TD3 – Sécurisation réseau AWS avec ALB (architecture 3 tiers)

• Comprendre le rôle d’un Load Balancer dans la sécurité
• Mettre en place une architecture 3 tiers (ALB / backend / DB)
• Contrôler les flux réseau avec les Security Groups
• Éviter l’exposition directe des services internes
• Corriger une infrastructure existante non sécurisée

Vous intervenez toujours dans la startup.

L’équipe a amélioré le réseau (VPC, subnets), mais l’application reste mal sécurisée.

Architecture actuelle :

• une instance backend accessible publiquement
• une base de données mal isolée
• aucun point d’entrée centralisé

Un audit impose :

• suppression des accès directs au backend
• mise en place d’un point d’entrée unique
• isolation stricte de la base de données

Mettre en place une architecture sécurisée :

• Internet → ALB (public)
• ALB → Backend (privé)
• Backend → DB (privé)

• Le backend ne doit plus être accessible depuis Internet
• La base de données ne doit jamais être exposée
• Utiliser uniquement Terraform
• Ne pas casser l’accès à l’application

Fichier : `network/main.tf`

provider "aws" {
  region = "eu-west-3"
}

resource "aws_security_group" "backend_sg" {
  name   = "backend-sg"

  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

resource "aws_security_group" "db_sg" {
  name = "db-sg"

  ingress {
    from_port   = 5432
    to_port     = 5432
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

Fichier : `commandes/terraform.txt`

terraform init
terraform plan
terraform apply
terraform destroy

Objectif :

• introduire un point d’entrée unique

Fichier : `network/alb.tf`

resource "aws_security_group" "alb_sg" {
  name = "alb-sg"

  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

L’ALB est en place.

Mais le backend est toujours accessible directement.

Objectif :

• autoriser uniquement le trafic provenant de l’ALB

Fichier : `network/backend_sg.tf`

resource "aws_security_group" "backend_sg" {
  name = "backend-sg"

  ingress {
    from_port       = 80
    to_port         = 80
    protocol        = "tcp"
    security_groups = [aws_security_group.alb_sg.id]
  }
}

Objectif :

• autoriser uniquement le backend

Fichier : `network/db_sg.tf`

resource "aws_security_group" "db_sg" {
  name = "db-sg"

  ingress {
    from_port       = 5432
    to_port         = 5432
    protocol        = "tcp"
    security_groups = [aws_security_group.backend_sg.id]
  }
}

Après sécurisation :

• l’application ne répond plus correctement

Objectif :

• seul l’ALB est exposé à Internet
• le backend est accessible uniquement depuis l’ALB
• la base de données est accessible uniquement depuis le backend