🔒

Sécurité Cloud AWS

Orwin Cloud se connecte à votre compte AWS en lecture seule. Aucune action d'écriture, aucune clé stockée, contrôle total côté client.

Processus de connexion en 3 étapes

1

Déployer le rôle IAM

Déployez un rôle IAM read-only dans votre compte AWS via le template CloudFormation fourni par Orwin.

  • ✓Template CloudFormation pré-configuré (modifiable)
  • ✓Permissions strictement en lecture seule
  • ✓ExternalId unique pour la protection confused deputy
2

Configurer la connexion

Renseignez le Role ARN dans votre espace administration. La configuration est partagée par tous les modules souscrits.

  • ✓Un seul connecteur par organisation
  • ✓Partagé par tous les modules (FinOps, Governance, etc.)
  • ✓Tous les membres de l'équipe en bénéficient
3

Vérification automatique

Orwin exécute un check de validation qui teste la connexion et détecte toute permission d'écriture non souhaitée.

  • ✓Test de connexion STS AssumeRole
  • ✓Vérification des permissions requises par module
  • ✓Alerte si des permissions d'écriture sont détectées

Garanties de sécurité

🛡️

Lecture seule garantie

Double verrou : la policy IAM côté client ne donne que du read-only, et le code Orwin bloque toute action hors whitelist (Describe*, Get*, List* uniquement).

🔑

Aucune clé stockée

Orwin ne stocke jamais de clés AWS statiques. Les credentials STS sont temporaires (1h max), utilisées en mémoire uniquement, jamais persistées.

👤

Contrôle total côté client

Vous pouvez restreindre les permissions, ajouter des conditions (IP, région, horaires) ou révoquer le rôle à tout moment. Effet immédiat.

🆔

Protection ExternalId

Chaque organisation reçoit un ExternalId unique (UUID). Cela empêche toute attaque de type « confused deputy » — seul Orwin peut assumer le rôle.

📋

Traçabilité complète

Toutes les sessions sont enregistrées dans CloudTrail sous le nom « orwin-cloud ». Vous pouvez auditer chaque appel API effectué par Orwin.

⚠️

Détection proactive

Lors de la validation, Orwin inspecte les policies du rôle et vous alerte si des permissions d'écriture sont présentes — même si elles ne seront jamais utilisées.

Permissions par module

Chaque module n'utilise que les actions AWS strictement nécessaires. Toutes sont en lecture seule.

ModuleServices AWSActions (read-only)
FinOpsCost Explorer, EC2, RDS, Lambda, ELBce:Get* ec2:Describe* pricing:Get*
GovernanceOrganizations, Resource Groups, IAMorganizations:List* tag:Get* iam:GetRole
OperationsEC2, RDS, Lambda, CloudWatch, ECRec2:Describe* cloudwatch:Get* logs:Describe*
SecurityIAM, CloudWatch, Logsiam:Get* iam:List* cloudwatch:Describe*
ArchitectEC2 (réseau), Route53, DirectConnectec2:DescribeVpcs route53:List* ram:Get*

Architecture technique

ORWIN CLOUDRequête utilisateur (JWT)ConnectorConfig (par tenant)role_arn + external_idSTS AssumeRole→ credentials temporaires (1h)WHITELIST READ-ONLYassert_allowed(action)Describe* | Get* | List* uniquement⛔ Toute écriture → REJETAppel AWS (read-only) ✓COMPTE AWS CLIENTIAM Role: orwin-cloud-readonlyTrust: compte Orwin uniquementCondition: ExternalId obligatoireCloudTrailSessions "orwin-cloud" tracéesAudit complet de chaque appel API

Révocation instantanée

Vous pouvez couper l'accès d'Orwin à votre compte AWS à tout moment, par l'une de ces méthodes :

  • 1.Supprimer le rôle IAM dans votre console AWS → effet immédiat
  • 2.Modifier le trust policy pour retirer le compte Orwin → effet immédiat
  • 3.Déconnecter depuis l'interface Orwin (Administration > Connexion AWS)

Des questions sur la sécurité de votre connexion AWS ?

Nous contacter