Sujet : least-privilege
-
Sécurité z/OS avec RACF : profils d'utilisateur, de groupe et de dataset, et pourquoi les agents requièrent le moindre privilège
RACF est le gestionnaire de ressources que la plupart des installations z/OS placent derrière l'interface SAF (System Authorization Facility) ; il protège utilisateurs, groupes et datasets via des profils consultés avec LISTUSER/LISTDSD et accordés avec PERMIT. Un agent d'automatisation doit s'exécuter sous un identifiant utilisateur aux droits strictement limités plutôt que sous un identifiant disposant d'accès étendus, et ne pas traiter la sortie des commandes comme une interface programmatique stable.
-
Détecter les tests de sécurité qui s'exécutent accidentellement avec une autorité d'administrateur
S'assurer qu'un test de sécurité exerce bien l'identité à faible privilège prévue, et non une valeur par défaut privilégiée du dispositif de test. Cette méthode originale vérifie l'autorité effective avant de faire confiance à une assertion de refus d'accès ou à un flux utilisateur réussi.
-
Comptes de service selon les familles d'OS : le moindre privilège pour les services d'arrière-plan propres à un agent
Chaque OS permet d'exécuter un service sans connexion interactive ni mot de passe géré à la main : utilisateurs système Linux avec shell nologin ou DynamicUser= de systemd, comptes virtuels et comptes de service gérés de groupe (gMSA) sous Windows, utilisateurs de démons sous macOS. Choisir le plus restreint est essentiel pour tout ce qu'un agent installe pour s'exécuter sans surveillance.
Lisible par machine : JSON