{"id":87793,"date":"2020-07-10T13:41:57","date_gmt":"2020-07-10T11:41:57","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya"},"modified":"2020-07-10T13:41:57","modified_gmt":"2020-07-10T11:41:57","slug":"stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/stroim-rolevuyu-model-upravleniya-dostupom-chast-pervaya-podgotovitelnaya","title":{"rendered":"Construisons un mod\u00e8le de gestion des acc\u00e8s. Premi\u00e8re partie, pr\u00e9paration","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Je travaille actuellement pour une entreprise de logiciels, notamment dans le domaine des solutions de gestion des acc\u00e8s. Mon exp\u00e9rience \u00ab d'une vie ant\u00e9rieure \u00bb est li\u00e9e \u00e0 la partie commanditaire \u2013 une grande organisation financi\u00e8re. \u00c0 l'\u00e9poque, notre \u00e9quipe de contr\u00f4le d'acc\u00e8s au sein du d\u00e9partement de cybers\u00e9curit\u00e9 n'avait pas de grandes comp\u00e9tences en IdM. Nous avons beaucoup appris sur le tas, et nous avons d\u00fb surmonter de nombreuses difficult\u00e9s pour \u00e9tablir un m\u00e9canisme de gestion des droits des utilisateurs au sein des syst\u00e8mes d'information de l'entreprise.
\n\"Construisons
\nEn combinant mon exp\u00e9rience \u00e9prouv\u00e9e chez le client avec des connaissances et comp\u00e9tences du fournisseur, je souhaite partager avec vous en quelque sorte un guide \u00e9tape par \u00e9tape : comment cr\u00e9er un mod\u00e8le de gestion des acc\u00e8s bas\u00e9 sur les r\u00f4les dans une grande entreprise, et ce que cela va apporter \u00e0 l'issue. Mon guide se compose de deux parties : la premi\u00e8re \u2013 nous nous pr\u00e9parons \u00e0 construire le mod\u00e8le, la seconde \u2013 nous le construisons effectivement. Vous avez devant vous la premi\u00e8re partie, celle de la pr\u00e9paration.
\n<\/a><\/noindex>
\nN.B.<\/b> La construction d'un mod\u00e8le de r\u00f4le n'est malheureusement pas un r\u00e9sultat, mais un processus. Plus pr\u00e9cis\u00e9ment, c'est m\u00eame une partie du processus de cr\u00e9ation dans l'entreprise d'un \u00e9cosyst\u00e8me de gestion des acc\u00e8s. Pr\u00e9parez-vous donc \u00e0 un effort \u00e0 long terme.
\n<\/i>
\nCommen\u00e7ons par d\u00e9finir ce qu'est la gestion des acc\u00e8s bas\u00e9e sur les r\u00f4les. Supposons que vous ayez une grande banque avec des dizaines, voire des centaines de milliers d'employ\u00e9s (sujets), chacun ayant des dizaines de droits d'acc\u00e8s dans des centaines de syst\u00e8mes d'information internes (objets). Multipliez alors le nombre d'objets par le nombre de sujets \u2013 c'est le nombre minimum de relations que vous devez d'abord \u00e9tablir, puis contr\u00f4ler. Est-il vraiment possible de le faire manuellement ? Certainement pas \u2013 c'est pour r\u00e9soudre ce probl\u00e8me qu'ont \u00e9t\u00e9 cr\u00e9\u00e9es les r\u00f4les.<\/p>\n

Un r\u00f4le est un ensemble de pr\u00e9rogatives n\u00e9cessaires \u00e0 un utilisateur ou \u00e0 un groupe d'utilisateurs pour accomplir des t\u00e2ches professionnelles sp\u00e9cifiques. Chaque employ\u00e9 peut avoir un ou plusieurs r\u00f4les, et chaque r\u00f4le peut contenir une ou plusieurs pr\u00e9rogatives qui sont autoris\u00e9es \u00e0 l'utilisateur dans le cadre de ce r\u00f4le. Les r\u00f4les peuvent \u00eatre li\u00e9s \u00e0 des postes sp\u00e9cifiques, des d\u00e9partements ou des t\u00e2ches fonctionnelles des employ\u00e9s.<\/p>\n

