Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Mettez en place des barrières de protection des autorisations à l’aide de périmètres de données

Les barrières de protection du périmètre des données sont conçues pour servir de limites permanentes afin de protéger vos données sur un large éventail de comptes et de AWS ressources. Les périmètres de données suivent les pratiques exemplaires de sécurité IAM pour établir des garde-fous d’autorisation sur plusieurs comptes. Ces garde-fous relatifs aux autorisations à l’échelle de l’organisation ne remplacent pas vos contrôles d’accès précis existants. Ils fonctionnent plutôt comme des contrôles d’accès grossiers qui aident à améliorer votre politique en matière de sécurité, en garantissant que les utilisateurs, les rôles et les ressources respectent un ensemble de normes de sécurité définies.

Un périmètre de données est un ensemble de barrières d'autorisation dans votre AWS environnement qui permettent de garantir que seules vos identités fiables accèdent aux ressources fiables des réseaux attendus.

Les contrôles du périmètre des données doivent être traités comme tout autre contrôle de sécurité dans le cadre du programme de sécurité de l’information et de gestion des risques. Cela signifie que vous devez effectuer une analyse des menaces afin d’identifier les risques potentiels au sein de votre environnement cloud, puis, en fonction de vos propres critères d’acceptation des risques, sélectionner et mettre en œuvre des contrôles de périmètre de données appropriés. Pour mieux orienter l’approche itérative basée sur les risques en matière de mise en œuvre du périmètre des données, vous devez comprendre quels risques de sécurité et quels vecteurs de menace sont pris en compte par les contrôles du périmètre des données, ainsi que vos priorités en matière de sécurité.

Contrôles du périmètre de données

Les contrôles grossiers du périmètre des données vous aident à atteindre six objectifs de sécurité distincts sur trois périmètres de données grâce à la mise en œuvre de différentes combinaisons des Types de politique et des clés de condition.

Vous pouvez considérer les périmètres de données comme la création d’une frontière stricte autour de vos données afin d’empêcher les schémas d’accès involontaires. Bien que les périmètres de données puissent empêcher tout accès involontaire à grande échelle, vous devez tout de même prendre des décisions précises en matière de contrôle d’accès. L’établissement d’un périmètre de données ne diminue en rien la nécessité d’affiner en permanence les autorisations en utilisant des outils tels que l’analyseur d’accès IAM dans le cadre de votre parcours vers le principe du moindre privilège.

Pour appliquer des contrôles du périmètre des données aux ressources qui ne sont actuellement pas prises en charge par RCPs, vous pouvez utiliser des politiques basées sur les ressources qui sont directement associées aux ressources. Pour obtenir la liste des services qui prennent en charge RCPs les politiques basées sur les ressources, voir Politiques de contrôle des ressources (RCPs) et. AWS services qui fonctionnent avec IAM

Pour renforcer les contrôles du périmètre du réseau, nous vous recommandons d'utiliser aws:VpceOrgIDaws:VpceOrgPaths, et aws:VpceAccount uniquement si tous les services auxquels vous souhaitez restreindre l'accès sont actuellement pris en charge. L'utilisation de ces clés de condition avec des services non pris en charge peut entraîner des résultats d'autorisation imprévus. Pour obtenir la liste des services qui prennent en charge les clés, consultez leAWS clés contextuelles de condition globale. Si vous devez appliquer les contrôles à un plus large éventail de services, pensez à utiliser aws:SourceVpc et à la aws:SourceVpce place.

Périmètre d’identité

Un périmètre d’identité est un ensemble de contrôles d’accès préventifs grossiers qui permettent de garantir que seules les identités de confiance peuvent accéder à vos ressources et que seules ces identités de confiance sont autorisées sur votre réseau. Les identités fiables incluent généralement les principaux (rôles ou utilisateurs) de vos AWS comptes et les AWS services agissant en votre nom. Toutes les autres identités sont considérées comme non fiables et sont bloquées par le périmètre d’identité, à moins qu’une exception explicite ne soit accordée.

Les clés de condition globales suivantes permettent de renforcer les contrôles du périmètre d'identité en fonction de votre définition des identités fiables. Utilisez ces clés dans les politiques de contrôle des ressources pour restreindre l'accès aux ressources, ou dans les politiques de point de terminaison VPC pour restreindre l'accès à vos réseaux.

