Comment restreindre des environnements AWS à l'aide des AWS Policies et des IAM Roles ?

Le cloud computing a révolutionné la manière dont les organisations stockent, gèrent et traitent leurs données. Cependant, afin d’atténuer les risques de sécurité tels que les accès non autorisés, les violations de données et autres menaces de sécurité, il est essentiel de mettre en place des mesures de sécurité solides.

Les AWS Policies et les IAM Roles (Identity and Access Management) sont deux des outils les plus puissants que les organisations peuvent utiliser pour sécuriser leurs environnements cloud.

Pour restreindre un environnement AWS, vous devez contrôler l’accès dans AWS en créant différents types de Policy et devez les attacher à des identités IAM ou à des ressources AWS.

Dans cet article de blog, nous aborderons en détail ce que sont les AWS Policies et les IAM Roles, leurs avantages, et comment les configurer pour restreindre l’accès à vos ressources cloud.

Votre lecture résumée :

1.Que sont les AWS Policies ?-** Types de Policy**-** Exemple d’AWS Policy**

2.Qu’est-ce qu’IAM ?-** avantages de l’utilisation d’IAM :**

3.AWS Usage Policies :-** Exemple d’AWS Usage Policy :- Comment appliquer l’usage policy ?**

4.Comment appliquer les AWS Policies et les IAM Roles dans le Portail CloudLabs pour restreindre l’environnement ?

5.Conclusion

Que sont les AWS Policies ?

Les AWS Policies sont des objets qui définissent des permissions pour des entités ou des ressources lorsqu’elles y sont associées. Lorsqu’un principal IAM, tel qu’un utilisateur, soumet une demande, AWS analyse ces Policy. La décision d’approuver ou de rejeter une demande repose sur les permissions décrites dans les Policy, qui sont généralement stockées sous forme de fichiers JSON dans AWS.

Types de Policy :

• Identity-Based Policies
• Resource Based Policies

Exemple d’AWS Policy :

https://spektra-bucket.s3.us-west-2.amazonaws.com/AWS_EC2_Policy_NEW.json

Qu’est-ce qu’IAM ?

AWS Identity and Access Management (IAM) est un service web qui permet une gestion sécurisée de l’accès aux ressources AWS. Il permet de gérer l’authentification (connexion) et l’autorisation (permissions) pour les ressources, en déterminant qui y a accès.

Avantages de l’utilisation d’IAM :

• Accès partagé à votre compte AWS
• Permissions granulaires
• Accès sécurisé aux ressources AWS pour les applications qui s’exécutent sur Amazon EC2
• Fédération d’identités
• Conformité PCI DSS
• Intégré à de nombreux services AWS
• Cohérence à terme (Eventually Consistent)
• Gratuit

AWS Usage Policies :

L’usage policy s’articule autour des ressources AWS suivantes :

• EC2 (Elastic compute cloud)
• RDS (Relational Database Service)
• ECS (Elastic Container Service)

Par exemple :

Vous avez préparé une policy dans laquelle la valeur autorisée pour EC2 est fixée à 20 vCPU cores. Nous avons maintenant deux utilisateurs – User01 et User02 – effectuant le même lab. User01 crée une instance EC2 qui utilise 4 vCPU cores et User02 crée une EC2 qui utilise 24 cores.

Ici, pour les deux utilisateurs, nous aurons deux cas différents :

• Cas 1 : User01 avec 4 cores relève de la valeur autorisée et ne violera pas l’usage policy.
• Cas 2 : User02 avec 24 cores dépasse la valeur autorisée, ce qui viole l’usage policy.
• Une fois la policy violée, vous serez alerté par e-mail.
• Pour recevoir les e-mails d’alerte, une personne/équipe peut fournir son adresse e-mail lors de la configuration du Lab.

Exemple d’AWS Usage Policy :

https://spektra-bucket.s3-us-west-2.amazonaws.com/AWS-UsagePolicy.json

Exemple d’alerte :

Comment appliquer l’usage policy au portail CloudLabs ?

L’usage policy peut être appliquée lors de l’ajout de la CloudLabs Template au portail CloudLabs en suivant les étapes suivantes :

Étape 1 : Ouvrez admin.cloudlabs.ai dans votre navigateur et cliquez sur le bouton Login.

Étape 2 : Connectez-vous avec Work or School Account en cliquant sur le bouton.

Étape 3 : Lorsque vous cliquez sur le bouton Work or School Account, vous devrez renseigner vos Login Credentials, puis cliquer sur le bouton Next pour continuer.

Étape 4 : Saisissez votre Password, puis cliquez sur Sign in après avoir renseigné votre password dans le champ.

Après une connexion réussie, vous serez redirigé vers la page d’accueil du CloudLabs Portal.

