Analyse des chemins d’administration • Ariovis
Pourquoi votre bastion peut enregistrer toutes ses sessions sans maîtriser tous les accès administrateurs
Le coffre, la rotation et l’enregistrement peuvent fonctionner normalement pendant qu’une connexion directe échappe au PAM. Il faut mesurer le périmètre des chemins maîtrisés, pas seulement le fonctionnement du produit.
Une plateforme opérationnelle, un périmètre incomplet
L’entreprise a un coffre, un bastion, une politique de rotation et des captures consultables. Un administrateur peut pourtant utiliser un identifiant valide depuis un autre poste, rejoindre une interface non filtrée ou administrer un hyperviseur qui contrôle la cible. Le PAM ne dysfonctionne pas : la session n’a jamais traversé son point de contrôle.
La protection du secret réduit une exposition. Elle n’impose pas une source réseau. Une rotation peut limiter la réutilisation future ; elle ne supprime pas nécessairement une session existante, un jeton ou un autre compte autorisé. Le dispositif doit traiter ces mécanismes séparément.
Deux périmètres de mesure, pas une contradiction
Chemin passant par le PAM
Personne identifiée → activité autorisée → intermédiaire → cible. La capture porte sur ce chemin et les protocoles effectivement pris en charge. Elle complète la preuve, sans garantir toutes les conséquences de l’action.
Accès direct résiduel
Poste → interface cible acceptant encore la connexion. La cible peut journaliser l’activité ; l’absence de capture PAM ne signifie pas absence de toute trace, mais exige d’autres sources et une autre attribution.
La passerelle ne ferme pas les chemins alternatifs à elle seule. Le mode contrôlé suppose un filtrage réellement appliqué sur les interfaces d’administration. En mode contournable, une session directe peut échapper à l’isolation et à l’enregistrement PAM ; le secours reste une exception distincte et tracée.
Schéma original — Mon Premier PAM / Ariovis. Création éditoriale et révision : . Architecture pédagogique, pas un déploiement client validé. Les exports reprennent les couches et le mode sélectionnés.
Alternative textuelle : composants et échanges
- Demande d’activité. Le PAM reçoit une demande d’activité ciblée, rattachée à une personne et non au seul compte technique.
- Authentification forte. L’IdP ou annuaire avec MFA authentifie la personne à l’entrée prévue.
- Preuve d’identité. La politique exploite l’identité établie ; l’authentification ne décide pas seule des droits sur la cible.
- Autorisation d’activité. Le PAM décide qui peut faire quoi ; l’intermédiaire applique le chemin de session retenu.
- Identifiant / injection. Selon le scénario, le service remet un secret à l’intermédiaire, sans remise nécessaire au poste utilisateur.
- RDP / SSH autorisé. L’intermédiaire ouvre une session vers la cible ; les règles limitent les sources autorisées.
- Traces et enregistrements. Collecter les événements PAM et captures réellement disponibles ; protéger le stockage et transmettre les événements au SIEM.
- Événements cible. Rapprocher les traces natives avec la session PAM ; surveiller aussi les absences de collecte.
- Chemin direct hors contrôle PAM — Direct : bloqué en mode contrôlé. Le test de contournement vérifie le refus hors chemins ordinaires retenus. Si le filtrage manque, ce chemin peut être ouvert.
- Secours distinct, autorisé et tracé. L’urgence n’est pas un contournement libre : autorisation distincte, secret protégé, durée limitée, trace alternative et revue après usage.
Le chemin direct en tirets longs porte sur la même cible que la session relayée. Passer du mode contrôlé au mode contournable change l’hypothèse de filtrage, pas les capacités d’enregistrement du bastion. Un réseau de gestion oublié, une interface supplémentaire ou une permission cloud constituent d’autres chemins à examiner.
