FacileChoix unique

Question d'entraînement CLF-C02

Quelle fonctionnalité IAM permet d'accorder un accès temporaire et limité aux ressources AWS à des utilisateurs qui ne possèdent pas de compte AWS, tels que des prestataires externes ?

Choisissez la meilleure réponse.

Bonne réponse

BIAM Roles avec un accès inter-comptes

Explication

Les rôles IAM avec un accès inter-comptes permettent d'accorder des autorisations temporaires et limitées à des utilisateurs d'un autre compte AWS ou à des fournisseurs d'identité externes (par exemple, des prestataires externes) sans créer d'utilisateurs IAM pour eux. Le rôle est assumé via AWS Security Token Service (STS), qui délivre des justificatifs temporaires expirant après une durée définie, garantissant ainsi un accès avec privilèges minimums.

Pourquoi chaque option est juste ou fausse

Fausse

IAM Groups

Les groupes IAM sont des conteneurs logiques utilisés pour attacher des politiques de permissions à plusieurs utilisateurs IAM en même temps au sein d'un même compte AWS. Ils constituent une commodité administrative pour gérer les permissions d'identités que vous avez déjà créées en tant qu'utilisateurs IAM, mais ils ne disposent d'aucune capacité d'authentification — les groupes ne sont pas des entités principales (principals) et ne possèdent pas d'identifiants. Le groupe étant entièrement interne à votre compte et fonctionnant sur des utilisateurs IAM existants, il ne peut pas être utilisé pour accorder l'accès à une partie externe à votre compte AWS ; il n'existe aucun moyen d'ajouter une entité externe à un groupe IAM sans créer au préalable un utilisateur IAM permanent pour cette entité.

Juste

IAM Roles avec un accès inter-comptes

Les rôles IAM avec un accès inter-comptes constituent l'approche adéquate car ils créent une relation de confiance temporaire et délimitée avec une identité externe. Vous configurez la politique de confiance du rôle pour permettre à un compte AWS externe spécifique ou à un fournisseur d'identité fédéré d'appeler l'opération AssumeRole de Security Token Service (STS), ce qui fournit en retour des identifiants à courte durée de vie. La politique de permissions du rôle définit précisément les actions et les ressources auxquelles la partie externe peut accéder, ce qui vous permet d'appliquer des contrôles précis de moindre privilège sans jamais créer d'utilisateur IAM permanent pour cette partie. Les identifiants expirant automatiquement (généralement en une heure), cette conception réduit les risques et constitue le modèle standard pour accorder un accès contrôlé à des collaborateurs ou applications externes.

Fausse

IAM password policies

Les politiques de mot de passe IAM sont des règles locales au compte qui imposent des restrictions de complexité, de longueur minimale, de rotation et de réutilisation des mots de passe pour les utilisateurs IAM déjà définis dans votre compte. Elles s'appliquent uniquement aux identifiants qui existent au sein de votre propre répertoire d'identités, de sorte qu'une partie externe ne dispose d'aucun mot de passe régi par celles-ci. Plutôt que de créer un quelconque octroi d'accès, ces politiques se contentent de contraindre la manière dont les utilisateurs internes gèrent leurs propres secrets de connexion, les rendant sans pertinence lorsqu'il s'agit d'accorder l'accès à une personne extérieure à votre compte AWS.

Fausse

Service Control Policies (SCPs)

Les politiques de contrôle de service (Service Control Policies ou SCPs) sont des fonctionnalités d'AWS Organizations qui agissent comme des barrières de sécurité pour les permissions sur l'ensemble des comptes de l'organisation. Elles sont restrictives et non permissives : une SCP peut refuser ou limiter ce que les entités principales d'un compte membre peuvent faire, mais elle n'octroie jamais de nouvelles permissions et ne permet pas à une entité principale d'exister. Crucialement, les SCPs s'appliquent uniquement aux entités principales déjà présentes dans les comptes membres, de sorte qu'elles ne peuvent pas fournir de mécanisme permettant à une partie externe d'obtenir un accès authentifié — elles réduisent uniquement les permissions effectives des identités que le compte possède déjà.

Pour aller plus loin

Le concept sous-jacent testé par cette question est la fédération d'identités et l'accès délégué dans AWS. Les rôles IAM ne sont pas la seule manière d'accorder un accès inter-comptes — AWS prend également en charge des politiques basées sur les ressources sur des services tels que S3 et SNS qui peuvent être partagées directement avec un compte externe —, mais les rôles constituent le mécanisme universel car la politique de confiance peut spécifier qui est autorisé à assumer le rôle et la politique de permissions précise ce qu'ils peuvent faire une fois ce rôle assumé. Une idée reçue courante est qu'il est obligatoire de créer un utilisateur IAM pour chaque collaborateur externe ; en réalité, les rôles inter-comptes éliminent les identifiants à longue durée de vie et le risque de fuite de clés d'accès statiques. La subtilité majeure réside dans la distinction entre l'authentification (prouver qui l'on est, gérée par le fournisseur d'identité ou le compte externe) et l'autorisation (déterminer ce que l'on est autorisé à faire, gérée par les politiques du rôle). Pour les utilisateurs externes qui ne possèdent aucun compte AWS spécifique, vous pouvez étendre ce même modèle basé sur les rôles en utilisant la fédération SAML ou OIDC, où la politique de confiance authentifie le fournisseur d'identité externe plutôt qu'un compte AWS. Cette conception est au cœur des principes de sécurité AWS Well-Architected relatifs aux privilèges minimums et aux identifiants temporaires, ce qui explique pourquoi les rôles inter-comptes constituent la réponse recommandée par rapport à tout identifiant permanent ou à toute politique organisationnelle.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement CLF-C02 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.