Principe du moindre privilège
Le moindre privilège limite les droits à la tâche nécessaire et à son périmètre. Le travail requis reste possible ; les pouvoirs superflus sont retirés.
Le principe du moindre privilège consiste à accorder à une personne ou à un service technique seulement les droits et ressources nécessaires à sa tâche. La limite concerne l’action autorisée et son périmètre de données.
Exemple d’un service d’export
Un service hypothétique produit des exports de commandes pour une entreprise cliente précise. Il doit pouvoir lire les commandes concernées et générer le fichier. Supprimer des contrats ou modifier les commandes d’autres entreprises n’entre pas dans cette tâche.
Le principe n’impose pas de rendre tous les comptes accessibles en lecture seule : les modifications nécessaires doivent être explicitement autorisées. Les droits sont à revoir lors d’un changement de tâches. Une liste adaptée ne prouve pas que chaque voie d’accès l’applique correctement.
Sources
Termes associés
- Gestion des identités et des accèsL’IAM associe gestion des identités numériques et droits d’accès. Comptes, changements de rôle et retrait des anciens droits sont liés.
- Contrôle d’accès basé sur les rôlesLe RBAC associe des autorisations aux rôles et attribue ces rôles aux personnes. Le périmètre des données doit aussi être défini.
- Contrôle d’accès basé sur les attributsL’ABAC évalue les accès selon des propriétés et règles définies. L’origine et l’actualité de ces propriétés font partie de la conception.
- WebAuthnWebAuthn est l’API du navigateur pour la connexion par clé publique. Le serveur doit vérifier la réponse avant d’accepter l’authentification.
- PasskeyUn passkey permet la connexion avec une paire de clés liée au service. Changement d’appareil, récupération du compte et droits restent à organiser.
- Authentification multifacteurLa MFA utilise différents types de facteurs. Plusieurs demandes du même type ne constituent pas une vérification multifacteur.
Votre projet avec ASES
Décrivez-nous votre projet. Nous revenons vers vous avec une première évaluation.