Managed Identity Isolation to Restrict Access from a VM

Question

Hello

We are using a system-assigned managed identity attached to a virtual machine to access a storage account . However, any user with local access to the VM can leverage this managed identity to interact with the storage account by querying the Instance Metadata Service (IMDS).

Key Issue:

Is there an official Azure-recommended method to restrict the use of the managed identity to a specific workload (e.g., a system service or application) on the VM, preventing local users from exploiting it?

Answer 1

Bonjour Ayoub Ennajah,

Utiliser Azure AD Conditional Access pour Managed Identity (aperçu)

L’accès conditionnel pour les identités de charge de travail (en aperçu) vous permet de définir des politiques d’accès basées sur l’identité, la ressource à laquelle on accède, et les conditions (comme l’adresse IP, la conformité de l’appareil, etc.).

Cependant, cela ne supporte pas encore un contrôle fin sur « qui sur la VM » peut accéder à l’identité — c’est plutôt adapté pour contrôler où et comment l’identité est utilisée, par exemple bloquer son usage hors de la région Azure ou depuis certaines adresses IP.

Utiliser une identité managée assignée par l’utilisateur et restreindre via Azure RBAC

Au lieu d’une identité attribuée au système directement liée à la VM, utilisez une identité managée assignée par l’utilisateur et appliquez RBAC uniquement aux applications ou scripts spécifiques qui demandent explicitement un jeton avec cette identité.

Bien que cela ne bloque pas les utilisateurs locaux d’accéder au point de terminaison IMDS, cela peut vous aider à mieux gérer l’utilisation dans des environnements complexes, tels que les App Services, workloads en conteneurs ou autres services de calcul managés.

https://learn.microsoft.com/fr-fr/entra/identity/managed-identities-azure-resources/overview

Utiliser un proxy pour contrôler l’accès à IMDS

Recommandation clé : Restreindre l’accès à http://169.254.169.254 en utilisant des règles de pare-feu ou une isolation par namespace réseau.

C’est la manière la plus directe pour contrôler quels processus ou utilisateurs peuvent accéder au point de terminaison de métadonnées.

Méthodes :

Utiliser iptables ou le pare-feu Windows pour bloquer l’accès à IMDS sauf pour des processus spécifiques.

Exécuter votre workload dans un conteneur ou un namespace isolé, et ne permettre l’accès qu’à partir de ce namespace.

Créer un proxy local qui médie l’accès à IMDS et applique une politique personnalisée (par exemple, autoriser uniquement certains processus selon PID/utilisateur).

https://learn.microsoft.com/fr-fr/entra/identity/managed-identities-azure-resources/how-to-use-vm-token

Utiliser Azure Policy ou l’accès Just-in-Time (JIT) VM pour réduire l’exposition au risque

Vous pouvez :

Utiliser Azure Policy pour auditer et appliquer les usages approuvés des identités.

Activer l’accès JIT via Azure Defender pour restreindre les plages horaires de connexion des utilisateurs.

https://learn.microsoft.com/fr-fr/azure/defender-for-cloud/just-in-time-access-usage

Si les détails demandés sont fournis, nous pourrons vous assister de manière plus précise.

Si vous trouvez ces informations utiles, merci de cliquer sur « Upvote » pour nous le faire savoir. Pour toute autre question, n’hésitez pas à nous contacter, nous serons ravis de vous aider.

Merci.