\"Construisons
\n
\nLes r\u00f4les sont g\u00e9n\u00e9ralement cr\u00e9\u00e9s \u00e0 partir des droits individuels des employ\u00e9s dans chaque syst\u00e8me d'information. Ensuite, les r\u00f4les de chaque syst\u00e8me forment des r\u00f4les m\u00e9tiers globaux. Par exemple, le r\u00f4le m\u00e9tier de \u00ab gestionnaire de cr\u00e9dit \u00bb comprendra plusieurs r\u00f4les distincts dans les syst\u00e8mes d'information utilis\u00e9s dans le bureau des clients de la banque. Prenons ceux tels que le syst\u00e8me bancaire automatis\u00e9 principal, le module de caisse, le syst\u00e8me de gestion documentaire \u00e9lectronique, le gestionnaire de services, et d'autres. Les r\u00f4les m\u00e9tiers sont g\u00e9n\u00e9ralement li\u00e9s \u00e0 la structure organisationnelle - en d'autres termes, \u00e0 l'ensemble des divisions de l'entreprise et des postes qu'elles contiennent. Cela forme une matrice de r\u00f4les globale (un exemple est donn\u00e9 dans le tableau ci-dessous).<\/p>\n

\"Construisons
\n
\nIl convient de noter qu'il est impossible de construire un mod\u00e8le de r\u00f4le \u00e0 100 %, en fournissant tous les droits n\u00e9cessaires aux employ\u00e9s de chaque poste dans une structure commerciale. Et ce n'est m\u00eame pas n\u00e9cessaire. En effet, un mod\u00e8le de r\u00f4le ne peut pas \u00eatre statique, car il d\u00e9pend d'environnements en constante \u00e9volution. Cela est d\u00fb aux changements dans les activit\u00e9s commerciales de l'entreprise, qui influencent \u00e0 leur tour la structure organisationnelle et les fonctions. \u00c0 l'absence de ressources compl\u00e8tes, au non-respect des instructions de travail, \u00e0 la recherche de profit au d\u00e9triment de la s\u00e9curit\u00e9, et \u00e0 de nombreux autres facteurs. Par cons\u00e9quent, il faut construire un mod\u00e8le de r\u00f4le capable de couvrir jusqu'\u00e0 80 % des besoins des utilisateurs en droits de base n\u00e9cessaires lors de leur nomination \u00e0 un poste. Les 20 % restants pourront \u00eatre demand\u00e9s ult\u00e9rieurement par des demandes sp\u00e9cifiques si n\u00e9cessaire.<\/p>\n

Bien s\u00fbr, vous pouvez demander : \u00ab Existe-t-il des mod\u00e8les de r\u00f4le \u00e0 100 % ? \u00bb Eh bien, cela se produit, par exemple, dans des structures non commerciales qui ne sont pas sujettes \u00e0 des changements fr\u00e9quents, comme dans un institut de recherche. Ou dans des organisations de l'industrie de la d\u00e9fense avec un niveau de s\u00e9curit\u00e9 \u00e9lev\u00e9, o\u00f9 la s\u00e9curit\u00e9 est primordiale. Cela peut \u00e9galement se voir dans une structure commerciale, mais dans le cadre d'une division sp\u00e9cifique dont le fonctionnement est un processus assez statique et pr\u00e9visible.<\/p>\n

Le principal avantage de la gestion des r\u00f4les est la simplification de l'octroi des droits, car le nombre de r\u00f4les est bien inf\u00e9rieur \u00e0 celui des utilisateurs du syst\u00e8me d'information. Et cela s'applique \u00e0 tous les secteurs.<\/p>\n