Identités que vous détenez

Vous pouvez utiliser les clés de condition suivantes pour définir les principes IAM que vous créez et gérez dans votre. Comptes AWS

Identités des AWS services agissant en votre nom

Vous pouvez utiliser les clés de condition suivantes pour permettre aux AWS services d'utiliser leur propre identité pour accéder à vos ressources lorsqu'ils agissent en votre nom.

Pour plus d'informations, voir Établissement d'un périmètre de données sur AWS : Autoriser uniquement les identités fiables à accéder aux données de l'entreprise.

Périmètre de ressource

Un périmètre de ressource est un ensemble de contrôles d’accès préventifs grossiers qui permettent de garantir que vos identités ne peuvent accéder qu’aux ressources de confiance et que seules les ressources de confiance sont accessibles depuis votre réseau. Les ressources fiables incluent généralement les ressources détenues par vos AWS comptes ou par AWS des services agissant en votre nom.

Les clés de condition globales suivantes permettent de renforcer les contrôles du périmètre des ressources en fonction de votre définition des ressources fiables. Utilisez ces clés dans les politiques de contrôle des services (SCPs) pour restreindre les ressources accessibles par vos identités, ou dans les politiques de point de terminaison VPC pour restreindre les ressources accessibles depuis vos réseaux.

Ressources que vous détenez

Vous pouvez utiliser les clés de condition suivantes pour définir les AWS ressources que vous créez et gérez dans votre Comptes AWS.

Ressources des AWS services agissant en votre nom

Dans certains cas, vous devrez peut-être autoriser l'accès à des ressources AWS détenues, à des ressources qui n'appartiennent pas à votre organisation et auxquelles ont accès vos mandants ou des AWS services agissant en votre nom. Pour plus d'informations sur ces scénarios, voir Établissement d'un périmètre de données sur AWS : Autoriser uniquement les ressources fiables de mon organisation.

Périmètre de réseau

Un périmètre réseau est un ensemble de contrôles d’accès préventifs grossiers qui permettent de garantir que vos identités ne peuvent accéder aux ressources qu’à partir des réseaux attendus et que vos ressources ne sont accessibles qu’à partir des réseaux attendus. Les réseaux attendus incluent généralement vos centres de données sur site, vos clouds privés virtuels (VPCs) et les réseaux de AWS services agissant en votre nom.

Les clés de condition globales suivantes permettent de renforcer les contrôles du périmètre du réseau en fonction de votre définition des réseaux attendus. Utilisez ces clés dans les politiques de contrôle des services (SCPs) pour restreindre les réseaux à partir desquels vos identités peuvent communiquer, ou dans les politiques de contrôle des ressources (RCPs) pour restreindre l'accès aux ressources aux réseaux attendus.

Les réseaux que vous détenez

Vous pouvez utiliser les clés de condition suivantes pour définir les réseaux que vos employés et applications sont censés utiliser pour accéder à vos ressources, telles que la plage d'adresses IP CIDR de votre entreprise et votre VPCs.

aws:VpceAccountaws:VpceOrgPaths, et aws:VpceOrgID sont particulièrement utiles pour mettre en œuvre des contrôles de périmètre réseau qui s'adaptent automatiquement à l'utilisation de vos points de terminaison VPC, sans qu'il soit nécessaire de mettre à jour les politiques lorsque vous créez de nouveaux points de terminaison. Consultez la liste AWS clés contextuelles de condition globale des clés Services AWS compatibles avec ces clés.

Réseaux de AWS services agissant en votre nom

Vous pouvez utiliser les clés de condition suivantes pour autoriser les AWS services à accéder à vos ressources depuis leurs réseaux lorsqu'ils agissent en votre nom.

Il existe d’autres scénarios dans lesquels vous devez autoriser l’accès aux Services AWS qui accèdent à vos ressources depuis l’extérieur de votre réseau. Pour plus d'informations, voir Établissement d'un périmètre de données sur AWS : Autoriser l'accès aux données de l'entreprise uniquement à partir des réseaux attendus.

Ressources utiles sur les périmètres de données

Les ressources suivantes peuvent vous aider à en savoir plus sur les périmètres de données au sein d’ AWS.