Connecter une organisation Scaleway
Créer une clé API Scaleway en lecture seule pour inventorier les ressources cloud et remonter les constats de posture de sécurité.
Accès : administrateur d’entreprise. Fonctionnalité en bêta ; le connecteur doit être activé sur votre plateforme.
Prérequis
- Être administrateur de l’entreprise dans CISAPP.
- Pouvoir créer une application, une politique et une clé API dans l’IAM de l’organisation Scaleway visée (propriétaire ou droits équivalents).
- Une organisation Scaleway ne peut être connectée qu’à une seule organisation CISAPP.
Créer l’accès dans Scaleway
CISAPP n’utilise jamais votre compte personnel : créez une application IAM dédiée, en lecture seule.
- Dans la console Scaleway, IAM → Applications : créez une application (par exemple
cisapp-readonly). - IAM → Politiques : créez une politique pour cette application avec exactement les jeux de permissions ci-dessous.
- IAM → Clés API : créez une clé API pour l’application, avec une date d’expiration (recommandé). Notez la clé d’accès et la clé secrète.
Jeux de permissions à accorder
| Portée | Jeux de permissions |
|---|---|
| Projets à analyser | InstancesReadOnly, ObjectStorageBucketsRead, RelationalDatabasesReadOnly, LoadBalancersReadOnly, VPCReadOnly, KubernetesReadOnly, FunctionsReadOnly, ContainersReadOnly, ContainerRegistryReadOnly, BlockStorageReadOnly |
| Organisation | IAMReadOnly, ProjectReadOnly |
Si un produit n’est pas accordé, CISAPP l’indique comme « non accordé » dans la synchronisation et analyse le reste. Accordez les jeux de permissions sur chaque projet de l’organisation, ou restreignez la connexion aux projets accordés avec le champ Projets : sinon, les projets sans ces permissions sont signalés comme non collectés à chaque synchronisation.
N’accordez jamais SecretManagerSecretAccess, un jeu *FullAccess ou *Manager, BillingReadOnly ni AllProductsReadOnly : CISAPP n’en a pas besoin.
La clé secrète n’est affichée qu’une seule fois par Scaleway. CISAPP la stocke chiffrée et ne l’affiche plus jamais.
L’assistant de CISAPP propose aussi un guide repliable avec un exemple en ligne de commande (scw iam …). C’est un exemple à adapter : vérifiez les arguments avec scw iam --help avant de l’exécuter.
Connecter dans CISAPP
- Ouvrez Mon entreprise → Connecteurs, puis Connecter sur la carte Scaleway.
- Collez la clé d’accès (elle commence par
SCW) et la clé secrète. - Indiquez éventuellement les projets (identifiants UUID) et les régions à analyser. Vide : tous les projets accessibles à la clé et toutes les régions.
- Vérifier la clé : CISAPP teste l’accès auprès de Scaleway avant d’enregistrer quoi que ce soit.
- Contrôlez l’organisation Scaleway affichée, puis Connecter. La première synchronisation démarre.
Si vous fermez l’assistant avant la confirmation, la connexion reste En attente : Confirmer le compte depuis sa fiche.
Ce que CISAPP collecte
CISAPP lit uniquement des configurations, jamais de contenu :
- instances et leurs groupes de sécurité, volumes ;
- buckets de stockage objet (configuration, pas les objets), bases de données managées ;
- load balancers, clusters Kapsule, Functions et Containers, registres de conteneurs, réseaux privés ;
- utilisateurs et clés API IAM (statut MFA, dates d’expiration).
CISAPP ne lit jamais les secrets (Secret Manager), les variables d’environnement, les données utilisateur des instances, ni le fichier d’accès kubeconfig, et ne modifie rien dans votre organisation. Les ressources sont visibles dans le menu Sécurité opérationnelle → Patrimoine cloud et sa Cartographie.
Constats de posture
Les constats apparaissent dans les constats de sécurité avec la source Posture Scaleway. Une règle ne se déclenche que si l’information est certaine : un état inconnu (droit manquant, produit non accordé) ne crée ni ne résout de constat.
- Réseau : groupe de sécurité joignable depuis tout Internet (0.0.0.0/0 ou ::/0) sur l’administration à distance (SSH 22, RDP 3389) ou sur un port de base de données courant (3306, 5432, 6379, 27017…) ; politique d’entrée par défaut sur « accepter » pour un groupe attaché à un serveur ; serveur avec IP publique derrière un groupe permissif.
- Bases de données : accès public dont l’ACL autorise 0.0.0.0/0, chiffrement au repos désactivé, sauvegardes automatiques désactivées ou aucune sauvegarde prête (une base neuve est signalée jusqu’à sa première sauvegarde), pas de haute disponibilité.
- Stockage objet : bucket dont l’ACL ouvre l’accès à tous (
AllUsers) ou à tout utilisateur authentifié, versioning désactivé ou suspendu. - Load balancers : frontend HTTP (port 80) sans certificat, niveau TLS « old » sur un load balancer qui termine du TLS.
- Kubernetes : cluster à mettre à jour sans mise à jour automatique, API ouverte (ACL du cluster qui autorise explicitement 0.0.0.0/0 ou ::/0 ; une ACL vide n’est pas signalée, et un réseau privé ne rend pas l’API privée).
- Functions, Containers et registres : fonction ou conteneur public (invocable sans jeton), registre de conteneurs public.
- IAM : utilisateur sans authentification multifacteur, clé API sans date d’expiration ou créée il y a plus de 365 jours.
La clé de la connexion elle-même est exclue de ces règles et traitée à part : sans date d’expiration, elle affiche un avertissement sur la fiche ; à moins de 30 jours de l’échéance, un badge Identifiants bientôt expirés.
Remplacer la clé (rotation)
- Créez une nouvelle clé API pour la même application, avec une date d’expiration.
- Sur la fiche de la connexion, Mettre à jour les identifiants et collez la nouvelle clé d’accès et la clé secrète.
- La nouvelle clé doit appartenir à la même organisation Scaleway ; sinon elle est refusée et la clé actuelle est conservée.
- Révoquez ensuite l’ancienne clé dans la console Scaleway.
Les projets et régions se modifient depuis la fiche (Modifier), sans ressaisir la clé. Retirer un projet ou une région de la connexion retire ses ressources de l’inventaire à la synchronisation suivante.
Difficultés courantes
| Message | Que faire |
|---|---|
| Le connecteur Scaleway est indisponible sur cette instance | Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support. |
| Scaleway a refusé cette clé API | Vérifiez que la clé n’est ni révoquée ni expirée et que la politique accorde au minimum IAMReadOnly et ProjectReadOnly à l’organisation, en plus des jeux de lecture par produit. |
| Cette organisation Scaleway est déjà connectée par une autre organisation CISAPP | Une organisation Scaleway n’a qu’une connexion : déconnectez-la d’abord de l’autre organisation CISAPP. |
| Cette clé API appartient à une autre organisation Scaleway | Lors d’une rotation, utilisez une clé de la même organisation Scaleway. |
| Identifiants expirés ou refusés | Créez une nouvelle clé et faites la rotation depuis la fiche. |
| Produit « non accordé » | Ajoutez le jeu de permissions correspondant à la politique de l’application. |
Déconnecter
Déconnecter supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. Révoquez ensuite la clé API (et l’application si elle n’a plus d’usage) dans IAM sur la console Scaleway.
Résultat attendu
La connexion est active, l’inventaire cloud est alimenté et les constats de posture Scaleway remontent dans CISAPP.
Voir aussi : Configurer les connecteurs.