Prenons une entreprise de d\u00e9tail : elle emploie des milliers de vendeurs, mais l'ensemble des droits dans le syst\u00e8me N est identique, et pour eux, un seul r\u00f4le sera cr\u00e9\u00e9. Un nouveau vendeur arrive dans l'entreprise \u2013 il se voit automatiquement attribuer le r\u00f4le n\u00e9cessaire dans le syst\u00e8me, qui contient d\u00e9j\u00e0 tous les pouvoirs requis. Il est \u00e9galement possible de modifier en un clin d'\u0153il les droits pour des milliers de vendeurs \u00e0 la fois, par exemple, en ajoutant une nouvelle option pour g\u00e9n\u00e9rer un rapport. Il n'est pas n\u00e9cessaire d'effectuer mille op\u00e9rations en associant le nouveau droit \u00e0 chaque compte \u2013 il suffit d'ajouter cette option au r\u00f4le, et elle sera disponible pour tous les vendeurs simultan\u00e9ment.<\/p>\n

Un autre avantage de la gestion par r\u00f4le est l'\u00e9vitement de l'attribution de pouvoirs incompatibles. Cela signifie qu'un employ\u00e9 ayant un certain r\u00f4le dans le syst\u00e8me ne peut pas simultan\u00e9ment poss\u00e9der un autre r\u00f4le dont les droits ne doivent pas s'associer avec ceux du premier. Un exemple frappant est l'interdiction de la combinaison des fonctions d'entr\u00e9e et de contr\u00f4le d'une op\u00e9ration financi\u00e8re.<\/p>\n

Tous ceux qui s'int\u00e9ressent \u00e0 l'apparition de la gestion des acc\u00e8s par r\u00f4le peuvent
\n plonger dans un aper\u00e7u historique<\/b>
\n Si l'on se tourne vers l'histoire, on constate que pour la premi\u00e8re fois, la communaut\u00e9 informatique s'est interrog\u00e9e sur les m\u00e9thodes de gestion des acc\u00e8s d\u00e8s les ann\u00e9es 70 du XXe si\u00e8cle. Bien que les applications fussent alors assez simples, tout le monde souhaitait, comme aujourd'hui, g\u00e9rer commod\u00e9ment l'acc\u00e8s \u00e0 celles-ci. Accorder, modifier et contr\u00f4ler les droits des utilisateurs \u2013 juste pour mieux comprendre quel acc\u00e8s chacun d'eux avait. Mais \u00e0 l'\u00e9poque, il n'existait aucun standard commun, les premiers syst\u00e8mes de gestion des acc\u00e8s \u00e9taient en cours de d\u00e9veloppement, et chaque entreprise se basait sur ses propres conceptions et r\u00e8gles.<\/p>\n

\u00c0 l'heure actuelle, de nombreux mod\u00e8les de gestion des acc\u00e8s sont connus, mais ils n'ont pas \u00e9merg\u00e9 imm\u00e9diatement. Concentrons-nous sur ceux qui ont apport\u00e9 une contribution significative \u00e0 ce domaine.<\/p>\n

Le premier et probablement le plus simple mod\u00e8le est le Contr\u00f4le d'acc\u00e8s discr\u00e9tionnaire (DAC)<\/b> (DAC \u2013 Contr\u00f4le d'acc\u00e8s discr\u00e9tionnaire). Ce mod\u00e8le implique le partage des droits par tous les participants au processus d'acc\u00e8s. Chaque utilisateur a acc\u00e8s \u00e0 des objets ou op\u00e9rations sp\u00e9cifiques. En essence, ici, le nombre de sujets de droit correspond \u00e0 un nombre multiple d'objets. Ce mod\u00e8le a \u00e9t\u00e9 jug\u00e9 trop flexible et trop complexe \u00e0 g\u00e9rer : les listes d'acc\u00e8s deviennent au fil du temps \u00e9normes et difficiles \u00e0 contr\u00f4ler.<\/p>\n

