Les organisations répartissent de plus en plus leurs applications sur plusieurs fournisseurs de cloud, afin d'atteindre plusieurs objectis : des utilisateurs éloignés, respecter les législation locales et d'éviter de dépendre d'un seul opérateur. Le périmètre de sécurité n'est alors plus limité à un seul fournisseur de cloud mais à plusieurs. Or les mécanismes de sécurité sont propres à chaque fournisseur et peu compatibles : une organisation crée soit un compte par fournisseur, ce qui fragmente l'identité, soit confie cette identité à un fournisseur d'identité externe ou à une entités tiers, ce qui remplace la dépendance envers un cloud par une dépendance envers un intermédiaire.
La problématique adressée dans cette thèse est comment appliquer le concept des identités auto-souveraines, qui place l'utilisateur et non l'opérateur au centre de la gestion des identités, afin de gouverner les identités et les droits d'accès sur des environnement de stockage cross-clouds. La question demeure ouverte. Certains travaux existants réconcilient des politiques d'autorisation sans traiter l'identité, pendant que d'autres introduisent l'intermédiaire qu'ils prétendent supprimer. De plus, aucun fournisseur de cloud ne consomme les formats d'attestation normalisés par la communauté de l'identité auto-souveraine.
Nous réponse s'appelle XCId (Cross-Cloud Identity) un portefeuille d'identité cross-cloud respectant les principes fondamentaux des identités auto souveraines. Pour cela, nous avons défini un modèle d'identité et un modèle de contrôle d'accès cross-cloud qui combinés ensemble permettent de gérer les autorisations d'applications sur plusieurs clouds. XCId a été entièrement implémenté et testé dans la cadre d'une expériementation sur Amazon Web Service, Google Cloud Platform et Owncloud. Cette thèse établit ainsi pour la première fois qu'une couche d'identité centrée sur l'utilisateur, sans aucun intermédiaire, est réalisable pour les environnements cross-cloud sur les plateformes actuelles. |
Organizations are increasingly distributing their applications across multiple cloud providers to achieve several objectives: serving remote users, complying with local regulations, and avoiding dependence on a single provider. The security perimeter is therefore no longer limited to a single cloud provider but extends to multiple providers. However, security mechanisms are specific to each provider and are largely incompatible: an organization either creates one account per provider—which fragments identity—or entrusts that identity to an external identity provider or a third-party entity, which replaces dependence on a cloud provider with dependence on an intermediary.
The problem addressed in this thesis is how to apply the concept of self-sovereign identities —which places the user, rather than the operator, at the center of identity management — in order to govern identities and access rights across cross-cloud storage environments. The question remains open. Some existing work reconciles authorization policies without addressing identity, while other works introduce the intermediary that they claim to eliminate. Furthermore, no cloud provider currently supports the attestation formats standardized by the self-sovereign identity community.
Our solution is called XCId (Cross-Cloud Identity), a cross-cloud identity portfolio that adheres to the fundamental principles of self-sovereign identities. To achieve this, we have defined a cross-cloud identity and access control models that, when combined, enable the management of application permissions across multiple clouds. XCId has been fully implemented and tested as part of a pilot project on Amazon Web Services, Google Cloud Platform, and OwnCloud. This thesis thus establishes, for the first time, that a user-centric identity layer—without any intermediaries—is feasible for cross-cloud environments on current platforms. |