Bonnes pratiques AWS

1. Organisation et identités #

Les fondations.

Règles #

• Plusieurs comptes (au minimum production, hors production, sécurité, journaux) sous Organizations.
• Utilisateur racine protégé par MFA et jamais utilisé ; accès humains par Identity Center.
• Rôles pour les applications, aucune clé d'accès dans le code.
• SCP : régions autorisées, interdiction de désactiver CloudTrail ou GuardDuty.

2. Sécurité et fiabilité #

Protéger et tenir.

Règles #

• Ressources dans des sous-réseaux privés ; seuls les équilibreurs et CloudFront sont exposés.
• Chiffrement partout (S3, EBS, RDS) avec KMS, TLS en transit.
• Secrets dans Secrets Manager, jamais dans le code ni les variables en clair.
• Tout sur au moins deux AZ ; sauvegardes AWS Backup testées ; RTO et RPO définis.
• GuardDuty, Security Hub, Config et CloudTrail actifs partout.

3. Exploitation et coûts #

Durer sans dériver.

Règles #

• Toute l'infrastructure en code, déployée par pipeline ; pas de modification manuelle en production.
• Étiquettes obligatoires (projet, environnement, propriétaire) pour la répartition des coûts.
• Budgets et détection d'anomalies sur chaque compte.
• Alarmes CloudWatch sur les symptômes utilisateurs (erreurs, latence), rétention des logs définie.
• Revue Well-Architected annuelle des charges critiques.

aws sts get-caller-identity
aws iam get-account-summary --query 'SummaryMap.AccountMFAEnabled'
aws guardduty list-detectors
aws securityhub get-findings --filters '{"SeverityLabel":[{"Value":"CRITICAL","Comparison":"EQUALS"}]}' --max-items 5
aws s3control get-public-access-block --account-id 123456789012
aws ce get-cost-forecast --time-period Start=2026-10-28,End=2026-11-30 --metric UNBLENDED_COST --granularity MONTHLY