Cinq questions qui changent la revue
1. Tous les chemins sont-ils connus ?
| Point | Analyse |
|---|---|
| Risque | Une interface de gestion, un réseau secondaire ou une console d’hyperviseur permet une administration hors PAM. |
| Erreur fréquente | Inventorier seulement les ports RDP/SSH habituels. |
| Vérification | Recenser interfaces, sources, routes, accès fournisseurs et pouvoirs indirects ; confronter réseau, cible et inventaire. |
| Contrôle attendu | Un propriétaire et une décision pour chaque chemin critique. |
2. Le direct non autorisé est-il interdit ?
| Point | Analyse |
|---|---|
| Risque | Un secret récupéré ou un compte local permet de rejoindre la cible sans session PAM. |
| Erreur fréquente | Ajouter la source bastion dans une règle sans retirer les autres. |
| Vérification | Tester le refus depuis des origines non autorisées, IPv4/IPv6 et réseaux de gestion inclus, sur un pilote autorisé. |
| Contrôle attendu | Filtrage effectif sur chaque interface ; exceptions explicites. |
3. Les identités et droits sont-ils adaptés ?
| Point | Analyse |
|---|---|
| Risque | Un utilisateur authentifié dispose d’un pouvoir excessif ou d’un compte partagé non attribuable. |
| Erreur fréquente | Confondre MFA au portail et moindre privilège sur la cible. |
| Vérification | Tester un utilisateur connu mais sans autorisation ; relire groupes, rôles et délégations effectives. |
| Contrôle attendu | Identité nominative, autorisation par activité et limitation du pouvoir cible. |
4. Peut-on associer les activités à une personne ?
| Point | Analyse |
|---|---|
| Risque | La vidéo existe mais la personne, la cible ou le rôle restent inconnus. |
| Erreur fréquente | Prendre un identifiant de compte technique comme preuve de l’auteur. |
| Vérification | Reconstituer une intervention connue à partir de l’IdP, du PAM, de la cible et du ticket éventuel. |
| Contrôle attendu | Correspondance personne–compte–cible–heure et limites de couverture documentées. |
5. Le secours est-il contrôlé ?
| Point | Analyse |
|---|---|
| Risque | Une panne du PAM conduit à ouvrir durablement un accès direct invisible. |
| Erreur fréquente | Un mot de passe partagé dans un document et aucune revue après usage. |
| Vérification | Exercer une indisponibilité préparée ; vérifier autorisation, traces alternatives et fermeture après retour. |
| Contrôle attendu | Accès distinct, protégé, borné et revu, compatible avec les besoins de disponibilité. |
Mesurer ce qui est maîtrisé
Construire la liste des chemins critiques à partir des ressources et de leurs pouvoirs effectifs. Pour chaque chemin, noter les sources autorisées, la décision, le point d’application, les traces disponibles, les exceptions et le dernier test réalisé. Ne pas annoncer un pourcentage de couverture sans définir ce dénominateur et les chemins inconnus.
La bonne question n’est pas seulement combien de sessions le bastion enregistre. C’est combien de chemins d’administration critiques sont réellement maîtrisés.
Références, hypothèses et réutilisation
Responsabilité éditoriale : Ariovis / Mon Premier PAM. Les figures sont des propositions pédagogiques originales. Les tests décrivent des critères à appliquer à votre architecture ; aucun résultat de recette client ni validation indépendante n’est revendiqué.
Sources officielles consultées le 23 octobre 2026. La documentation Azure illustre des capacités et limites propres à ce produit, pas une propriété de tous les bastions. Le catalogue NIST est un cadre de contrôles, pas une certification. Les recommandations CNIL ne fixent pas une durée légale universelle pour tout enregistrement.
- Microsoft — exemple de limites de capture RDP/SSH dans Azure Bastion ↗ — nouvelle fenêtre
- Microsoft — chemin RDP via Bastion et exposition réseau ↗ — nouvelle fenêtre
- CNIL — sécurité : tracer les opérations ↗ — nouvelle fenêtre
- NIST SP 800-53 — contrôle d’accès et audit ↗ — nouvelle fenêtre
- Microsoft Entra PIM — activation limitée des rôles éligibles ↗ — nouvelle fenêtre
CyberArk Blueprint, Secure Infrastructure Access / PSM, PAM FastTrack et analyses Ariovis figurent dans le cadrage conceptuel fourni. Aucun support propriétaire absent du projet n’est présenté comme directement consulté. Aucun schéma propriétaire n’est reproduit ni aucune capacité actuelle Netwrix déduite de ces figures génériques.
Pour citer : « Schéma original — Mon Premier PAM / Ariovis », titre de la figure, date de révision et lien direct. Le téléchargement ne vaut pas licence ouverte : demander une autorisation écrite pour reproduire ou adapter les figures, conformément aux mentions légales.