Qu'est-ce que la gestion des accès à privilèges (PAM) ?
La gestion des accès à privilèges (PAM) est l'ensemble des outils et des pratiques qui encadrent les comptes aux droits élevés, comme les administrateurs de domaine, les comptes root et les administrateurs des systèmes de sauvegarde et de stockage. Son but : rendre l'accès à privilèges rare, de courte durée, attribuable à une personne et enregistré.
Que fait le PAM ?
Les produits et les processus de PAM partagent quelques fonctions de base.
| Fonction | Ce qu'elle fait |
|---|---|
| Coffre d'identifiants | Stocke de façon centralisée les mots de passe et les clés à privilèges et les renouvelle |
| Emprunt et approbation | Délivre un identifiant sur demande, parfois avec un second approbateur |
| Accès juste-à-temps | Accorde des droits pour une durée limitée, puis les retire |
| Intermédiation et enregistrement des sessions | Connecte l'administrateur sans révéler le mot de passe et enregistre la session |
| Découverte | Trouve les comptes à privilèges qui ne sont pas encore gérés |
| Rapports | Indique qui a utilisé quel privilège, et quand |
Comment le PAM s'applique-t-il aux systèmes de sauvegarde ?
Les administrateurs de sauvegarde détiennent des droits parmi les plus lourds de conséquences dans une organisation, puisqu'ils peuvent supprimer les copies dont tout le reste dépend. Placer la console de sauvegarde, les serveurs de référentiel et l'interface de gestion du stockage sous PAM a trois effets : leurs mots de passe d'administration ne sont connus de personne, chaque usage est rattaché à une personne nommée et les sessions inhabituelles sont visibles. Les comptes de service et les clés d'accès des tâches de sauvegarde peuvent être renouvelés selon un calendrier, de la même façon.
Le système PAM doit-il dépendre de la production ?
C'est la question de conception la plus importante. Si le coffre PAM tourne sur l'infrastructure de production et s'authentifie auprès de l'annuaire de production, un incident qui les met hors service bloque aussi l'accès aux identifiants nécessaires à la reprise. Un attaquant qui contrôle le coffre contrôle tous les comptes qu'il contient. Les systèmes de sauvegarde et de restauration ont donc besoin d'un chemin qui ne dépend pas de la disponibilité de la plateforme PAM : un compte bris de glace conservé hors ligne et, idéalement, des sauvegardes du coffre lui-même, restaurables en premier.
Que ne couvre pas le PAM ?
Le PAM encadre la façon dont les personnes obtiennent un accès à privilèges. Il ne limite pas ce que peut faire une session obtenue légitimement, et il ne protège pas les identifiants que les logiciels utilisent hors du coffre. Pour les sauvegardes, l'écart restant est comblé par le contrôle d'accès basé sur les rôles, qui restreint les droits de chaque compte, par le principe des quatre yeux pour les actions destructrices et par l'immuabilité au niveau du stockage, qui tient même quand une session à privilèges est détournée. L'article Où le MFA aide pour les sauvegardes trace les mêmes limites pour l'authentification.
Questions fréquentes
Le PAM est-il identique à un gestionnaire de mots de passe ?
Un gestionnaire de mots de passe stocke des secrets. Le PAM y ajoute l'approbation, les limites de durée, le contrôle des sessions, le renouvellement et l'audit, spécifiquement pour les comptes à privilèges.
Les petites organisations ont-elles besoin de PAM ?
Les pratiques valent à toute taille : peu de comptes à privilèges, des utilisateurs nommés, des mots de passe renouvelés et un usage enregistré. Un produit dédié devient utile quand le nombre de systèmes augmente.
Le PAM peut-il empêcher un ransomware de supprimer les sauvegardes ?
Il rend les comptes à privilèges plus difficiles à voler et à détourner. Il ne remplace pas le stockage immuable, qui protège les sauvegardes même si un compte est pris.