Qu'est-ce que l'AAA ?

L'authentification, l'autorisation et la comptabilité (AAA) constituent un cadre de sécurité qui permet de vérifier l'identité d'un utilisateur ou d'un périphérique, de déterminer ce qu'il est autorisé à faire et d'enregistrer ses actions. Les systèmes d'exploitation réseau et les plateformes de gestion mettent en œuvre le protocole AAA via des protocoles tels que RADIUS et TACACS+, ou via une base de données locale des utilisateurs.

Points clés à retenir

• L'authentification permet de vérifier l'identité ; l'autorisation définit les droits d'accès ; la comptabilisation enregistre l'utilisation.
• RADIUS et TACACS+ sont les deux principaux protocoles utilisés pour centraliser la gestion AAA.
• AAA peut fonctionner localement sur un appareil ou de manière centralisée via un serveur d'annuaire.
• Le système AAA centralisé gère le contrôle d'accès administratif sur de vastes parcs d'appareils.
• Versa Le contrôleur et les périphériques VOS prennent tous deux en charge les protocoles RADIUS, TACACS+ et AAA local.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · AAA et Versa · FAQ

Pourquoi l'AAA est-elle importante ?

Chaque réseau doit répondre à trois questions pour chaque connexion et chaque action : qui est l'utilisateur, quelles sont ses autorisations et qu'a-t-il réellement fait ? Le protocole AAA répond à ces trois questions au sein d'un cadre unique, ce qui explique pourquoi il est à la base de la quasi-totalité des infrastructures nécessitant un accès contrôlé : routeurs, pare-feu, concentrateurs VPN et consoles de gestion, entre autres.

La centralisation de l'authentification AAA élimine également une source réelle de risque : les identifiants à usage local dispersés sur des centaines d'appareils, chacun nécessitant son propre mot de passe, qui doit être renouvelé, désactivé ou faire l'objet d'une enquête après une violation. Un serveur RADIUS ou TACACS+ centralisé permet à un administrateur de révoquer un compte et de bloquer l'accès partout simultanément, tout en fournissant aux auditeurs une trace comptable unique – ce qui constitue souvent une exigence de conformité dans les secteurs réglementés.

Qu'est-ce que l'AAA ?

AAA divise le contrôle d’accès en trois étapes indépendantes. L’authentification vérifie l’identité – un nom d’utilisateur et un mot de passe, un certificat ou un jeton – en la comparant à une base de données locale ou à un serveur externe tel qu’Active Directory, LDAP, RADIUS ou TACACS+. L’autorisation intervient une fois l’authentification réussie : le système détermine ce que l’utilisateur est autorisé à faire, en comparant les attributs de son rôle ou de son groupe à une base de données de politiques. La comptabilité s’exécute ensuite en continu, enregistrant les données de session – heures de connexion et de déconnexion, commandes exécutées, octets transférés – à des fins de facturation, d’audit ou d’analyse judiciaire.

Ces étapes sont, par conception, indépendantes les unes des autres : un système peut procéder à l'authentification en local, mais à l'autorisation et à la comptabilisation à distance, ou encore s'authentifier auprès d'un serveur tout en effectuant la comptabilisation sur un autre. RADIUS et TACACS+ sont les protocoles couramment utilisés pour acheminer les requêtes AAA entre un périphérique et un serveur centralisé, mais le modèle en trois étapes s'applique dans tous les cas.

Types d'AAA

Les déploiements AAA suivent généralement quelques modèles. L’AAA local conserve la base de données des utilisateurs sur le périphérique lui-même : c’est la solution la plus simple à mettre en place, mais elle ne s’adapte pas à plus d’une poignée de périphériques et ne laisse aucune piste d’audit centralisée. L’AAA basé sur RADIUS centralise les trois fonctions sur un serveur RADIUS, en chiffrant uniquement le mot de passe, et est couramment utilisé pour le contrôle d’accès au réseau, comme les connexions VPN et Wi-Fi. L’AAA basé sur TACACS+ chiffre l’intégralité de la session et sépare les trois fonctions de manière plus fine, ce qui en fait le choix habituel pour l’accès administratif à l’infrastructure réseau. L’AAA basé sur un annuaire s’appuie sur Active Directory ou LDAP pour l’authentification, souvent associé à l’authentification unique (SSO) et à l’authentification à deux facteurs, et délègue l’autorisation à l’appartenance à un groupe.

