Aujourd’hui, alors que les équipes administratives des entreprises sont amenées à faire plus avec moins, la tendance au libre-service n’a jamais été aussi forte. Le fait de déléguer les tâches routinières, telles que les sauvegardes et les restaurations de fichiers demandées par les utilisateurs, permet à l’équipe informatique principale de gagner du temps et de se concentrer sur des tâches plus essentielles. Cependant, l’octroi d’un accès à ces outils puissants, qui hébergent les données les plus critiques de votre entreprise, doit être strictement contrôlé afin de respecter les exigences de conformité en matière de données et d’éviter toute conséquence involontaire ou malveillante.
Alors, comment permettre aux utilisateurs d’accéder à ces fonctions légitimes tout en évitant toute conséquence indésirable ou préjudiciable ? C’est simple : en combinant les modèles RBAC et EBAC, vous pouvez accorder aux utilisateurs des droits d’accès conformes aux exigences de conformité des données de votre organisation.
Qu’est-ce que le RBAC et comment l’utiliser ?
Le contrôle d’accès basé sur les rôles (ou RBAC) existe depuis toujours, et les administrateurs connaissent très bien ce concept. Dans sa forme la plus simple, il permet d’accorder à des utilisateurs spécifiques des droits d’accès en lecture seule, en écriture ou en lecture/écriture. À l’époque où le partage de fichiers était simple, cela répondait aux besoins de la plupart des utilisateurs. Cependant, dans le monde de l’entreprise d’aujourd’hui, nous avons besoin d’une granularité bien plus fine.
L’époque où l’on accordait des droits d’administrateur super-privilégiés à tout le monde est révolue depuis longtemps. Seuls quelques utilisateurs triés sur le volet devraient disposer de ces droits « divins », qui doivent faire l’objet d’une surveillance et d’un contrôle rigoureux. À l’inverse, un accès en lecture seule peut s’avérer trop restrictif et empêcher les utilisateurs d’accomplir leurs tâches, ce qui les amène à ouvrir des tickets auprès de l’équipe informatique. Il doit être possible de trouver un juste milieu.
Chez Clumio, nous permettons aux administrateurs d’attribuer à leurs utilisateurs finaux des rôles prédéfinis spécifiques qui correspondent mieux à leurs fonctions professionnelles, sans pour autant être trop larges ni trop restrictifs. En un coup d’œil, la liste de rôles ci-dessous devrait couvrir 99 % des niveaux d’autorisation que les administrateurs souhaitent accorder à leurs utilisateurs sans pour autant « leur donner les clés du château ».
De plus, chaque rôle dispose de contrôles très précis.
Qu’est-ce que l’EBAC et comment l’utiliser ?
Le contrôle d’accès basé sur les entités (EBAC) est un concept relativement récent qui permet de mettre en place des barrières de sécurité autour de ressources spécifiques et de les regrouper afin de mieux contrôler les accès de vos utilisateurs. Ce concept s’avère particulièrement efficace pour les entreprises et même pour les MSP (fournisseurs de services gérés), car il permet d’offrir un meilleur support et de favoriser une expérience en libre-service pour les demandes courantes des utilisateurs.
L’approche de Clumio en matière d’EBAC introduit le concept d’« unité organisationnelle » (OU). Les administrateurs peuvent créer ces OU, puis y affecter des utilisateurs et des ressources spécifiques afin d’assurer l’isolation, de restreindre les accès extérieurs et de limiter l’ampleur des répercussions en cas d’accès non autorisé. Prenons un exemple concret pour illustrer comment le RBAC et l’EBAC fonctionnent de concert afin d’offrir un mécanisme simple mais puissant de gestion des accès aux données.
Fonctionnement du RBAC et de l’EBAC dans Cohesion
Dans le schéma ci-dessous, nous avons créé trois unités organisationnelles (OU) distinctes : « AWS Team », « VMC Team » et « M365 Team ». Chacune de ces OU contient des ressources spécifiques, telles que des comptes AWS, des SDDC VMware Cloud on AWS et des domaines M365.
Par exemple : lorsque l’utilisateur Dennis se connecte, il ne peut voir que les ressources de l’unité organisationnelle (OU) à laquelle il appartient, à savoir les deux domaines M365. Dennis étant administrateur de cette unité organisationnelle, il dispose d’un contrôle total sur tout ce qui se trouve au sein de son unité organisationnelle « M365 Team », mais il n’a ni accès ni visibilité sur les unités organisationnelles « VMC Team » ou « AWS Team ».
En revanche, Jim travaille au service d’assistance et son compte utilisateur existe dans les trois unités organisationnelles. Lorsqu’il se connecte, il a accès aux ressources des trois unités organisationnelles, mais ses autorisations, limitées au service d’assistance, ne lui permettent d’effectuer que des tâches spécifiques au sein de chacune des unités organisationnelles dont il fait partie.
En résumé, le RBAC détermine ce que vous pouvez faire, tandis que l’EBAC détermine ce que vous pouvez voir. En combinant ces deux méthodes de contrôle, vous pouvez accorder en toute sécurité l’accès à des outils d’entreprise puissants tels que Clumio, tout en respectant vos exigences en matière de conformité des données.
Regardez cette démonstration pour découvrir comment configurer rapidement des contrôles d’accès dans Clumio.