Le deuxi\u00e8me mod\u00e8le est le Contr\u00f4le d'acc\u00e8s obligatoire (MAC \u2014 Mandatory access control)<\/b>. Dans ce mod\u00e8le, chaque utilisateur a acc\u00e8s \u00e0 un objet en fonction de l'autorisation formelle accord\u00e9e pour un certain niveau de confidentialit\u00e9 des donn\u00e9es. Par cons\u00e9quent, les objets doivent \u00eatre cat\u00e9goris\u00e9s par niveau de confidentialit\u00e9. Contrairement au premier mod\u00e8le flexible, celui-ci s'est r\u00e9v\u00e9l\u00e9 trop strict et restrictif. Son application n'est pas justifi\u00e9e lorsque l'entreprise dispose de nombreuses ressources d'information vari\u00e9es : pour restreindre l'acc\u00e8s \u00e0 diff\u00e9rentes ressources, il faut introduire de nombreuses cat\u00e9gories qui ne se croiseront pas.<\/p>\n

En raison des \u00e9videntes imperfections de ces deux m\u00e9thodes, la communaut\u00e9 informatique a poursuivi le d\u00e9veloppement de mod\u00e8les plus flexibles et plus ou moins universels pour soutenir diff\u00e9rents types de politiques organisationnelles de contr\u00f4le d'acc\u00e8s. C'est alors qu'est apparu le troisi\u00e8me mod\u00e8le de gestion des acc\u00e8s bas\u00e9 sur les r\u00f4les !<\/b> Cette approche s'est r\u00e9v\u00e9l\u00e9e la plus prometteuse, car elle n\u00e9cessite non seulement l'autorisation de l'identit\u00e9 de l'utilisateur, mais aussi de ses fonctions professionnelles dans les syst\u00e8mes.<\/p>\n

La premi\u00e8re structure de mod\u00e8le de r\u00f4le clairement d\u00e9crite a \u00e9t\u00e9 propos\u00e9e par des chercheurs am\u00e9ricains, David Ferraiolo et Richard Kuhn, du National Institute of Standards and Technology des \u00c9tats-Unis, en 1992. C'est alors que le terme RBAC (contr\u00f4le d'acc\u00e8s bas\u00e9 sur les r\u00f4les). <\/b>Ces recherches et descriptions des composants principaux, ainsi que leurs interactions, ont servi de base \u00e0 la norme actuelle INCITS 359-2012, adopt\u00e9e par le comit\u00e9 international des normes en technologies de l'information (INCITS).<\/p>\n

La norme d\u00e9finit le r\u00f4le comme \u00ab une fonction dans le contexte d'une organisation avec une certaine s\u00e9mantique associ\u00e9e aux pouvoirs et aux responsabilit\u00e9s qui incombent \u00e0 l'utilisateur d\u00e9sign\u00e9 pour ce r\u00f4le \u00bb. Le document \u00e9tablit les \u00e9l\u00e9ments de base de RBAC - utilisateurs, sessions, r\u00f4les, autorisations, op\u00e9rations et objets, ainsi que les relations et interrelations entre eux.<\/p>\n

La norme fournit la structure minimale n\u00e9cessaire pour construire un mod\u00e8le de r\u00f4le - r\u00e9unir des droits dans des r\u00f4les, puis accorder l'acc\u00e8s aux utilisateurs via ces r\u00f4les. Elle d\u00e9signe les m\u00e9canismes de composition des r\u00f4les \u00e0 partir d'objets et d'op\u00e9rations, d\u00e9crit la hi\u00e9rarchie des r\u00f4les et l'h\u00e9ritage des pouvoirs. En effet, dans toute entreprise, il existe des r\u00f4les rassemblant des pouvoirs \u00e9l\u00e9mentaires n\u00e9cessaires \u00e0 tous les employ\u00e9s. Cela peut inclure l'acc\u00e8s \u00e0 la messagerie \u00e9lectronique, \u00e0 la GED, au portail d'entreprise, etc. Ces pouvoirs peuvent \u00eatre regroup\u00e9s dans un r\u00f4le g\u00e9n\u00e9ral appel\u00e9 \u00ab employ\u00e9 \u00bb, ce qui \u00e9vite d'avoir \u00e0 lister \u00e0 chaque fois tous les droits \u00e9l\u00e9mentaires dans les r\u00f4les de niveau sup\u00e9rieur. Il suffit de sp\u00e9cifier l'attribut d'h\u00e9ritage du r\u00f4le \u00ab employ\u00e9 \u00bb.<\/p>\n

