AWS IAM (Identity and Access Management) est le service qui contrôle qui peut s’authentifier sur un compte AWS et quelles actions chaque identité peut effectuer sur quelles ressources.

🧱 Les briques IAM

• IAM est un service global : une identité ou une policy s’applique dans toutes les Régions du compte.
• Un groupe ne contient que des utilisateurs : pas de groupe imbriqué, et un groupe ne peut pas servir de Principal dans une policy, car il porte des permissions sans jamais s’authentifier.
• Un rôle assumé remplace les droits : pendant la session, l’appelant abandonne ses propres permissions et ne dispose que de celles du rôle.

🤔 Quelle identité pour quel besoin

👑 Compte root et bonnes pratiques

📄 Structure d’une policy JSON

Identity-based policy qui autorise la lecture des objets d’un bucket S3 (Simple Storage Service), uniquement depuis une plage d’adresses IP publiques :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "LectureBucketBureau",
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::amzn-s3-demo-bucket/*",
      "Condition": {
        "IpAddress": { "aws:SourceIp": "203.0.113.0/24" }
      }
    }
  ]
}

Aucun Principal ici : dans une identity-based policy, le principal est implicitement l’identité qui porte la policy. La clé aws:SourceIp ne fonctionne qu’avec des adresses IP publiques.

🆚 Identity-based vs resource-based

⚖️ Logique d’évaluation

Règles appliquées à chaque requête dans un même compte. Ordre documenté : deny explicite, RCP (Resource Control Policy), SCP (Service Control Policy), resource-based, identity-based, permissions boundary, session policy.

Requête cross-account : un principal du compte A (trusted) accède à une ressource du compte B (trusting).

🎭 Rôles et STS

• Cross-account par rôle : la trust policy du compte B nomme le compte A, et l’identité de A a besoin d’une policy qui autorise sts:AssumeRole sur l’ARN du rôle.
• External ID : identifiant fourni par le prestataire et exigé par la condition sts:ExternalId de la trust policy, pour qu’un autre de ses clients ne puisse pas lui faire assumer votre rôle (problème du « confused deputy »).

🏢 AWS Organizations

🔑 IAM Identity Center

Successeur d’AWS SSO (Single Sign-On), renommé en juillet 2022 : un portail unique donne aux humains l’accès à leurs comptes et applications, depuis une seule source d’identité par organisation (annuaire intégré, Active Directory ou fournisseur externe comme Okta ou Microsoft Entra ID).

Un permission set est un modèle de policies : à l’affectation, Identity Center crée le rôle IAM correspondant dans chaque compte cible. La session dure 1 heure par défaut, 12 heures au maximum.