cloud-security-guide

Cloud Security Guide

Workflow en 8 étapes

1. Auditer et durcir l'IAM

Critère de déclenchement : nouveau compte cloud, audit trimestriel, onboarding d'un service.

# AWS — lister les utilisateurs sans MFA
aws iam generate-credential-report
aws iam get-credential-report --query 'Content' --output text | base64 -d | grep ',false,'

# AWS — trouver les politiques permissives (Action: *)
aws iam list-policies --scope Local --query "Policies[*].Arn" --output text | \
  xargs -I{} aws iam get-policy-version --policy-arn {} --version-id v1 \
  --query "PolicyVersion.Document" 2>/dev/null | grep -B5 '"Action": "\*"'

# Azure — Access Review via CLI
az ad user list --query "[?accountEnabled==\`true\`].{UPN:userPrincipalName}" --output table

Règles d'or :

• Pas de credentials longue durée sur les machines : utiliser des Instance Profiles / Managed Identities / Workload Identity.
• Séparer les comptes par environnement (dev / staging / prod) avec AWS Organizations SCPs ou Azure Management Groups.
• Imposer MFA via une SCP/Policy bloquant toutes les actions si MFA absent.

// AWS SCP — forcer MFA
{
  "Effect": "Deny",
  "NotAction": ["iam:CreateVirtualMFADevice","iam:EnableMFADevice","sts:GetSessionToken"],
  "Resource": "*",
  "Condition": {"BoolIfExists": {"aws:MultiFactorAuthPresent": "false"}}
}

---

2. Segmenter le réseau

# AWS — VPC avec sous-réseaux isolés (Terraform snippet)
resource "aws_vpc" "main" { cidr_block = "10.0.0.0/16" }
resource "aws_subnet" "public"   { cidr_block = "10.0.1.0/24" ... }
resource "aws_subnet" "private"  { cidr_block = "10.0.2.0/24" ... }
resource "aws_subnet" "data"     { cidr_block = "10.0.3.0/24" ... }

# Activer les VPC Flow Logs
aws ec2 create-flow-logs \
  --resource-type VPC --resource-ids vpc-xxx \
  --traffic-type ALL --log-destination-type cloud-watch-logs \
  --log-group-name /vpc/flowlogs

Décision rapide :

Ressource	Exposition autorisée
Base de données	Jamais publique — Private endpoint obligatoire
Application web	Via ALB/WAF uniquement
API interne	Via VPN ou Service Mesh
Bucket/Blob	Jamais public sauf CDN explicite