# Connecter un compte OVHcloud Autoriser CISAPP en lecture seule sur un compte OVHcloud pour inventorier les ressources cloud et remonter les constats de posture de sécurité. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir vous connecter au compte OVHcloud à analyser avec son identifiant client (nichandle, de la forme `xx11111-ovh`) avec un compte autorisé à créer des clés d’API : l’autorisation est accordée avec ce compte. - Connaître la **région** du compte : Europe, Canada ou États-Unis. Un compte OVHcloud est propre à une région. - Un compte OVHcloud ne peut être connecté qu’à **une seule** organisation CISAPP. CISAPP ne vous demande ni mot de passe ni clé à copier : l’authentification se fait uniquement sur le site d’OVHcloud. ## Connecter dans CISAPP 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte OVHcloud. 2. Choisissez la **région du compte** (Europe, Canada ou États-Unis), puis **Continuer vers OVHcloud**. 3. Vous êtes redirigé vers la page d’autorisation d’OVHcloud : connectez-vous avec le compte à analyser. 4. Choisissez la **durée de validité** de l’autorisation. Préférez une **validité datée** plutôt que « Illimitée » : une autorisation sans date d’expiration est signalée dans CISAPP, et vous devrez la renouveler avant son échéance. 5. Autorisez l’accès. OVHcloud vous ramène automatiquement dans CISAPP. 6. Contrôlez le **compte OVHcloud** affiché (identifiant client), puis **Connecter**. La première synchronisation démarre. Si vous fermez l’assistant avant la confirmation, la connexion reste **En attente** : **Reprendre la validation** depuis sa fiche (renouvelez l’autorisation sur OVHcloud, puis confirmez le compte). Si vous avez refusé l’autorisation ou laissé la page expirer, relancez la connexion pour en demander une nouvelle. ## Ce que CISAPP collecte CISAPP n’effectue que des **lectures** (requêtes en lecture seule, sur une liste limitée de routes) et ne lit que des **configurations**, jamais de contenu : - Public Cloud : instances, groupes de sécurité, volumes, réseaux privés, buckets Object Storage (configuration, pas les objets), bases de données managées, clusters Kubernetes managés ; - serveurs dédiés, serveurs privés virtuels (VPS), hébergements web ; - noms de domaine et zones DNS, blocs d’adresses IP ; - services et leurs dates d’échéance et de renouvellement ; - sécurité du compte : authentification à deux facteurs, restrictions d’adresses IP, clés d’API (dates d’expiration, dernier usage, adresses autorisées). Un produit que l’autorisation ne couvre pas est signalé comme **non accordé** dans le résultat de la synchronisation. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**, avec leur région et leur localisation. ## Ce que CISAPP ne lit jamais CISAPP ne modifie rien dans votre compte et ne lit jamais : - les informations personnelles du profil (contacts, coordonnées) ni les numéros de téléphone ; - les codes de transfert des domaines ; - les accès IPMI, les identifiants d’Object Storage (S3), les fichiers `kubeconfig` ni les accès aux bases de données ; - le contenu des buckets (objets), les secrets et clés de chiffrement ; - les mots de passe de secours, clés SSH et jetons d’accès des instances, serveurs et hébergements. Une seule écriture est demandée : permettre à l’autorisation de **s’annuler elle-même** lorsque vous déconnectez ou renouvelez la connexion. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture OVHcloud**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (produit non accordé, lecture impossible) ne crée ni ne résout de constat. - **Compte** : authentification à deux facteurs non activée ; clé d’API sans date d’expiration, inutilisée depuis plus de 90 jours ou utilisable depuis n’importe quelle adresse IP. - **Domaines** : domaine sans verrou de transfert, sans DNSSEC alors que l’extension le permet, ou proche de l’expiration (moins de 30 jours) sans renouvellement automatique. - **Services** : service proche de l’expiration sans renouvellement automatique, ou impayé. - **Réseau** : groupe de sécurité joignable depuis tout Internet (0.0.0.0/0 ou ::/0) sur l’administration à distance (SSH 22, RDP 3389) ou sur un port de base de données courant (3306, 5432, 6379, 27017…). - **Bases de données managées** : accès public sans restriction d’adresse IP, sans sauvegarde. - **Kubernetes** : API accessible depuis tout Internet, mise à jour disponible non appliquée, journaux d’audit absents. - **Stockage objet** : bucket sans chiffrement au repos ou sans versioning. La détection de buckets publics n’est pas possible avec l’API OVHcloud. - **Serveurs et hébergements** : serveur dédié sans pare-feu matériel OVHcloud activé, hébergement web sans certificat SSL, instance créée à partir d’une image en fin de support. La clé de la connexion elle-même est exclue de ces règles et traitée à part : sans date d’expiration, elle affiche un avertissement sur la fiche ; à moins de 30 jours de l’échéance, un badge **Identifiants bientôt expirés**. ## Renouveler l’autorisation 1. Sur la fiche de la connexion, **Mettre à jour les identifiants** puis **Renouveler l’autorisation**. 2. Vous êtes redirigé vers OVHcloud : connectez-vous au **même compte**, choisissez une nouvelle validité datée et autorisez. 3. De retour dans CISAPP, confirmez le compte. La nouvelle autorisation remplace l’ancienne, qui est révoquée. 4. Si elle appartient à un **autre compte OVHcloud**, elle est refusée et l’autorisation actuelle est conservée. La région ne se modifie pas après la création : un compte OVHcloud est propre à une région. ## Déconnecter et révoquer **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. CISAPP demande aussi à OVHcloud d’annuler l’autorisation, de façon automatique ; si cette annulation échoue, elle reste valable jusqu’à son expiration. Révoquez-la alors manuellement dans votre compte OVHcloud, dans la rubrique des clés (identifiants) d’API, en supprimant l’autorisation créée pour CISAPP. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur OVHcloud est indisponible sur cette instance | Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support. | | La validation sur OVHcloud n’est pas terminée, ou l’autorisation a été refusée ou a expiré | Terminez la validation sur la page OVHcloud, ou relancez la connexion pour obtenir une nouvelle autorisation. | | OVHcloud a refusé cette autorisation | La validation a été refusée ou a expiré : relancez la connexion. | | Ce compte OVHcloud est déjà connecté par une autre organisation CISAPP | Un compte OVHcloud n’a qu’une connexion : déconnectez-le d’abord de l’autre organisation CISAPP. | | Cette autorisation appartient à un autre compte OVHcloud | Lors d’un renouvellement, connectez-vous au même compte OVHcloud. | | Produit « non accordé » | L’autorisation ne couvre pas ce produit : renouvelez-la, puis vérifiez que votre compte y a accès. | | Service expiré (erreur 460) dans la synchronisation | Un service (par exemple un domaine) est expiré chez OVHcloud : ce n’est pas un problème d’autorisation, le reste du compte est analysé. Renouvelez ou supprimez ce service. | | Identifiants expirés ou refusés | L’autorisation a expiré ou a été révoquée : renouvelez-la depuis la fiche. | ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture OVHcloud remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs).