Plan de contrôle : Control plane
Infrastructure
Plan de contrôle : control plane. La partie d'un système qui décide et configure (règles, routes, identités, ressources), par opposition au plan de données qui exécute, par analogie avec la tour de contrôle d'un aéroport : elle ne transporte aucun passager, mais sans elle aucun avion ne sait où aller.
En réseau : Les protocoles de routage comme BGP ou OSPF construisent la table de routage : c'est le plan de contrôle. L'acheminement de chaque paquet selon cette table relève du plan de données. Le premier travaille à l'échelle de la seconde ou de la minute, le second à celle de la microseconde.
En cloud et en orchestration : Les API qui créent des comptes, attribuent des rôles, changent des règles réseau ou déploient des ressources forment le plan de contrôle. Dans Kubernetes, c'est le serveur d'API et ses composants, distincts des nœuds qui font tourner les applications.
Pourquoi le protéger : Qui contrôle le plan de contrôle finit presque toujours par atteindre les données : il peut s'accorder un rôle, exporter un secret ou ouvrir un chemin réseau. Les accès d'administration y passent donc par des comptes, des postes, des réseaux et des journaux dédiés.
Séparer : Administrer l'infrastructure ne devrait pas donner automatiquement le droit de lire les données métier. Cette séparation ne vient par défaut avec aucun produit : les rôles génériques et les comptes de service omnipotents l'effacent avec une efficacité remarquable.
Ce qui arrive si on s'en passe
Sans plan de contrôle isolé, les interfaces qui modifient les règles, les identités et la configuration sont accessibles depuis les mêmes réseaux, postes et comptes que l'activité courante. Un compte compromis sur un poste ordinaire peut alors créer une nouvelle identité privilégiée, modifier une règle réseau ou désactiver la journalisation, et installer une persistance qui survivra au nettoyage du poste. En réseau, des sessions de routage non authentifiées ou exposées permettent d'injecter de fausses routes et de détourner le trafic. Comme un administrateur du plan de contrôle peut presque toujours atteindre les données, l'absence de séparation transforme chaque compte d'infrastructure en accès complet aux données. Des accès d'administration dédiés, des rôles bornés et la surveillance des changements de configuration réduisent ce rayon d'action.
Explication de la marmotte
Dans une gare, il y a les trains qui transportent les voyageurs, et il y a le poste d'aiguillage qui décide sur quelle voie chaque train doit passer. Le poste d'aiguillage ne transporte personne, mais s'il se trompe ou si quelqu'un de malveillant y entre, tous les trains peuvent partir au mauvais endroit. En informatique, on appelle plan de contrôle cette partie qui décide et règle tout le reste. C'est pour cela qu'on la protège encore plus soigneusement que les trains eux-mêmes.
Où ce terme est utilisé
- Cloud IaaS, PaaS, SaaS et modèles de déploiement, qui sécurise quoi (10 occurrences)
- Isolation multi-locataire face à un locataire hostile (10 occurrences)
- Séparer plan de contrôle et plan de données (10 occurrences)
- Auditer et durcir un cluster Kubernetes avec kube-bench (9 occurrences)
- MPLS, GMPLS, SD-WAN et overlays opérateurs (6 occurrences)
- Couches, normes et vocabulaire de paquets (5 occurrences)
- PAM, JIT et comptes break-glass sécurisés (4 occurrences)
- Comment auditer la responsabilité partagée cloud (3 occurrences)
- Flux inter-cloud et résidence réelle des données (3 occurrences)
- Gérer une crise cloud multi-tenant (3 occurrences)