Amazon Web Services (AWS)

Compte racine sans MFA

Gravité : critique

Ce que cela signifie

L’AWS compte racine a un accès illimité à tout dans votre compte AWS : facturation, tous les services, toutes les données. C’est l’identifiant le plus puissant de toute votre configuration cloud. Sans MFA, un mot de passe racine compromis signifie une prise de contrôle complète.

Comment corriger

1. Connectez-vous à la Console AWS en tant que racine.

2. Accédez à IAM > Tableau de bord > Activez la MFA sur votre compte racine.

3. Cliquez sur Gérer la MFA > Activer la MFA.

4. Choisissez Périphérique MFA virtuel (recommandé : utilisez une clé matérielle comme YubiKey pour une sécurité maximale).

5. Scannez le code QR avec votre application d’authentification.

6. Saisissez deux codes consécutifs et cliquez sur Attribuer la MFA.

Après avoir activé la MFA, suivez les bonnes pratiques AWS :

• N’utilisez jamais le compte racine pour les tâches quotidiennes. Créez des utilisateurs IAM ou utilisez plutôt IAM Identity Center.

• Stockez les identifiants racine dans un emplacement sécurisé hors ligne (coffre-fort, gestionnaire de mots de passe).

Compte racine utilisé récemment

Gravité : élevée

Ce que cela signifie

Le compte racine a été utilisé pour se connecter au cours des 90 derniers jours. Comme l’Administrateur intégré dans Active Directory, le compte racine doit être réservé aux urgences uniquement (par exemple, récupération de compte, modifications de facturation). Le travail quotidien doit utiliser des utilisateurs ou des rôles IAM avec des autorisations appropriées.

Comment corriger

1. Créer utilisateurs IAM ou utilisez IAM Identity Center (SSO) pour l’administration quotidienne.

2. Attribuez uniquement les autorisations dont chaque personne a besoin (principe du moindre privilège).

3. Arrêtez d’utiliser le compte racine pour les tâches courantes.

4. L’alerte disparaîtra après 90 jours d’inactivité du compte racine.

Utilisateurs IAM sans MFA

Gravité : moyenne

Ce que cela signifie

Un ou plusieurs utilisateurs IAM peuvent se connecter à la Console AWS sans MFA. Si leur mot de passe est compromis, l’attaquant obtient un accès complet à tout ce que cet utilisateur peut faire dans AWS.

Comment corriger

1. Accédez à IAM > Utilisateurs > sélectionnez l’utilisateur.

2. Accédez au Informations d’identification de sécurité .

3. Sous Authentification multifactorielle (MFA), cliquez sur Gérer.

4. Attribuez un périphérique MFA.

Pour imposer la MFA à tous les utilisateurs, créez une stratégie IAM qui refuse toutes les actions à moins qu’une MFA ne soit présente :

1. Accédez à IAM > Stratégies > Créer une stratégie.

2. Utilisez l’ Stratégie d’application de la MFA AWS modèle.

3. Attachez-la à tous les groupes d’utilisateurs.