Introduction de l'IAM

La gestion des identités et des accès (Identity and Access Management - IAM) est un ensemble de politiques conçues pour répondre aux exigences en matière de sécurité informatique en gérant la manière dont les utilisateurs interagissent avec les ressources numériques et en contrôlant leurs actions autorisées. Cette fonctionnalité est maintenant disponible sur les routeurs DrayOS 5, offrant une nouvelle approche pour la gestion du réseau. Cet article vous montrera comment utiliser l'IAM sur un routeur DrayOS 5.

L'IAM offre un ensemble complet d'améliorations de sécurité puissantes pour les routeurs DrayOS 5. Avec l'IAM, les administrateurs peuvent contrôler les privilèges des utilisateurs, définir des politiques d'accès et coordonner sans heurts les politiques de groupe avec le pare-feu et les paramètres d'accès conditionnel. Par rapport au pare-feu legacy sur les routeurs DrayOS 4, l'IAM permet aux administrateurs de gérer le réseau en fonction des rôles. L'option Utilisateurs & Groupes permet aux administrateurs d'affecter différents niveaux de privilèges aux comptes utilisateurs.

De plus, DrayOS5 est prêt pour la confiance zéro ! Le principe de l'IAM est de ne jamais faire confiance et toujours vérifier. Sous les politiques IAM, vous trouverez des politiques d'accès, des politiques de groupe et des politiques d'accès conditionnel. Les politiques d'accès garantissent que seuls les utilisateurs ou appareils autorisés peuvent accéder aux ressources et services tels que l'authentification par login pour les utilisateurs ou le hotspot invité et la liste MAC pour les appareils. Les politiques de groupe combinent des filtres IP et du contenu, ainsi que les paramètres d'accès conditionnel. Les politiques d'accès conditionnel peuvent exiger aux utilisateurs de fournir plusieurs formes d'authentification avant d'être autorisés à accéder à une ressource. Les politiques peuvent également être appliquées aux VLANs. L'option Ressources permet de consigner les adresses IP et MAC des appareils locaux tels que les postes de travail, serveurs, etc., ce qui peut grandement renforcer l'efficacité de vos politiques d'accès.

Exemple de configuration

L'exemple suivant montre comment autoriser aux utilisateurs LAN privilégiés d'accéder à une ressource serveur interne.

1. Accédez à IAM / Utilisateurs & Groupes / Utilisateurs, cliquez sur le bouton "Ajouter" pour créer un profil utilisateur IAM comme suit :

• Entrez Nom d'utilisateur et Mot de passe.
• Activez l'authentification multifacteur (MFA) avec TOTP.
• Cliquez sur "Appliquer" et validez le jeton TOTP avec l'application Authenticator.

2. Accédez à IAM / Politiques IAM / Politiques d'accès, cliquez sur le bouton "Ajouter" pour créer un profil de politique d'accès comme suit :

• Entrez le nom du profil de politique.
• Sélectionnez Se connecter avec l'utilisateur intégré dans le mode Contrôle d'accès.
• Sélectionnez Multifacteur dans le mode Authentification.
• Cliquez sur "Appliquer" pour sauvegarder le profil.

3. Accédez à IAM / Ressources, cliquez sur le bouton "Ajouter" pour créer une ressource comme suit :

• Vous pouvez choisir le type de ressource et entrer l'adresse selon votre environnement.
• Ici nous utilisons un serveur ACS3, Adresse IP : 192.168.36.100 en exemple.
• Cliquez sur "Appliquer" pour sauvegarder le profil.

4. Accédez à IAM / Politiques IAM / Politiques d'accès conditionnel, cliquez sur le bouton "Ajouter" pour créer un profil de politique d'accès conditionnel comme suit :

• Entrez le nom du profil de politique.
• Activez la condition MFA pour demander l'authentification multifacteur lors de l'accès aux ressources.
• Il est optionnel de configurer une adresse IP source et un horaire pour autoriser l'accès des utilisateurs à partir d'une IP spécifique et d'un créneau horaire.

5. Accédez à IAM / Politiques IAM / Politiques de groupe, cliquez sur le bouton "Ajouter" pour créer un profil de politique de groupe comme suit :

• Entrez le nom du profil de politique.
• Activez l'horaire pour restreindre l'accès pendant les heures de bureau.
• Appliquez la ressource et la politique d'accès conditionnel dans la ressource autorisée.
• Il est optionnel de configurer un filtre pare-feu personnalisé du groupe pour restreindre l'accès Internet des utilisateurs.

6. Accédez à IAM / Politiques IAM / Appliquer les politiques au LAN, appliquez le profil de politique d'accès et le profil de politique de groupe au LAN2.

Les utilisateurs privilégiés sont maintenant tenus de se connecter avec une authentification à deux facteurs (2FA) pour accéder au serveur interne.

Captures d'écran