1. Organisation et identités #
Les fondations.
Règles #
- Plusieurs comptes (au minimum production, hors production, sécurité, journaux) sous Organizations.
- Utilisateur racine protégé par MFA et jamais utilisé ; accès humains par Identity Center.
- Rôles pour les applications, aucune clé d'accès dans le code.
- SCP : régions autorisées, interdiction de désactiver CloudTrail ou GuardDuty.
2. Sécurité et fiabilité #
Protéger et tenir.
Règles #
- Ressources dans des sous-réseaux privés ; seuls les équilibreurs et CloudFront sont exposés.
- Chiffrement partout (S3, EBS, RDS) avec KMS, TLS en transit.
- Secrets dans Secrets Manager, jamais dans le code ni les variables en clair.
- Tout sur au moins deux AZ ; sauvegardes AWS Backup testées ; RTO et RPO définis.
- GuardDuty, Security Hub, Config et CloudTrail actifs partout.
3. Exploitation et coûts #
Durer sans dériver.
Règles #
- Toute l'infrastructure en code, déployée par pipeline ; pas de modification manuelle en production.
- Étiquettes obligatoires (projet, environnement, propriétaire) pour la répartition des coûts.
- Budgets et détection d'anomalies sur chaque compte.
- Alarmes CloudWatch sur les symptômes utilisateurs (erreurs, latence), rétention des logs définie.
- Revue Well-Architected annuelle des charges critiques.
aws sts get-caller-identity
aws iam get-account-summary --query 'SummaryMap.AccountMFAEnabled'
aws guardduty list-detectors
aws securityhub get-findings --filters '{"SeverityLabel":[{"Value":"CRITICAL","Comparison":"EQUALS"}]}' --max-items 5
aws s3control get-public-access-block --account-id 123456789012
aws ce get-cost-forecast --time-period Start=2026-10-28,End=2026-11-30 --metric UNBLENDED_COST --granularity MONTHLY