L'utilisation d'identités gérées attribuées par l'utilisateur dans Azure peut avoir plusieurs implications de sécurité, à la fois positives et négatives:
Implications de sécurité positives
1. Élimination de la gestion des informations d'identification: les identités gérées attribuées par l'utilisateur éliminent la nécessité de gérer manuellement les informations d'identification, de réduire le risque de fuites d'identification et d'erreur humaine. Cela améliore la sécurité en gérant automatiquement le cycle de vie d'identité et en simplifiant l'authentification pour les services Azure [10].
2. Flexibilité et contrôle: les identités gérées attribuées par l'utilisateur sont plus polyvalentes que les identités attribuées par le système, car elles peuvent être réutilisées sur plusieurs ressources et ne sont pas liées à un cycle de vie de ressources spécifique. Cela permet un meilleur contrôle sur la gestion de l'identité et les autorisations [3] [11].
3. Autorisation et contrôle d'accès: les identités gérées peuvent être intégrées au contrôle d'accès basé sur les rôles Azure (Azure RBAC) pour définir des autorisations précises pour accéder aux ressources. Cela garantit que les identités n'ont que les autorisations nécessaires, réduisant le risque de trop privile [10].
Implications de sécurité négatives
1. Risques erronés: sinon correctement configurés, les identités gérées assistées par l'utilisateur peuvent entraîner des problèmes de sécurité. Par exemple, l'octroi d'autorisations excessives peut entraîner une escalade des privilèges, permettant un accès non autorisé aux ressources sensibles [1].
2. Persistance et furtivité: Il y a eu des cas où les attaquants ont exploité des identités gérées pour maintenir la persistance dans les services Azure. Cela peut se produire si un attaquant a accès au jeton ID ENTRA associé à une identité gérée, leur permettant d'identiter l'identité sans détection [4].
3. Limites de rafraîchissement des jetons: les modifications apportées aux autorisations d'une identité gérée peuvent ne pas prendre effet immédiatement en raison de la mise en cache de jetons. Cela peut entraîner des retards dans la révocation de l'accès, permettant potentiellement aux actions non autorisées de se poursuivre pendant plusieurs heures [3].
4. Prévention de l'utilisation non autorisée: Pour éviter une utilisation non autorisée, il est crucial de mettre en œuvre des contrôles d'accès robustes, tels que la politique Azure, la RBAC et le suivi des modifications des affectations d'identité gérées [2] [9].
Dans l'ensemble, bien que les identités gérées attribuées par l'utilisateur offrent des avantages de sécurité importants, ils nécessitent une gestion et une surveillance minutieuses pour atténuer les risques potentiels.
Citations:
[1] https://practitical365.com/heard-at-ttec-mischief-manged-attacking-and-ecury-azure-manged-identities/
[2] https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/managed-Identities-Faq
[3] https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/managed-identity-best-practice-recommendations
[4] https://www.youtube.com/watch?v=SGP91UDA3K
[5] https://learn.microsoft.com/en-us/entra/architecture/service-accouts-manged-entitités
[6] https://docs.azure.cn/en-us/entra/identity/managed-identities-azure-resources/how-manage-user-assigned-manged-identities
[7] https://www.varonis.com/blog/azure-manged-identités
[8] https://help.zerto.com/bundle/install.ma.html.9.5/page/enabling_user_assigned_managed_identities_and_setting_mandator_permissions_in_azure.htm
[9] https://www.reddit.com/r/azure/comments/175ewbq/managed_identity_how_to_prevent_others_from_using/
[10] https://www.techtarget.com/searchcloudcomputing/tip/managed-identity-vs-service-principal-for-azure-apps
[11] https://www.red-gate.com/simple-talk/cloud/azure/azure-function-and-user-assigned-manged-identities/