Ce que vous allez apprendre
Objectifs d'apprentissage
- Séparer l’authentification de l’autorisation
- Expliquer le rôle des passkeys et des contrôles de session
- Examiner les privilèges tout au long du cycle de vie d’un utilisateur
L’authentification n’est que la première décision
Une connexion réussie établit une identité déclarée ; l’autorisation décide de ce que cette identité peut faire. Utilisez des comptes nominatifs et accordez l’accès minimal requis pour le rôle. Revoyez les privilèges lorsque les responsabilités changent et supprimez les accès par un processus de départ contrôlé. Des identifiants d’administrateur partagés compliquent l’attribution et la révocation.
Privilégier l’authentification résistante au phishing lorsqu’elle est prise en charge
Les passkeys et les clés de sécurité peuvent réduire l’exposition au phishing d’identifiants. Ils ne dispensent pas de sécuriser la récupération, les terminaux et les sessions existantes. Documentez les authentificateurs pris en charge et les procédures de récupération. Une porte d’entrée solide peut quand même être affaiblie par un chemin de récupération non examiné ou par une session volée de longue durée.
Réduire les privilèges permanents
Séparez l’activité quotidienne du travail d’administration. Une élévation limitée dans le temps et des approbations peuvent réduire la durée pendant laquelle l’accès privilégié est disponible. Examinez les comptes de service et les identifiants d’applications autant que les utilisateurs humains. Servez-vous des journaux pour savoir qui a accédé à quoi, quand et avec quelle approbation.
Exemple appliqué
Mettre en contexte
Un administrateur de paie fictif change de service. Son rôle est modifié rapidement, ses sessions privilégiées sont examinées et l’accès d’urgence reste contrôlé de façon indépendante. L’organisation n’attend pas une revue annuelle pour retirer les droits de paie devenus obsolètes.
Scénario illustratif à visée pédagogique, et non l'affirmation d'un incident réel vérifié chez un client.Erreurs fréquentes
- Considérer la MFA comme une autorisation
- Ignorer les privilèges des comptes de service
- Laisser d’anciens rôles actifs
Votre liste de contrôle pratique
Les cases cochées de la liste sont temporaires et ne sont pas enregistrées comme progression du compte.
Récapitulatif
Une authentification forte et le moindre privilège répondent à des aspects différents du risque lié aux comptes ; maintenez les deux.