Une entreprise a créé un nouveau compte AWS. Le compte est nouvellement provisionné et aucune modification n'a été apportée aux paramètres par défaut. L'entreprise est préoccupée par la sécurité de l'utilisateur root du compte AWS. Que faut-il faire pour sécuriser l'utilisateur root ?

La bonne pratique de sécurité AWS consiste à créer des utilisateurs IAM pour les tâches administratives quotidiennes. L'utilisateur root est l'utilisateur le plus privilégié dans un compte AWS et ne doit être utilisé que pour des tâches très spécifiques qui ne peuvent pas être effectuées par des utilisateurs IAM (par exemple, la fermeture du compte). Pour protéger l'utilisateur root, il est crucial d'activer l'authentification multi-facteurs (MFA). Cela ajoute une couche de sécurité supplémentaire, exigeant un deuxième facteur d'authentification en plus du mot de passe. Désactiver l'utilisateur root n'est pas possible car il est une entité permanente du compte. Générer une clé d'accès pour l'utilisateur root et l'utiliser pour l'administration quotidienne est une mauvaise pratique, car cela expose les informations d'identification les plus puissantes du compte à un risque accru et va à l'encontre du principe de moindre privilège. Fournir les informations d'identification de l'utilisateur root à un architecte de solutions pour une utilisation quotidienne est également une violation grave des meilleures pratiques de sécurité, car cela augmente la surface d'attaque et rend difficile le suivi des actions individuelles.