Connecter un compte OVHcloud

Autoriser CISAPP en lecture seule sur un compte OVHcloud pour inventorier les ressources cloud et remonter les constats de posture de sécurité.

Accès : administrateur d’entreprise. Fonctionnalité en bêta ; le connecteur doit être activé sur votre plateforme.

Prérequis

• Être administrateur de l’entreprise dans CISAPP.
• Pouvoir vous connecter au compte OVHcloud à analyser avec son identifiant client (nichandle, de la forme xx11111-ovh) avec un compte autorisé à créer des clés d’API : l’autorisation est accordée avec ce compte.
• Connaître la région du compte : Europe, Canada ou États-Unis. Un compte OVHcloud est propre à une région.
• Un compte OVHcloud ne peut être connecté qu’à une seule organisation CISAPP.

CISAPP ne vous demande ni mot de passe ni clé à copier : l’authentification se fait uniquement sur le site d’OVHcloud.

Connecter dans CISAPP

1. Ouvrez Mon entreprise → Connecteurs, puis Connecter sur la carte OVHcloud.
2. Choisissez la région du compte (Europe, Canada ou États-Unis), puis Continuer vers OVHcloud.
3. Vous êtes redirigé vers la page d’autorisation d’OVHcloud : connectez-vous avec le compte à analyser.
4. Choisissez la durée de validité de l’autorisation. Préférez une validité datée plutôt que « Illimitée » : une autorisation sans date d’expiration est signalée dans CISAPP, et vous devrez la renouveler avant son échéance.
5. Autorisez l’accès. OVHcloud vous ramène automatiquement dans CISAPP.
6. Contrôlez le compte OVHcloud affiché (identifiant client), puis Connecter. La première synchronisation démarre.

Si vous fermez l’assistant avant la confirmation, la connexion reste En attente : Reprendre la validation depuis sa fiche (renouvelez l’autorisation sur OVHcloud, puis confirmez le compte). Si vous avez refusé l’autorisation ou laissé la page expirer, relancez la connexion pour en demander une nouvelle.

Ce que CISAPP collecte

CISAPP n’effectue que des lectures (requêtes en lecture seule, sur une liste limitée de routes) et ne lit que des configurations, jamais de contenu :

• Public Cloud : instances, groupes de sécurité, volumes, réseaux privés, buckets Object Storage (configuration, pas les objets), bases de données managées, clusters Kubernetes managés ;
• serveurs dédiés, serveurs privés virtuels (VPS), hébergements web ;
• noms de domaine et zones DNS, blocs d’adresses IP ;
• services et leurs dates d’échéance et de renouvellement ;
• sécurité du compte : authentification à deux facteurs, restrictions d’adresses IP, clés d’API (dates d’expiration, dernier usage, adresses autorisées).

Un produit que l’autorisation ne couvre pas est signalé comme non accordé dans le résultat de la synchronisation. Les ressources sont visibles dans le menu Sécurité opérationnelle → Patrimoine cloud et sa Cartographie, avec leur région et leur localisation.

Ce que CISAPP ne lit jamais

CISAPP ne modifie rien dans votre compte et ne lit jamais :

• les informations personnelles du profil (contacts, coordonnées) ni les numéros de téléphone ;
• les codes de transfert des domaines ;
• les accès IPMI, les identifiants d’Object Storage (S3), les fichiers kubeconfig ni les accès aux bases de données ;
• le contenu des buckets (objets), les secrets et clés de chiffrement ;
• les mots de passe de secours, clés SSH et jetons d’accès des instances, serveurs et hébergements.

Une seule écriture est demandée : permettre à l’autorisation de s’annuler elle-même lorsque vous déconnectez ou renouvelez la connexion.

Constats de posture

Les constats apparaissent dans les constats de sécurité avec la source Posture OVHcloud. Une règle ne se déclenche que si l’information est certaine : un état inconnu (produit non accordé, lecture impossible) ne crée ni ne résout de constat.

