Qu'est-ce qu'un compte bris de glace ?
Un compte bris de glace (break-glass account) est un compte à privilèges réservé aux urgences, quand les moyens normaux de connexion ne fonctionnent plus. Il existe pour que les administrateurs puissent encore atteindre les systèmes critiques quand le fournisseur d'identité, le service d'authentification multifacteur ou l'annuaire est en panne ou compromis.
Pourquoi les systèmes de sauvegarde ont-ils besoin d'un compte bris de glace ?
Les systèmes de sauvegarde servent surtout quand le reste a échoué. Si la console de sauvegarde et l'interface de gestion du stockage n'acceptent que des comptes de l'annuaire de production, la perte de cet annuaire, par une panne ou un ransomware, ferme aux administrateurs les systèmes mêmes qui doivent le restaurer. Un compte de secours local, indépendant de l'annuaire et de tout service d'authentification externe, garde une porte d'entrée.
Comment protéger un compte bris de glace ?
Le compte est puissant et rarement utilisé : il attire les attaquants et se fait facilement oublier. Sa protection repose sur quelques règles fermes.
| Contrôle | Objectif |
|---|---|
| Mot de passe long et aléatoire, conservé hors ligne | Ne peut être ni hameçonné ni extrait d'un gestionnaire de mots de passe lui-même en panne |
| Connaissance partagée ou enveloppe scellée | Personne ne peut l'utiliser seul sans être vu |
| Compte local au système, hors annuaire | Fonctionne quand l'annuaire ne fonctionne pas |
| Alerte à chaque connexion | Tout usage est vu immédiatement |
| Mot de passe changé après chaque usage | Un mot de passe divulgué a une vie courte |
| Test régulier | Confirme que le compte fonctionne toujours |
Quel lien avec le MFA et le principe des quatre yeux ?
Les comptes de secours sont souvent dispensés d'authentification multifacteur, car le second facteur peut dépendre d'un service indisponible. Cette dispense n'est acceptable que si les autres contrôles tiennent : conservation hors ligne, garde partagée et alerte immédiate. Quand c'est possible, une clé matérielle rangée avec le mot de passe scellé rétablit un second facteur sans dépendance en ligne. Le principe des quatre yeux s'applique naturellement, puisque deux personnes devraient être nécessaires pour récupérer les identifiants.
Que ne doit pas pouvoir faire un compte bris de glace ?
L'accès de secours sert à la reprise. Il ne doit pas être un moyen de contourner la protection des données. Si les sauvegardes sont verrouillées en mode conformité, le compte bris de glace ne peut pas les supprimer non plus, et c'est voulu. Un identifiant de secours volé serait sinon le chemin le plus direct vers la destruction des sauvegardes. Un compte conçu pour rétablir le service sans pouvoir retirer des données immuables garde le rayon d'impact administratif borné.
Questions fréquentes
Combien de comptes bris de glace faut-il ?
En général un ou deux par système critique, pour qu'un seul verrouillage ou une enveloppe perdue ne supprime pas l'accès de secours.
Où conserver le mot de passe ?
Hors ligne, dans un coffre ou une enveloppe scellée sous double contrôle, avec une copie sur un second site.
À quelle fréquence tester un compte bris de glace ?
Au moins une ou deux fois par an, et après tout changement de l'authentification sur le système concerné.