Gérer les permissions : IAM, groupes et politiques

1. Le modèle IAM #

Groupes, politiques, périmètres.

Les concepts #

2. Écrire une politique #

Syntaxe des statements.

Exemple #

// Politique « Lecteur - équipe paiement » (Account Management > Identity & access management > Policies)
ALLOW environment:roles:viewer;
ALLOW storage:logs:read, storage:metrics:read, storage:spans:read
  WHERE storage:k8s.namespace.name = "paiement";
ALLOW settings:objects:read WHERE settings:schemaId = "builtin:alerting.profile";

La partie WHERE d'un statement restreint la permission à un sous-ensemble de données (par exemple un namespace Kubernetes). Pour les données Grail, ces conditions s'appliquent aux champs de stockage.

Erreur Courante : Évitez de donner des permissions d'écriture (settings:objects:write) à des groupes larges : elles permettent de modifier la configuration de supervision de toute l'organisation.

3. Organiser les accès #

Une approche par rôles.

Matrice type #

• Gérer les groupes par SSO (mapping de groupes SAML) pour que les arrivées/départs soient automatiques.
• Définir les groupes et politiques as code avec Terraform (dynatrace_iam_group, dynatrace_iam_policy).
• Revoir périodiquement les accès (les comptes inactifs, les droits obsolètes).

4. Automatiser et auditer #

API et Terraform.

Terraform et API #

# Terraform : groupe + politique + liaison
resource "dynatrace_iam_policy" "lecteur_paiement" {
  name            = "Lecteur équipe paiement"
  account         = var.account_uuid
  statement_query = <<-EOT
    ALLOW environment:roles:viewer;
    ALLOW storage:logs:read WHERE storage:k8s.namespace.name = "paiement";
  EOT
}
resource "dynatrace_iam_group" "paiement" {
  name = "equipe-paiement"
  permissions {
    permission { name = "tenant-viewer"  type = "account"  scope = var.account_uuid }
  }
}
terraform init && terraform plan && terraform apply

# Lister les groupes via l'API Account Management (jeton OAuth)
curl -s -H "Authorization: Bearer $DT_OAUTH_TOKEN" https://api.dynatrace.com/iam/v1/accounts/$ACCOUNT_UUID/groups | jq '.items[].name'
# Journal d'audit des changements de configuration
# Settings > Audit logs   (ou API v2 /api/v2/auditlogs)

Bonne Pratique : Appliquez le principe du moindre privilège : partez de aucun accès, ajoutez ce qui est nécessaire et testez avec un compte de test avant de généraliser.