Sépare les comptes utilisateur, administratifs, de service et de secours

01Pars du problème SORIA Distribution

L’équipe exploite l’ERP, l’annuaire, le réseau et les sauvegardes. Trois administrateurs possèdent encore des usages quotidiens et privilégiés difficiles à distinguer. Des workloads utilisent aussi des identités techniques, tandis que deux comptes d’urgence doivent rester disponibles sans devenir des raccourcis quotidiens.

L’état initial n’est pas « aucun compte ». Il contient des identités utiles, mais leur usage doit être rendu explicite.

02Manipule le catalogue synthétique

lab=/tmp/soria-hardening-lot2-$USER
bash module2-privileged-access-secrets.sh setup "$lab"
bash module2-privileged-access-secrets.sh run "$lab"

column -s, -t "$lab/output/identity-catalog.csv"
column -s, -t "$lab/output/account-separation-review.csv"

Observe les quatre types :

daily-user
privileged-admin
service
emergency

Chaque compte possède un propriétaire ou responsable, un usage, un périmètre, un statut et une date de revue.

03Fixe l’exigence cible

Pour toute personne privilégiée :

une identité quotidienne nominative
+
une identité administrative nominative distincte
+
un périmètre administratif justifié
+
une date de revue
+
une méthode de suspension et de révocation

Pour un workload, le propriétaire est une équipe responsable et l’usage est non interactif. Pour l’urgence, l’activation est exceptionnelle, approuvée, limitée dans le temps et revue après usage.

04Observe le cumul interdit

column -s, -t "$lab/output/prohibited-combinations.csv"

Le lab retire de l’état cible ENT-007, un shell privilégié hérité par acct-user-ops01, compte quotidien.

Le contrôle ne dit pas que tout droit sur un compte quotidien est interdit. Il interdit le droit privilégié non nécessaire au travail quotidien.

05Teste positivement la séparation

Le test positif vérifie que chaque propriétaire administratif possède deux comptes distincts :

person-ops-01 → acct-user-ops01 + acct-admin-ops01
person-id-01  → acct-user-id01  + acct-admin-id01
person-net-01 → acct-user-net01 + acct-admin-net01

Le test fonctionnel vérifie que le compte quotidien continue d’accéder aux fonctions métier nécessaires et que le compte administratif conserve les opérations autorisées.

06Provoque le test négatif

Pendant validate, une copie ajoute un droit full-admin à acct-user-sales01.

La variante doit produire :

Negative test blocked: daily identity with privileged entitlement

Si elle passe, la validation complète échoue. L’assertion a été écrite avant l’implémentation et ne dépend pas du résultat désiré.

07Prépare la révocation

column -s, -t "$lab/output/revocation-plan.csv"

Pour un départ ou une compromission, le plan relie :

• suspension du compte quotidien ;
• suspension du compte administratif associé ;
• retrait des groupes ;
• retrait des délégations et droits directs ;
• identification des secrets et workloads dépendants ;
• revue et preuve.

Le rollback ne consiste pas à réactiver aveuglément une identité compromise. Il restaure seulement une configuration de fixture connue pour vérifier que le changement est réversible.

08Conserve la limite de preuve

Le lab prouve la cohérence de fichiers synthétiques. Il ne prouve pas :

un compte créé ou désactivé dans Active Directory
une session invalidée
un ticket Kerberos supprimé
un token SSO révoqué
une identité de workload réellement limitée

L’artefact attendu est identity-catalog.csv, accompagné de la revue de séparation et du plan de révocation.