\"Construisons
\n
\nPlus tard, la norme a \u00e9t\u00e9 enrichie de nouveaux attributs d'acc\u00e8s li\u00e9s \u00e0 un environnement en constante \u00e9volution. La possibilit\u00e9 d'introduire des restrictions statiques et dynamiques a \u00e9t\u00e9 ajout\u00e9e. Les restrictions statiques impliquent l'impossibilit\u00e9 de combiner des r\u00f4les (le fameux contr\u00f4le des op\u00e9rations mentionn\u00e9 plus haut). Les restrictions dynamiques peuvent \u00eatre d\u00e9finies par des param\u00e8tres changeants, tels que le temps (heures ou jours ouvrables\/non ouvrables), la localisation (bureau\/maison), etc.<\/p>\n

Il convient de mentionner s\u00e9par\u00e9ment la gestion des acc\u00e8s bas\u00e9e sur les attributs (ABAC \u2014 Attribute-based access control).<\/b> Cette approche repose sur l'octroi d'acc\u00e8s via des r\u00e8gles de partage d'attributs. Ce mod\u00e8le peut \u00eatre utilis\u00e9 seul, mais il compl\u00e8te souvent le mod\u00e8le de r\u00f4le classique : il est possible d'ajouter des attributs d'utilisateurs, de ressources et de dispositifs \u00e0 un r\u00f4le d\u00e9termin\u00e9, ainsi que des param\u00e8tres de temps ou de localisation. Cela permet d'utiliser moins de r\u00f4les, d'introduire des restrictions suppl\u00e9mentaires et de rendre l'acc\u00e8s minimalement suffisant, ce qui am\u00e9liore par cons\u00e9quent la s\u00e9curit\u00e9.<\/p>\n

Par exemple, on peut autoriser un comptable \u00e0 acc\u00e9der aux comptes s'il travaille dans une r\u00e9gion sp\u00e9cifique. Dans ce cas, la localisation du sp\u00e9cialiste sera compar\u00e9e \u00e0 une valeur r\u00e9f\u00e9rentielle d\u00e9finie. On peut \u00e9galement accorder l'acc\u00e8s aux comptes uniquement si l'utilisateur s'authentifie \u00e0 partir d'un appareil enregistr\u00e9 dans la liste des autorisations. C'est un bon compl\u00e9ment au mod\u00e8le de r\u00f4le, mais il n'est pas souvent utilis\u00e9 seul en raison de la n\u00e9cessit\u00e9 de cr\u00e9er de nombreuses r\u00e8gles et tableaux d'autorisations ou de restrictions.<\/p>\n

Voici un exemple d'application de l'ABAC de ma \u00ab vie pr\u00e9c\u00e9dente \u00bb. Dans notre banque, il y avait plusieurs agences. Les employ\u00e9s des bureaux clients de ces agences effectuaient des op\u00e9rations tout \u00e0 fait identiques, mais devaient travailler dans le syst\u00e8me principal uniquement avec les comptes de leur r\u00e9gion. Au d\u00e9but, nous avons commenc\u00e9 \u00e0 cr\u00e9er des r\u00f4les distincts pour chaque r\u00e9gion \u2013 et il y avait \u00e9norm\u00e9ment de ces r\u00f4les avec une fonctionnalit\u00e9 r\u00e9p\u00e9titive, mais avec un acc\u00e8s \u00e0 diff\u00e9rents comptes ! Ensuite, en utilisant l'attribut de localisation pour l'utilisateur et en le liant \u00e0 une plage de comptes sp\u00e9cifique pour v\u00e9rification, nous avons consid\u00e9rablement r\u00e9duit le nombre de r\u00f4les dans le syst\u00e8me. En cons\u00e9quence, il ne restait que des r\u00f4les pour une seule agence, qui \u00e9taient dupliqu\u00e9s pour les postes correspondants dans toutes les autres subdivisions territoriales de la banque.<\/p>\n

