Les comptes de service et les clés ont un responsable

Tout parc cloud accumule des comptes de service, des clés d'accès et des jetons qu'aucun processus d'arrivée ou de départ ne touche jamais. Ils survivent au projet qui les a créés et à la personne qui l'a lancé, et un fournisseur d'identité n'a d'avis sur aucun d'entre eux, puisque aucun n'est une personne.

Ils ont désormais leur propre surface. Des collecteurs les récupèrent depuis AWS et Google Cloud, chacun est classé par niveau de risque, et les secrets rattachés à un projet sont listés à côté. Ce qui change vraiment les comportements, c'est le responsable : une identité avec un responsable nommé est une identité sur laquelle quelqu'un peut être interrogé au moment de la revue, et une identité sans responsable est en soi un constat.

Ajouter un fournisseur relève d'un contrat et non d'un cas particulier. Un collecteur expose son nom de fournisseur et une fonction de collecte renvoyant des enregistrements normalisés, puis s'enregistre. GitHub est le prochain conteneur, sur la même forme.