Étape 5 : Maintenant, pour ajouter la CloudLabs Template, cliquez sur Templates.

Étape 6 : Accédez au dashboard de la template, faites défiler vers le bas, puis renseignez l’option de l’onglet Usage Policy URL. Vous devez ajouter l’URL de l’usage policy que vous avez créée.

Cliquez ensuite sur Submit et elle sera enregistrée.

Comment appliquer les AWS Policies et les IAM Roles dans le Portail CloudLabs pour restreindre l’environnement ?

L’attribution de roles aux utilisateurs et aux groupes est nécessaire pour accorder l’accès à un périmètre spécifique. En utilisant les permissions de template, vous pouvez gérer l’accès aux ressources AWS, spécifier les actions pouvant être effectuées avec elles, et déterminer quelles zones peuvent être consultées par les utilisateurs et les groupes.

Attribution des permissions sur la CloudLabs Template :

Étape 1 : La policy doit être prête avant de passer au portail CloudLabs pour l’appliquer.

Étape 2 : Accédez à https://admin.cloudlabs.ai/, puis cliquez sur Login.

Étape 3 : Lorsque vous y êtes invité, sélectionnez l’une des options de connexion prises en charge.

Consultez le document suivant pour plus de détails sur les options de connexion (Access CloudLabs Admin Center | CloudLabs Documentation)

Étape 4 : Après une connexion réussie, cliquez sur Templates (1). Sélectionnez la template pour laquelle vous souhaitez configurer la policy et cliquez sur le bouton d’édition situé dans l’Actions Pane de la template correspondante.

Étape 5 : Assurez-vous d’utiliser Amazon Web Services comme plateforme cloud.

Étape 6 : Après avoir cliqué sur le bouton edit, vous serez sur la page Edit Template. Faites défiler vers le bas et recherchez ADD TEMPLATE PERMISSIONS. Cliquez ensuite sur +ADD pour ajouter les policies.

Étape 7 : Après avoir cliqué sur le bouton +ADD, vous verrez trois types différents d’IAM policies.

• IAM Built-in Policy :

Une IAM Built-in Policy désigne une policy autonome créée et gérée par AWS, ce qui signifie qu’elle possède son propre Amazon Resource Name (ARN) incluant le nom de la policy. Ces policies sont autonomes et gérées par AWS.

Par exemple, arn:aws:iam::aws:policy/IAMReadOnlyAccess est une policy gérée par AWS. Ces policies sont conçues pour fournir des permissions pour divers cas d’usage courants.

• IAM Custom Policy :

Les policies gérées de manière personnalisée sont des policies qui peuvent être gérées de façon indépendante au sein du compte AWS. Elles peuvent être créées via AWS Management Console, AWS CLI ou AWS API dans le service IAM. Ces policies sont propres à chaque compte et peuvent être utilisées pour accorder des permissions à des utilisateurs, groupes ou roles IAM.

• IAM Instructor Access : Ici, le profile type et la permission seront sélectionnés automatiquement.

Étape 8 : Selon le besoin, si vous sélectionnez IAM Built-in Policy, vous devez sélectionner le profile type tel qu’Attendee, Instructor et Group Member. Ensuite, vous devez sélectionner la permission que vous souhaitez attribuer.

Il existe trois types de permissions différents : Power User Access, System Administrator et Administrator Access.

Étape 9 : Une autre option consiste à choisir l’IAM Custom Policy. Vous devez ensuite choisir le profile type et, dans la section profile data, saisir l’URL de l’IAM Custom Policy. Plus précisément, vous devrez saisir l’URL du S3 bucket associé à cette custom policy.

Étape 10 : Vous pouvez également sélectionner IAM Instructor Access. Ici, le profile type et la permission seront sélectionnés automatiquement.

Étape 11 : Après avoir appliqué les policies, les permissions de la template s’afficheront comme ci-dessous.

Conclusion :

Les AWS Policies sont utilisées pour définir des permissions et restreindre l’accès aux ressources AWS, telles que les instances EC2, les buckets S3 et les bases de données RDS, afin que seuls les utilisateurs autorisés aient accès aux ressources cloud et que cet accès soit limité au niveau de permissions requis.

En combinant les AWS Policies et les IAM Roles, il est possible de restreindre efficacement l’accès aux environnements cloud et de garantir la sécurité des ressources cloud.

Dans cet article de blog, nous avons couvert les bases des AWS Policies et des IAM Roles, leurs avantages, et fourni un guide étape par étape sur la manière de les configurer pour restreindre l’accès dans le CloudLabs portal. En suivant ces bonnes pratiques, les organisations peuvent s’assurer que leurs environnements cloud restent protégés.