Et maintenant, parlons des \u00e9tapes pr\u00e9paratoires n\u00e9cessaires, sans lesquelles il est tout simplement impossible de construire un mod\u00e8le de r\u00f4le fonctionnel.<\/p>\n

\u00c9tape 1. Cr\u00e9ons un mod\u00e8le fonctionnel<\/h2>\n

\nIl est important de commencer par cr\u00e9er un mod\u00e8le fonctionnel, un document de haut niveau dans lequel la fonctionnalit\u00e9 de chaque d\u00e9partement et de chaque poste est d\u00e9crite en d\u00e9tail. En g\u00e9n\u00e9ral, les informations proviennent de divers documents tels que les descriptions de poste et les r\u00e8glements relatifs aux d\u00e9partements, divisions et services. Le mod\u00e8le fonctionnel doit \u00eatre valid\u00e9 par tous les d\u00e9partements concern\u00e9s (gestion, contr\u00f4le interne, s\u00e9curit\u00e9) et approuv\u00e9 par la direction de l'entreprise. \u00c0 quoi sert ce document ? Pour que le mod\u00e8le de r\u00f4le puisse s'y r\u00e9f\u00e9rer. Par exemple, si vous pr\u00e9voyez de construire un mod\u00e8le de r\u00f4le bas\u00e9 sur les droits des employ\u00e9s existants, extraits du syst\u00e8me et \u00ab harmonis\u00e9s \u00bb. Ensuite, lors de la validation des r\u00f4les obtenus avec le propri\u00e9taire commercial du syst\u00e8me, il est possible de se r\u00e9f\u00e9rer \u00e0 un point particulier du mod\u00e8le fonctionnel, sur la base duquel un droit sp\u00e9cifique est inclus dans le r\u00f4le.<\/p>\n

\u00c9tape 2. Audit des syst\u00e8mes informatiques et \u00e9tablissement d'un plan de priorisation<\/h2>\n

\n\u00c0 ce stade, il est n\u00e9cessaire de r\u00e9aliser un audit des syst\u00e8mes informatiques pour comprendre comment l'acc\u00e8s \u00e0 ces derniers est organis\u00e9. Par exemple, dans ma soci\u00e9t\u00e9 financi\u00e8re, plusieurs centaines de syst\u00e8mes d'information \u00e9taient en service. Tous ces syst\u00e8mes poss\u00e9daient des \u00e9l\u00e9ments d\u2019une gestion des r\u00f4les, la plupart du temps sous forme de r\u00f4les, mais souvent sur papier ou dans le registre du syst\u00e8me \u2013 ils \u00e9taient devenus obsol\u00e8tes, et l'acc\u00e8s y \u00e9tait accord\u00e9 sur la base des demandes des utilisateurs. Naturellement, il est impossible de construire un mod\u00e8le de r\u00f4le instantan\u00e9ment pour plusieurs centaines de syst\u00e8mes, il faut par o\u00f9 commencer. Nous avons r\u00e9alis\u00e9 une analyse approfondie du processus de gestion des acc\u00e8s pour d\u00e9terminer son niveau de maturit\u00e9. Au cours de cette analyse, nous avons \u00e9tabli des crit\u00e8res de priorisation des syst\u00e8mes d'information : criticit\u00e9, pr\u00e9paration, plans de d\u00e9saffectation, etc. Gr\u00e2ce \u00e0 ceux-ci, nous avons construit une s\u00e9quence pour le d\u00e9veloppement\/la mise \u00e0 jour des mod\u00e8les de r\u00f4les pour ces syst\u00e8mes. Puis nous avons int\u00e9gr\u00e9 les mod\u00e8les de r\u00f4les dans le plan d'int\u00e9gration avec la solution de gestion des identit\u00e9s, afin d'automatiser la gestion des acc\u00e8s.<\/p>\n

Alors, comment d\u00e9terminer la criticit\u00e9 d'un syst\u00e8me ? R\u00e9pondez aux questions suivantes :<\/p>\n