Identité et accès

Introduction

L’identité (ou plutôt les identités) et les accès représentent des points bien à part pour le Cloud Azure, car une partie du sujet identité est souvent traitée par des équipes qui ne sont pas les administrateurs Azure mais plutôt les administrateurs de l’annuaire d’entreprise, par exemple l’Active Directory Microsoft. 

La seconde partie accès ou RBAC est plutôt traitée par les administrateurs Azure.

Il existe une séparation nette entre les deux équipes et il est très rare que l’ensemble des responsabilités soit porté par une seule et même équipe.

Le cas courant pour la gestion est donc une équipe Active Directory qui est déjà responsable de l’existant sur site (On-premises) et qui va continuer à assurer ce rôle pour l’Azure Active Directory (que l’on trouve régulièrement sous le terme AAD ou Azure AD).

Lors de la création d’un Cloud Azure, cette équipe va synchroniser l’AD existant sur le Cloud et ainsi créer un nouvel annuaire avec un type d’objets et d’attributs choisis. Il n’est pas nécessaire de faire une copie complète mais plutôt de conserver uniquement des objets et attributs utilisés sur Azure. Cette première synchronisation...

Rôles Azure AD et rôles d’accès aux ressources

Les accès Azure sont découpés en deux grandes familles : les rôles Azure AD et les rôles d’accès aux ressources.

Un rôle Azure AD autorise des actions sur des objets comme les utilisateurs, les groupes et les applications.

Liste des rôles prédéfinis Azure AD, vue partielle

Les listes de rôles prédéfinis sont très fournies. Par exemple, le rôle Administrateur d’utilisateurs est décrit de la façon suivante (source éditeur Microsoft) :

Les utilisateurs dotés de ce rôle peuvent créer et gérer tous les aspects des utilisateurs et des groupes. De plus, ce rôle inclut la possibilité de gérer les tickets de support et de surveiller l’intégrité du service. Certaines restrictions s’appliquent. Par exemple, ce rôle n’autorise pas la suppression d’un administrateur général. Les administrateurs de comptes utilisateur peuvent modifier les mots de passe des utilisateurs, des administrateurs du support technique et des autres administrateurs de compte utilisateur uniquement.

Ce rôle est complet, avec des actions possibles sur les utilisateurs, sur les tickets de support mais aussi des limitations comme le fait de ne pas pouvoir supprimer un administrateur général....

Autorisation, concept de base

Obtenir des autorisations sur Azure se fait en plusieurs étapes. Il s’agit d’abord de créer un objet de sécurité ; il en existe quatre :

Sur ces objets sont attachés des rôles, par exemple un rôle d’Administrateur de l’accès utilisateur. Il existe un grand nombre de rôles dits prédéfinis, prêts à l’utilisation. Si ces rôles prédéfinis ne sont pas suffisants, comme expliqué, il est tout à fait possible de créer des rôles particuliers.

Pour la dernière étape, il faut définir une étendue pour appliquer ces rôles. Il existe quatre étendues : les abonnements, les groupes de management, les ressources et les groupes de ressources.

Cette granularité permet de positionner des autorisations très fines puisqu’un objet utilisateur peut se voir attacher une ou plusieurs listes de rôles et que cet ensemble est ensuite affecté sur une ou plusieurs étendues spécifiques.

Pour en finir avec cette introduction, on applique sur Azure comme On-premises la règle du moindre privilège : donner les bons droits et les bonnes autorisations, mais pas plus que nécessaire.

Dans la suite du chapitre, ces points seront revus en détail.

Authentification multifacteur

L’authentification multifacteur ou MFA élève la sécurité de l’identification. Un mot de passe fort est une première étape dans la sécurisation. Il doit être complexe, c’est-à-dire composé de chiffres, de lettres, de majuscules, de minuscules et de caractères spéciaux. Sa longueur doit être importante mais ce n’est pas suffisant. L’introduction d’une seconde méthode d’authentification (un second facteur) est une pratique courante et conseillée.

Lors de la séquence d’authentification, après la saisie et la vérification du couple compte/mot de passe, la séquence est interrompue et une nouvelle fenêtre est affichée.

Le second facteur peut être :

Comme l’authentification est composée, un attaquant éventuel est bloqué, il ne peut fournir que l’une des parties de l’authentification.

Exercices

Les exercices suivants mettent en œuvre tous les points du chapitre. Dans le premier exercice, un premier contrôle d’accès est effectué. Le contrôle d’accès est un menu utilisé quotidiennement par l’administrateur. Pour un objet de sécurité donné (un compte utilisateur ou un groupe par exemple), il affiche un résumé de son niveau d’accès sur l’étendue sélectionnée. Indispensable ! Ensuite, un rôle prédéfini est ajouté sur un groupe puis un nouveau contrôle d’accès est effectué. Puis un rôle custom est créé depuis le portail.

Il n’y a aucune donnée dans les champs Attributions de rôles (0) et Affectations de refus (0). Ce groupe n’a aucune affectation de rôles sur cette étendue.

Informations complémentaires

Il y a souvent beaucoup de confusions sur cette partie Active Directory et les explications qui suivent doivent être parfaitement assimilées pour qui souhaite approfondir le sujet.

Active Directory est un annuaire. Dans un environnement Azure, il y a deux ou trois Active Directory :