité
Gestion des identités et des droits : qui est authentifié, et à quoi il a accès.
Piliers : Authentification (qui), autorisation (quels droits), fédération (SSO), gouvernance (revue des accès).
Bonnes pratiques : Moindre privilège, MFA, comptes de service dédiés, rotation et revue régulière des droits.
Ce qui arrive si on s'en passe
Sans gestion des identités et des droits, chacun garde les accès accumulés au fil des projets, les comptes de service partagent des secrets génériques, et personne ne sait dire qui peut faire quoi. Un seul mot de passe dérobé, sans MFA, donne alors tous les droits de son titulaire, souvent bien au-delà de son besoin réel, et les comptes des personnes parties restent actifs faute de revue. L'enquête après incident bute ensuite sur des comptes partagés qui ne désignent personne. Le moindre privilège est une vertu que tout le monde recommande et que chacun réserve aux autres.
Explication de la marmotte
Imagine que tu as une boîte à clés pour ta maison. Chaque clé ouvre certaines portes, mais pas toutes. La gestion des identités et des droits, c’est un peu comme cette boîte : elle vérifie qui tu es (comme si tu montrais ta carte d’identité) et elle décide à quelles portes tu peux accéder avec ta clé. Par exemple, certains peuvent entrer dans le salon, d’autres seulement dans la cuisine. Cela permet de garder les choses en sécurité et de s’assurer que chacun peut utiliser seulement ce qui lui est permis.
Où ce terme est utilisé
- Mettre en place un accès JIT AWS pour comptes à privilèges (13 occurrences)
- Configurer GitHub Actions OIDC vers AWS sans clé statique (12 occurrences)
- Détecter la persistance IAM dans AWS (12 occurrences)
- Sécuriser les fonctions serverless FaaS (9 occurrences)
- SSRF vers IMDS et vol d’identifiants IAM (8 occurrences)
- Sécurité multi-cloud et hybrid cloud (7 occurrences)
- Auditer l'héritage des permissions et le droit effectif (6 occurrences)
- Comment gouverner les coûts cloud contre un compte compromis (5 occurrences)
- Configurer le moindre privilège sur un compte cloud existant (5 occurrences)
- Comment auditer les comptes orphelins après un départ (4 occurrences)