TD2 – Sécurisation réseau AWS (ALB, Backend, DB)

• Comprendre la segmentation réseau dans AWS
• Identifier les mauvaises pratiques réseau
• Introduire un point d’entrée sécurisé (ALB)
• Contrôler les flux avec les Security Groups
• Appliquer le principe du moindre privilège

Vous intervenez dans la même startup.

Une application backend est déployée sur AWS avec une base de données.

Le déploiement a été fait rapidement via Terraform.

Résultat :

• l’application fonctionne
• mais toute l’infrastructure est exposée

Un audit de sécurité impose :

• suppression des accès directs aux composants internes
• mise en place d’une architecture sécurisée
• contrôle strict des flux réseau

Transformer l’architecture actuelle :

• Internet → Backend (actuel, non sécurisé)

en :

• Internet → ALB → Backend → DB

• L’application doit rester accessible
• Le backend ne doit plus être exposé directement
• La base de données doit être isolée
• Utiliser Terraform uniquement

Fichier : `network/main.tf`

provider "aws" {
  region = "eu-west-3"
}

resource "aws_vpc" "main" {
  cidr_block = "10.0.0.0/16"
}

resource "aws_subnet" "public" {
  vpc_id     = aws_vpc.main.id
  cidr_block = "10.0.1.0/24"
}

resource "aws_subnet" "private" {
  vpc_id     = aws_vpc.main.id
  cidr_block = "10.0.2.0/24"
}

resource "aws_security_group" "backend_sg" {
  name   = "backend-sg"
  vpc_id = aws_vpc.main.id

  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

resource "aws_security_group" "db_sg" {
  name   = "db-sg"
  vpc_id = aws_vpc.main.id

  ingress {
    from_port   = 5432
    to_port     = 5432
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

resource "aws_instance" "backend" {
  ami           = "ami-123456"
  instance_type = "t2.micro"
  subnet_id     = aws_subnet.public.id
  vpc_security_group_ids = [aws_security_group.backend_sg.id]
}

resource "aws_instance" "db" {
  ami           = "ami-123456"
  instance_type = "t2.micro"
  subnet_id     = aws_subnet.private.id
  vpc_security_group_ids = [aws_security_group.db_sg.id]
}

Fichier : `commandes/terraform.txt`

terraform init
terraform plan
terraform apply
terraform destroy

Objectif :

• créer un point d’entrée unique

Fichier : `network/alb.tf`

resource "aws_security_group" "alb_sg" {
  name   = "alb-sg"
  vpc_id = aws_vpc.main.id

  ingress {
    from_port   = 80
    to_port     = 80
    protocol    = "tcp"
    cidr_blocks = ["0.0.0.0/0"]
  }
}

L’ALB est ajouté.

Mais rien n’a été modifié sur le backend.

Fichier : `network/backend_sg.tf`

resource "aws_security_group" "backend_sg" {
  name   = "backend-sg"
  vpc_id = aws_vpc.main.id

  ingress {
    from_port       = 80
    to_port         = 80
    protocol        = "tcp"
    security_groups = [aws_security_group.alb_sg.id]
  }
}

Fichier : `network/db_sg.tf`

resource "aws_security_group" "db_sg" {
  name   = "db-sg"
  vpc_id = aws_vpc.main.id

  ingress {
    from_port       = 5432
    to_port         = 5432
    protocol        = "tcp"
    security_groups = [aws_security_group.backend_sg.id]
  }
}

Après modification :

• l’application peut ne plus répondre

Objectif :

• seul l’ALB est accessible depuis Internet
• le backend est privé
• la base est isolée