Qu'est-ce que le contrôle d'accès basé sur les rôles (RBAC) ?
Le contrôle d'accès basé sur les rôles (RBAC) est une méthode de gestion des autorisations dans laquelle les droits sont attribués à des rôles, et les personnes ou les services affectés à ces rôles. Chaque rôle porte l'accès nécessaire à une fonction, sans plus. L'accès devient plus facile à auditer et ce qu'un compte isolé peut faire reste limité.
Comment fonctionne le RBAC ?
Un administrateur définit des rôles, chacun avec un ensemble d'actions autorisées sur un ensemble de ressources. Les utilisateurs, les groupes et les comptes de service sont ensuite associés aux rôles. Quand une personne change de poste, son affectation change et ses autorisations suivent. Quand un auditeur demande qui peut supprimer des sauvegardes, la réponse est la liste des membres des rôles qui incluent cette autorisation. L'idée sous-jacente est le moindre privilège : un compte ne détient que les droits dont il a besoin.
De quels rôles un environnement de sauvegarde a-t-il besoin ?
Les logiciels de sauvegarde et les systèmes de stockage sont livrés avec des rôles prédéfinis, dont les noms varient. La séparation qui compte distingue l'exécution des sauvegardes, la restauration des données et les modifications ou suppressions.
| Rôle | Peut faire | Ne devrait pas pouvoir faire |
|---|---|---|
| Opérateur de sauvegarde | Lancer des tâches, consulter l'état | Supprimer des sauvegardes, modifier la rétention |
| Opérateur de restauration | Restaurer des fichiers et des systèmes | Modifier des tâches ou des référentiels |
| Administrateur de sauvegarde | Configurer les tâches et les référentiels | Retirer les verrous au niveau du stockage |
| Administrateur du stockage | Gérer la capacité, les utilisateurs et les buckets | Lire ou supprimer des données de sauvegarde verrouillées |
| Auditeur | Consulter la configuration et les journaux | Modifier quoi que ce soit |
| Compte de service des tâches | Écrire et lire ses propres données | Administrer le stockage |
Pourquoi la séparation des rôles compte-t-elle face aux ransomwares ?
Les attaquants visent le compte qui a le plus de droits. Quand un seul compte administrateur peut configurer les tâches, supprimer des points de restauration et gérer le stockage, le voler suffit à effacer toutes les sauvegardes. Répartir ces capacités entre plusieurs rôles réduit la portée d'un identifiant volé, donc le rayon d'impact administratif. Les comptes de service des tâches de sauvegarde méritent la même attention, car ils sont stockés sur le serveur de sauvegarde. Les articles Limiter les comptes de service de sauvegarde et Séparer les comptes administrateurs décrivent la pratique.
Quelles sont les limites du RBAC ?
Le RBAC décide qui peut demander une action. Il n'empêche pas un compte autorisé d'abuser de ses droits, et les rôles accumulent des autorisations avec le temps s'ils ne sont pas revus. Il se combine donc avec d'autres contrôles : l'authentification multifacteur pour les personnes aux rôles à privilèges, le principe des quatre yeux pour les actions destructrices et l'immuabilité, qui protège les points de restauration stockés quel que soit le rôle obtenu par un attaquant.
Questions fréquentes
Quelle différence entre RBAC et moindre privilège ?
Le moindre privilège est l'objectif : ne donner à chaque compte que l'accès nécessaire. Le RBAC est une façon d'organiser les autorisations qui rend cet objectif gérable.
Les rôles de sauvegarde doivent-ils venir de l'annuaire de production ?
Associer les rôles à des groupes de l'annuaire est pratique, mais lie l'accès aux sauvegardes à la sécurité de l'annuaire. Des comptes locaux pour les rôles les plus privilégiés évitent cette dépendance.
À quelle fréquence revoir les affectations de rôles ?
Au moins une fois par an, et à chaque arrivée, changement de poste ou départ.