Une entrée publique
L’Application Load Balancer se trouve dans des public subnets.
CloudSec-Lab
Définir les frontières. Coder les contrôles.
Un laboratoire AWS fondé sur le réseau privé, des identités limitées et une infrastructure lisible.
Entrée publique / ALBPrivate compute
ÉTUDE D’ARCHITECTURE · ILLUSTRATION
Entrée publique. Private compute.
Décision reconstruite à partir de la documentation du dépôt ; aucun environnement déployé n’est représenté.
Référencer la source
Les security groups applicatifs autorisent le security group de l’ALB, plutôt qu’une plage publique large.
Retirer l’accès direct
Les instances EC2 optionnelles sont privées, sans IP publique ni SSH entrant. Compute et NAT sont désactivés par défaut.
La frontière est définie dans le code d’infrastructure : les accès peuvent être examinés avant le deployment.
Lire la source ↗01 / La question
La cloud security dépend de l’articulation du réseau, des identités et de la visibilité. Comment rendre ces décisions explicites, reproductibles et faciles à examiner ?
02 / Contribution au projet
Un laboratoire de portfolio réunissant une infrastructure Terraform modulaire, une petite application FastAPI, une configuration Docker avec container hardening et des workflows de validation de sécurité.
03 / Dans l’implémentation01 02 03
Séparer public et privé
Un ALB public dessert des instances applicatives optionnelles dans des private subnets. Les références de security groups limitent l’accès ; aucune IP publique ni entrée SSH sur les instances.
Limiter les identités, conserver les traces
IAM roles, IMDSv2 et OIDC trust limité à une branche, associés à CloudTrail, un bucket S3 privé chiffré, CloudWatch et GuardDuty configurable.
Valider avant de déployer
Validation Terraform, IaC scanning, secret scanning, tests applicatifs et container scanning constituent des CI gates distincts. Compute et NAT sont désactivés par défaut.
04 / Périmètre & enseignements
Laboratoire pédagogique sans deployment en production vérifié. HTTPS, endpoints VPC et politique de deployment à permissions limitées restent à réaliser. Les ressources AWS peuvent être facturées ; la CI ne les déploie pas. Le private compute nécessite aussi un workflow de livraison logicielle maîtrisé.