Maintenant implantée à l’UdeM, l’authentification forte à deux facteurs (A2F) ajoute un niveau de sécurité additionnel aux comptes personnels uniques pour chacun des membres de la communauté universitaire. Elle permet de vérifier que vous êtes bien la personne que vous prétendez être lorsque vous vous connectez à des services en ligne importants.
Mais qu’en est-il des autres comptes à hauts privilèges qui permettent de donner des accès à nos systèmes aux invités d’une unité? Ou des comptes qui sont utilisés pour exécuter des opérations d’administrateur? Afin d’avoir le niveau de sécurité recommandé, ces comptes nécessitent urgemment l’intégration à l’authentification forte (A2F).
Vers la sécurisation des comptes à hauts privilèges
Afin de sécuriser un compte, l’utilisateur propriétaire doit être le seul à utiliser ce compte qui connaît le mot de passe qui y est associé. Par conséquent, le compte à haut privilège doit être unique à un utilisateur propriétaire et non partagé par plusieurs. Le compte à haut privilège sera associé au profil utilisateur de son propriétaire et celui-ci devrait inscrire un deuxième facteur d’authentification qui sera associé à ce compte.
La sécurisation des comptes à hauts privilèges annonce la fin des comptes d’administrateurs actuels connus sous l’appellation « CA-unité ». Ceux-ci étant souvent partagés, ou utilisés pour d’autres opérations que la gestion des permissions locales (OGLP), telles que l’exécution de scripts, automatisation de certaines tâches, il est alors difficile d’en assurer l’unicité ou la sécurité. Renommer les comptes « ca-unité1 », « ca-unité2 » deviendrait rapidement fastidieux.
Comment procéder?
- Un compte « admu_code d’accès » sera créé pour chaque utilisateur dont la fonction et/ou les tâches nécessitent d’avoir un accès à l’Outil de gestion des permissions locales. Une revue des rôles utilisateur sera effectuée annuellement.
- Les comptes « ca-unité » qui sont utilisés pour l’automatisation de certaines tâches seront remplacés par des comptes de services.
- Les comptes « ca-unité » qui sont indiqués dans des scripts locaux et/ou du domaine SIM pour la gestion des permissions/opérations devront être modifiés pour le compte « admu-code d’accès » .
