Le défi : éliminer les privilèges permanents
Dans le paysage des menaces moderne, la présence de comptes à privilèges permanents (où les utilisateurs conservent des autorisations élevées 24h/24 et 7j/7) est une vulnérabilité de sécurité critique. Même avec un MFA renforcé, ces comptes restent des cibles de grande valeur pour les cybercriminels. L’objectif du secteur est d’implémenter un modèle Zero Standing Privilege (ZSP) robuste et évolutif, concrétisé au moyen des capacités natives d’Okta Identity Governance (OIG) grâce auxquelles les rôles les plus sensibles ne sont actifs que lorsqu’ils sont explicitement nécessaires.
La solution : un modèle de gouvernance des accès à deux niveaux
Cette solution met en œuvre un modèle d’accès unique à deux niveaux au sein d’OIG qui sépare l’éligibilité à long terme de l’activation à court terme. Sa conception assure une gouvernance continue, tout en réduisant considérablement la surface d’attaque active.
Niveau 1 : éligibilité au rôle (validation à long terme)
Ce niveau détermine qui est autorisé à accéder au rôle doté de privilèges élevés.
- Mécanisme : une condition de demande d’accès (ARC, Access Request Condition) liée à un groupe éligible, à savoir un groupe qui n’est pas utilisé directement pour l’accès à l’application concernée.
- Processus d’approbation : nécessite une validation humaine stricte en plusieurs étapes, comprenant généralement l’approbation du responsable hiérarchique et l’approbation du propriétaire du rôle.
- Gouvernance : l’appartenance au rôle est soumise à un examen régulier des accès utilisateurs (p. ex. tous les 90 jours).
- Résultat : l’utilisateur obtient le droit permanent d’activer le rôle, mais le rôle n’est pas encore attribué dans l’application cible.
Niveau 2 : activation en flux tendu (élévation de privilèges ponctuelle)
Ce niveau gère l’élévation de privilèges temporaire nécessaire pour effectuer une tâche.
- Mécanisme : une demande ARC distincte liée directement au groupe/rôle à privilèges final dans l’application cible. Cette demande n’est visible que par les membres du groupe admissible de niveau 1.
- Durée limitée : l’accès est strictement limité dans le temps (p. ex. 4, 8 ou 12 heures) et automatiquement révoqué par OIG.
- Flexibilité : l’approbation peut être personnalisée (p. ex. auto-approuvée via la relation avec le responsable dans Okta) ou mise en application (p. ex. approbation par les pairs) en fonction de la sensibilité du rôle.
- Résultat : l’utilisateur se voit attribuer dynamiquement le rôle de super-administrateur pour une durée précise, atteignant ainsi l’objectif ZSP.
Contrôles de sécurité : plus que du simple timeboxing
Cette solution offre une sécurité maximale grâce à l’emploi de contrôles Okta complémentaires :
- Comptes secondaires (bonne pratique) : les entreprises utilisent souvent des comptes à privilèges distincts avec des politiques d’authentification et de session très strictes (p. ex. nécessitant YubiKey, Device Trust, FIDO2, etc.). Grâce à cette approche, les identifiants utilisés pour les actions à privilèges sont beaucoup plus sécurisés que le compte standard de l’utilisateur.
- Intégration d’applications cibles :
- Pour les applications utilisant SAML/OIDC, l’utilisation des affectations de groupe peut court-circuiter efficacement l’authentification unique (SSO). L’utilisateur ne peut pas se connecter tant qu’il n’a pas activé son accès en flux tendu via le workflow OIG.
- Pour les applications recourant à SCIM, l’activation déclenche le provisionnement en flux tendu et l’attribution de droits dans le système cible pour la durée limitée.
Accédez à notre guide pratique pour obtenir une méthodologie de configuration étape par étape.
Okta comme plateforme PIM
Ce framework repose entièrement sur des fonctionnalités propriétaires Okta IGA et Workflow, démontrant qu’Okta peut servir de solution PIM (Privileged Identity Management) performante pour toute application intégrée.
Ne manquez pas notre guide pratique qui vous fournira des instructions étape par étape permettant de déployer ce modèle ZSP dans votre propre environnement Okta.
Accédez à d’autres références Okta utiles ci-dessous :
Transformer l’onboarding grâce à la sécurité sans mot de passe
Notre parcours de sécurité proactif : adopter Okta Identity Threat Protection
Renforcer la sécurité grâce à la vérification des identités pour les nouvelles recrues
Provisioning en masse avec Okta Workflows pour des accès plus rapides