• Compte : authentification à deux facteurs non activée ; clé d’API sans date d’expiration, inutilisée depuis plus de 90 jours ou utilisable depuis n’importe quelle adresse IP.
• Domaines : domaine sans verrou de transfert, sans DNSSEC alors que l’extension le permet, ou proche de l’expiration (moins de 30 jours) sans renouvellement automatique.
• Services : service proche de l’expiration sans renouvellement automatique, ou impayé.
• Réseau : groupe de sécurité joignable depuis tout Internet (0.0.0.0/0 ou ::/0) sur l’administration à distance (SSH 22, RDP 3389) ou sur un port de base de données courant (3306, 5432, 6379, 27017…).
• Bases de données managées : accès public sans restriction d’adresse IP, sans sauvegarde.
• Kubernetes : API accessible depuis tout Internet, mise à jour disponible non appliquée, journaux d’audit absents.
• Stockage objet : bucket sans chiffrement au repos ou sans versioning. La détection de buckets publics n’est pas possible avec l’API OVHcloud.
• Serveurs et hébergements : serveur dédié sans pare-feu matériel OVHcloud activé, hébergement web sans certificat SSL, instance créée à partir d’une image en fin de support.

La clé de la connexion elle-même est exclue de ces règles et traitée à part : sans date d’expiration, elle affiche un avertissement sur la fiche ; à moins de 30 jours de l’échéance, un badge Identifiants bientôt expirés.

Renouveler l’autorisation

1. Sur la fiche de la connexion, Mettre à jour les identifiants puis Renouveler l’autorisation.
2. Vous êtes redirigé vers OVHcloud : connectez-vous au même compte, choisissez une nouvelle validité datée et autorisez.
3. De retour dans CISAPP, confirmez le compte. La nouvelle autorisation remplace l’ancienne, qui est révoquée.
4. Si elle appartient à un autre compte OVHcloud, elle est refusée et l’autorisation actuelle est conservée.

La région ne se modifie pas après la création : un compte OVHcloud est propre à une région.

Déconnecter et révoquer

Déconnecter supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. CISAPP demande aussi à OVHcloud d’annuler l’autorisation, de façon automatique ; si cette annulation échoue, elle reste valable jusqu’à son expiration. Révoquez-la alors manuellement dans votre compte OVHcloud, dans la rubrique des clés (identifiants) d’API, en supprimant l’autorisation créée pour CISAPP.

Difficultés courantes

Message	Que faire
Le connecteur OVHcloud est indisponible sur cette instance	Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support.
La validation sur OVHcloud n’est pas terminée, ou l’autorisation a été refusée ou a expiré	Terminez la validation sur la page OVHcloud, ou relancez la connexion pour obtenir une nouvelle autorisation.
OVHcloud a refusé cette autorisation	La validation a été refusée ou a expiré : relancez la connexion.
Ce compte OVHcloud est déjà connecté par une autre organisation CISAPP	Un compte OVHcloud n’a qu’une connexion : déconnectez-le d’abord de l’autre organisation CISAPP.
Cette autorisation appartient à un autre compte OVHcloud	Lors d’un renouvellement, connectez-vous au même compte OVHcloud.
Produit « non accordé »	L’autorisation ne couvre pas ce produit : renouvelez-la, puis vérifiez que votre compte y a accès.
Service expiré (erreur 460) dans la synchronisation	Un service (par exemple un domaine) est expiré chez OVHcloud : ce n’est pas un problème d’autorisation, le reste du compte est analysé. Renouvelez ou supprimez ce service.
Identifiants expirés ou refusés	L’autorisation a expiré ou a été révoquée : renouvelez-la depuis la fiche.

Résultat attendu

La connexion est active, l’inventaire cloud est alimenté et les constats de posture OVHcloud remontent dans CISAPP.

Voir aussi : Configurer les connecteurs.