Authentification
10.B.3-EI/EE
Renouveler le secret d’un compte partagé après le retrait d’un utilisateur
Retirer une personne de la liste ne suffit pas si elle connaît encore le secret commun : ce secret doit être changé.
IAG + autre brique
Briques principalesPAM, coffre-fort ou système cible capable d’effectuer la rotation.
Mis en pratique dansComptes partagés
1 · Ce que demande l’ANSSI
Lorsqu’une personne cesse d’être autorisée à utiliser un compte partagé, le secret de ce compte est renouvelé.
Source : ANSSI — ReCyF, objectif de sécurité 10 · 10.B.3-EI/EE
2 · En clair
Retirer une personne de la liste ne suffit pas si elle connaît encore le secret commun : ce secret doit être changé.
IAG + autre brique
3 · Ce que fait l’IAG
- 01Connaître la population autorisée à utiliser le compte partagé.
- 02Détecter un départ ou un changement de fonction depuis la source de référence.
- 03Retirer l’autorisation de la personne concernée.
- 04Déclencher un workflow qui demande la rotation du secret.
4 · Exemple de mise en œuvre
Un départ ou une mobilité retire une personne de la population autorisée.
L’IAG enregistre ce retrait et déclenche une demande de rotation.
Le PAM, le coffre-fort ou le système cible change effectivement le secret.
Le résultat ou la tâche associée est suivi dans le workflow.
5 · Ce que l’IAG ne fait pas
L’IAG ne change pas lui-même le secret partagé lorsqu’il n’est pas le composant qui le stocke et le distribue.
Briques ou acteurs complémentaires : PAM, coffre-fort ou système cible capable d’effectuer la rotation.
6 · Traces disponibles
- Population autorisée avant et après le retrait
- Événement déclencheur
- Décision ou workflow de retrait
- Demande de rotation et état de traitement
Ces traces permettent d’étayer la mise en œuvre. Elles ne constituent pas une preuve automatique de conformité.
Qui fait quoi
Les briques nécessaires à cette mesure.
- Ce que gouverne l’IAG
- Qui a le droit d’utiliser le compte ?
- Ce que fait le PAM ou le coffre-fort
- Comment un secret privilégié ou partagé est protégé et utilisé ?
Comment le mettre en place
De l’exigence à la mise en œuvre.
- 01Détecter le départ ou le retrait d’une autorisation.
- 02Retirer l’autorisation au compte partagé.
- 03Déclencher la demande de rotation auprès du PAM, du coffre-fort ou du système cible.
- 04Confirmer que la rotation a bien été réalisée.
Source : ANSSI — ReCyF, objectif de sécurité 10. Voir aussi : ANSSI — ReCyF en pratique, Gestion des identités. Détail des sources
Pour lancer le projet
Choisissez une première offre, puis obtenez un prix adapté à votre périmètre.
Voyons quelles briques vous pouvez automatiser avec un premier IAG.
Netwrix édite la solution. Ariovis est l’équipe française avec laquelle vous la choisissez, l’achetez et la déployez.