Boundary : pour une gestion d’accès privilégié sécurisée

Introduction

Boundary de Hashicorp est une solution open-source de gestion des accès privilégiés qui permet de sécuriser et de gérer l’accès aux ressources critiques. Dans cet article, nous vous guiderons à travers les étapes d’installation, de configuration de Boundary.

1. Installation de Boundary

Pour installer Boundary, suivez ces étapes :

1. Téléchargez la dernière version de Boundary depuis le site officiel : https://www.boundaryproject.io/
2. Extrayez le fichier téléchargé et déplacez le binaire boundary dans le répertoire /usr/local/bin :

tar -xzf boundary_VERSION_linux_amd64.tar.gz
sudo mv boundary /usr/local/bin/

3. Créez un utilisateur et un groupe boundary pour exécuter le service :

sudo groupadd --system boundary
sudo useradd --system -d /var/lib/boundary -s /sbin/nologin -g boundary boundary
sudo mkdir -p /etc/boundary /var/lib/boundary /var/log/boundary
sudo chown -R boundary:boundary /etc/boundary /var/lib/boundary /var/log/boundary

2. Configuration de Boundary

Voici les étapes de configuration de Boundary :

1. Créez un fichier de configuration boundary.hcl pour configurer Boundary :

controller {
  listen_addr = "0.0.0.0"
  cluster_addr = "tcp://0.0.0.0:8443"
database {
url = "postgres://boundary:boundary@localhost:5432/boundary?sslmode=disable"
}

api_addr = "https://boundary.example.com"
api_cert_file = "/etc/boundary/boundary.crt"
api_key_file = "/etc/boundary/boundary.key"
}

worker {
network {
datacenter_id = "dc1"
segment_id = "seg1"
}
}

2. Démarrez le service Boundary en exécutant la commande :

sudo boundary server -config boundary.hcl

3. Configurez les sources d’authentification pour Boundary, telles que GitHub ou Active Directory :

boundary authenticate oidc create -issuer-url=https://accounts.google.com -client-id=CLIENT_ID -client-secret=CLIENT_SECRET

3. Sécurisation de Boundary

Voici les meilleures pratiques pour sécuriser Boundary :

1. Utilisez HTTPS pour les connexions de l’API Boundary :

controller {
  api_addr = "https://boundary.example.com"
  api_cert_file = "/etc/boundary/boundary.crt"
api_key_file = "/etc/boundary/boundary.key"
}

2. Configurez des politiques d’accès pour limiter les permissions des utilisateurs :

boundary policy create -name "limit-sudo" -description "Limit access to sudo" -data '
{
  "description": "Allow sudo only for specific servers",
  "subjects": {
    "user": {
      "sudo": {
        "actions": [
          "system:run-command"
        ],
        "conditions": [
          {
            "key": "servers",
            "values": [
              "server1",
              "server2"
            ]
          }
        ]
      }
    }
  },
  "resources": {
    "host": {
      "servers": {
        "actions": [
          "system:run-command"
        ],
        "conditions": []
      }
    }
  }
}'

3. Utilisez des enregistrements d’audit pour suivre l’accès aux ressources :

controller {
  audit {
    file {
      path = "/var/log/boundary/audit.log"
    }
  }
}

Conclusion

Boundary est une solution puissante pour la gestion des accès privilégiés qui permet de limiter les risques de sécurité et de gérer l’accès aux ressources critiques. En suivant les étapes de cet article et en appliquant les meilleures pratiques pour la sécurisation de Boundary, vous pourrez gérer efficacement et en toute sécurité les accès privilégiés sur votre infrastructure.

Sources:

1. Site officiel de Boundary
2. Guide d’installation de Boundary
3. Guide de configuration de Boundary
4. Guide de sécurité de Boundary