AAA & Versa

Versa met en œuvre l'authentification AAA à deux niveaux. Sur Versa , les connexions des directeurs, administrateurs et locataires sont authentifiées via une base de données d'utilisateurs locale ou un serveur externe Active Directory, LDAP, RADIUS ou TACACS+, avec en option une authentification à deux facteurs et une authentification unique via un fournisseur tel qu'Okta ou Azure AD. Les déploiements multi-directeurs peuvent désigner un nœud comme nœud d'authentification central, validant ainsi toutes les connexions de la topologie à partir d'un seul et même endroit.

Sur les appareils VOS (branches, contrôleurs et concentrateurs), le protocole AAA gère l'accès à l'interface CLI et au shell. L’authentification locale utilise des rôles prédéfinis tels que « admin », « operator », « tenant-admin » et « security-admin » ; l’authentification externe est déléguée à RADIUS ou TACACS+, à l’aide de paires attribut-valeur telles que « versa-user-group » pour associer un compte distant à un rôle. Le guide de renforcement de la sécurité de Versarecommande une authentification RADIUS ou TACACS+ centralisée sur chaque succursale, contrôleur et concentrateur, car cela élimine le risque lié à la gestion des mots de passe locaux à grande échelle.

Questions fréquentes

Quelle est la différence entre l'authentification et l'autorisation ?

L'authentification permet de vérifier l'identité d'un utilisateur, généralement à l'aide d'un mot de passe, d'un certificat ou d'un jeton. L'autorisation intervient une fois l'authentification réussie et détermine ce que cet utilisateur est autorisé à faire, en fonction du rôle ou du groupe qui lui a été attribué. Un utilisateur peut être authentifié tout en n'étant autorisé qu'à effectuer très peu d'actions.

Quelle est la différence entre RADIUS et TACACS+ ?

Le protocole RADIUS ne chiffre que le mot de passe dans une requête d'authentification et regroupe l'authentification et l'autorisation en un seul échange ; il est principalement utilisé dans les cas d'accès au réseau tels que les VPN et le Wi-Fi. Le protocole TACACS+ chiffre l'intégralité de la session et sépare ces trois fonctions, ce qui explique pourquoi il est plus couramment utilisé pour l'accès administratif aux périphériques réseau.

Pourquoi un système AAA centralisé est-il préférable aux comptes locaux sur les appareils ?

L'authentification, l'autorisation et la gestion (AAA) centralisées, via RADIUS, TACACS+ ou un serveur d'annuaire, permettent à un administrateur de gérer les identifiants et les autorisations à partir d'un seul et même endroit, plutôt que sur chaque appareil individuellement. La révocation d'un accès ne nécessite qu'une seule modification au lieu de plusieurs centaines, et les journaux de comptabilité sont centralisés dans un seul système au lieu d'être dispersés sur chaque appareil.

Le protocole AAA nécessite-t-il RADIUS ou TACACS+ ?

Non. AAA est un cadre technique, et non un protocole : un appareil peut effectuer l'authentification, l'autorisation et la comptabilisation entièrement à partir d'une base de données utilisateur locale, sans faire appel à un serveur externe. RADIUS et TACACS+ sont simplement les protocoles les plus couramment utilisés pour centraliser les fonctions AAA sur de nombreux appareils.

Que consigne-t-on exactement dans la partie comptable de l'AAA ?

Les journaux comptables enregistrent des données au niveau de la session : qui s'est connecté, quand la session a commencé et s'est terminée, quelles commandes ont été exécutées, et quel volume de trafic (en paquets ou en octets) la session a généré. Ces données servent à la facturation, aux audits de sécurité et aux enquêtes informatiques après un incident.

En savoir plus sur l'AAA

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'AAA, voici quelques liens qui pourraient vous intéresser.