L'attribution et l'utilisation des droits d'accès privilégiés doivent être limitées et gérées.
Nous tenons une liste complète des utilisateurs et de leurs clés SSH publiques, gérée avec LinuxAid et Puppet pour un contrôle d'accès efficace. Seuls les SRE et administrateurs autorisés disposent ainsi d'un accès privilégié, le tout configuré en GitOps pour la transparence et l'automatisation.
L'accès à nos clusters Kubernetes est régi par un mécanisme RBAC qui nous permet d'attribuer des autorisations précises aux utilisateurs selon leur rôle dans les différents environnements (test/recette, production, développement). Nous utilisons Keycloak et Netbird pour accéder à ces clusters k8s et aux serveurs Linux.
Tous les autres services exigent une authentification via Keycloak, qui combine un identifiant et un mot de passe classiques avec une 2FA par YubiKey. Cela ajoute une couche de protection supplémentaire aux données sensibles.
Les identifiants sensibles de notre Gitea auto-hébergé sont stockés de manière sécurisée avec Password store. Seuls les utilisateurs dont les clés GPG sont autorisées peuvent déchiffrer ces identifiants, ce qui réduit le risque de fuite et renforce la sécurité globale.