Applique le moindre privilège et délègue sans surautoriser

L’idée reçue

« Le moindre privilège signifie retirer le maximum de droits. »

Retirer sans connaître la fonction requise peut interrompre la mission. Le contrôle consiste à conserver exactement ce qui est justifié, puis à prouver le résultat.

01Établis le besoin avant le retrait

SORIA Distribution doit maintenir cinq fonctions représentées : lire les commandes, redémarrer l’ERP, gérer le cycle de vie des utilisateurs, administrer la politique réseau et écrire les sauvegardes.

column -s, -t "$lab/source/privileges/access-requirements.csv"

Chaque exigence associe compte, ressource, permission requise, propriétaire métier et test fonctionnel.

02Manipule la matrice de privilèges

column -s, -t "$lab/output/privilege-matrix.csv"
column -s, -t "$lab/output/least-privilege-review.csv"

ENT-007 est retiré parce qu’il donne un shell privilégié à un compte quotidien. Les autres droits sont conservés car une exigence fonctionnelle les justifie.

03Réduis la délégation trop large

État initial :

DEL-003
scope=all-servers
permission=full-admin
end_condition=none

État cible :

scope=app-prod
permission=restart-erp
end_condition=role-change
revocation=remove-entitlement

column -s, -t "$lab/output/delegation-review.csv"

La délégation est bornée par la ressource, l’opération, l’approbateur et sa fin.

04Observe les décisions possibles

Décision

Condition

Preuve

KEEP

fonction requise et propriétaire connu

test fonctionnel réussi

RESTRICT

besoin réel mais périmètre trop large

before/target et refus hors périmètre

REMOVE

aucun besoin valide

absence du droit et mission préservée

EXCEPTION

retrait impossible à court terme

propriétaire, expiration et contrôle compensatoire

05Teste positivement et négativement

Test positif : acct-admin-ops01 conserve restart-erp sur app-prod.

Test négatif : un droit privilégié sans justification, approbation ou propriétaire est injecté dans une copie. Le validateur doit le bloquer :

Negative test blocked: privilege without owner or justification

Le test négatif vérifie la politique, pas seulement la présence du fichier.

06Vérifie la conséquence fonctionnelle

La réduction ne doit pas supprimer :

REQ-201 lecture des commandes
REQ-202 redémarrage ERP
REQ-203 cycle de vie annuaire
REQ-204 administration réseau
REQ-205 écriture de sauvegarde

Un contrôle qui bloque la mission sans procédure acceptée n’est pas validé.

07Prépare révocation et rollback

Chaque transformation figure dans rollback-manifest.csv. Le lab restaure une copie target vers before et compare les arbres :

cat "$lab/output/rollback-report.txt"

Résultat attendu :

ROLLBACK_FIXTURE_MATCH

Sur un système réel, le rollback doit respecter le risque : rétablir une délégation retirée par erreur est différent de réactiver un droit compromis.

08Déclare ce qui reste non prouvé

Le lab ne modifie aucun groupe AD, sudoers, rôle IAM ou RBAC Kubernetes. Il démontre seulement qu’une décision synthétique est cohérente, justifiée et réversible.

L’artefact attendu est la matrice de privilèges, la revue de délégation, le registre d’exceptions et la preuve de rollback.

Livrable

Défends trois décisions de privilège

Choisis un droit à conserver, un à restreindre et un à retirer. Pour chacun, fournis besoin, propriétaire, test positif, test négatif, conséquence fonctionnelle, révocation et limite.

✓À retenir

Le moindre privilège est une décision attribuable et testée, pas une réduction aveugle du nombre de permissions.