Les contrôles d'accès aux ressources avec IAM

Présentation

La gestion des accès aux ressources Azure permet de déterminer qui peut y accéder et les opérations que cette identité peut réaliser et sur quel périmètre.

Dans le portail Azure, la page Contrôle d'accès (IAM) permet de consulter et de gérer les autorisations. IAM signifie Identity and Access Management, autrement dit gestion des identités et des accès. Pour les ressources Azure, cette page s'appuie sur Azure RBAC (Role-Based Access Control), le contrôle d'accès basé sur les rôles.

Les éléments d'une attribution de rôle

Une attribution de rôle associe les trois éléments suivants :

Élément	Description	Exemple
Identité	Qui bénéficie des autorisations ?	Un utilisateur, un groupe, un principal de service ou une identité managée
Rôle	Quelles opérations sont autorisées ?	Consulter les ressources ou gérer les machines virtuelles
Étendue	Sur quel périmètre ces autorisations s'appliquent-elles ?	Un abonnement, un groupe de ressources ou une ressource

Par exemple, attribuer le rôle Lecteur à un groupe d'utilisateurs sur un groupe de ressources permet à ses membres de consulter les ressources de ce groupe. Cette attribution ne leur permet pas de les modifier. Azure propose des rôles intégrés et permet de créer des rôles personnalisés.

Les principaux rôles

Les rôles suivants répondent à des besoins courants :

Rôle	Principales autorisations
Lecteur (Reader)	Consulter la configuration des ressources sans la modifier
Contributeur (Contributor)	Créer, modifier et supprimer des ressources, sans pouvoir attribuer des rôles Azure RBAC
Propriétaire (Owner)	Gérer les ressources et attribuer des rôles Azure RBAC
Administrateur du contrôle d'accès en fonction du rôle (Role Based Access Control Administrator)	Gérer les accès en attribuant des rôles Azure RBAC

Des rôles spécialisés permettent de limiter les autorisations à certains services ou certaines opérations. Par exemple, le rôle Contributeur de machine virtuelle permet de gérer les machines virtuelles sans accorder les mêmes possibilités sur l'ensemble des services Azure.

L'étendue et l'héritage des autorisations

Une attribution de rôle peut être définie à quatre niveaux :

Étendue	Périmètre concerné
Groupe de gestion	Les abonnements rattachés au groupe et leurs ressources
Abonnement	Les groupes de ressources et les ressources de l'abonnement
Groupe de ressources	Les ressources contenues dans ce groupe
Ressource	La ressource concernée et ses éventuelles ressources enfants

Les autorisations sont héritées des niveaux supérieurs. Ainsi, un rôle attribué sur un abonnement s'applique également aux ressources de ses groupes de ressources.

Les autorisations accordées par plusieurs attributions se cumulent. Un utilisateur Contributeur sur un abonnement reste Contributeur sur ses groupes de ressources, même si le rôle Lecteur lui est également attribué sur l'un d'eux. Cette dernière attribution ne réduit pas ses droits.

Attribuer un rôle dans le portail Azure

Pour accorder un accès :

1. Ouvrez l'abonnement, le groupe de ressources ou la ressource concernée.
2. Sélectionnez Contrôle d'accès (IAM).
3. Cliquez sur Ajouter, puis sur Ajouter une attribution de rôle.
4. Sélectionnez le rôle adapté.
5. Sélectionnez l'utilisateur, le groupe ou l'identité concernée.
6. Vérifiez les informations et validez l'attribution.

L'opérateur doit disposer de l'autorisation d'attribuer des rôles à cette étendue, par exemple via le rôle Propriétaire ou Administrateur du contrôle d'accès en fonction du rôle.

Consulter et retirer les accès

Dans la page IAM, l'onglet Attributions de rôles présente les attributions applicables à l'étendue sélectionnée, en particulier celles héritées des niveaux supérieurs.

Pour retirer une autorisation, il suffit de supprimer l'attribution correspondante à l'étendue où elle a été créée. Toutefois, une identité peut conserver un accès grâce à une autre attribution, directement ou par l'intermédiaire d'un groupe.

Distinguer les accès aux ressources et aux données

Gérer une ressource ne signifie pas nécessairement pouvoir consulter les données qu'elle contient.

Par exemple, le rôle Lecteur sur un compte de stockage permet de consulter sa configuration, mais n'accorde pas la lecture de ses blobs. Un rôle destiné aux données, tel que Lecteur des données Blob du stockage, peut être nécessaire. Il faut donc distinguer les opérations de gestion des ressources des opérations d'accès aux données.

Distinguer les rôles Azure et Microsoft Entra

Les rôles Azure RBAC gèrent les accès aux ressources Azure : machines virtuelles, réseaux, comptes de stockage, etc.

Les rôles Microsoft Entra permettent d'administrer l'annuaire : utilisateurs, groupes, applications, etc. Par défaut, être administrateur général de Microsoft Entra n'accorde pas automatiquement les droits de gestion sur toutes les ressources Azure.

Appliquer le principe du moindre privilège

Le principe du moindre privilège consiste à accorder uniquement les autorisations nécessaires, sur le périmètre le plus restreint possible.

Par exemple, si une application doit accéder à un seul compte de stockage, l'attribution doit cibler ce compte plutôt que l'ensemble de l'abonnement. Cette approche limite les ressources auxquelles l'identité peut accéder et renforce ainsi la sécurité.