Bastion d'accès : définition et solution souveraine

Comprendre le bastion d'administration (PAM), ses usages, et comment en déployer un sans infrastructure lourde

Un bastion d'accès est un point de passage unique et contrôlé par lequel transitent toutes les connexions d'administration vers vos serveurs et équipements. Il authentifie les utilisateurs, applique les politiques d'accès, enregistre les sessions et produit une piste d'audit complète. En France, le terme bastion désigne couramment ce que le marché anglophone appelle PAM (Privileged Access Management).

Qu'est-ce qu'un bastion d'accès ?

Un bastion d'accès (aussi appelé bastion d'administration, bastion informatique ou serveur de rebond, jump server en anglais) est la porte d'entrée unique par laquelle passent les connexions à privilèges d'une organisation. Plutôt que d'ouvrir un accès SSH, RDP ou VNC directement sur chaque machine, vous n'exposez qu'un seul point d'entrée, durci et surveillé.

Sans bastion, les accès d'administration se dispersent : un compte VPN pour l'infogéreur, un mot de passe administrateur partagé entre trois personnes, un port RDP resté ouvert « le temps d'une intervention ». Chacune de ces situations crée un accès dont plus personne ne connaît ni l'étendue, ni la durée de vie, ni l'usage réel. C'est précisément ce que la gestion des accès à privilèges (PAM) cherche à éliminer.

Un bastion n'est ni un pare-feu, ni un VPN. Le pare-feu décide quel flux réseau passe ; le VPN raccorde un poste distant au réseau interne ; le bastion, lui, gouverne qui accède à quelle machine, avec quels droits, et ce qui s'y est passé. Il s'installe donc en complément, et non en remplacement, des deux autres.

Comment fonctionne un bastion d'accès ?

Toute session d'administration suit le même parcours, quel que soit le protocole employé : SSH, RDP ou VNC.

Étape 1

Authentification forte

L'administrateur ou le prestataire s'authentifie d'abord sur le bastion, avec une authentification multifacteur. Aucun accès direct à la machine cible n'est possible : la seule porte d'entrée est le bastion.

Étape 2

Autorisation et moindre privilège

Le bastion vérifie les droits de l'utilisateur : quelles cibles, quels protocoles, pendant quelle période. Chacun n'obtient que les accès strictement nécessaires à sa mission, et rien de plus.

Étape 3

Injection des identifiants

Le bastion ouvre la session vers la cible en injectant les identifiants depuis un coffre-fort. Le mot de passe du compte à privilèges n'est ni affiché, ni transmis à l'utilisateur, ni stocké sur son poste.

Étape 4

Enregistrement et audit

La session est enregistrée de bout en bout. Vous disposez ensuite d'une piste d'audit exploitable en cas d'incident ou de contrôle : qui s'est connecté, sur quelle machine, quand, et ce qui a été fait.

À quoi sert un bastion d'accès ?

Les six situations qui motivent le plus souvent le déploiement d'un bastion dans une PME ou une ETI

Accès prestataires

Infogéreurs, éditeurs, mainteneurs : ouvrez un accès limité dans le temps, tracé et révocable en une action, sans distribuer de comptes VPN ni de mots de passe partagés.

Comptes à privilèges

Comptes administrateurs, comptes root, comptes de service : centralisez leur usage derrière un point de contrôle unique au lieu de les laisser circuler entre les équipes.

Traçabilité des sessions

Enregistrement des sessions RDP, SSH et VNC : vous savez exactement ce qui a été fait sur vos systèmes critiques, et vous pouvez le rejouer.

Conformité NIS2

L'article 21 de la directive NIS2 impose le contrôle des accès à privilèges et leur traçabilité. Un bastion est la réponse la plus directe à cette exigence.

Cyber-assurance

Les assureurs conditionnent de plus en plus la couverture, et son tarif, à l'existence d'un contrôle des accès d'administration et d'une piste d'audit.

Départs et rotations

Coupez un accès en une action, sans avoir à changer les mots de passe de toutes les machines auxquelles la personne pouvait se connecter.

Bastion traditionnel ou bastion nouvelle génération ?

Le besoin n'a pas changé. Le coût d'entrée, lui, a radicalement baissé.

Le bastion historique

  • Un serveur dédié à installer, dimensionner et maintenir
  • Un client lourd ou un plugin à déployer sur chaque poste
  • Des ouvertures de ports et des règles de pare-feu à négocier
  • Un projet d'intégration de plusieurs semaines, souvent avec un intégrateur
  • Des licences calibrées pour les grands comptes

Le bastion Heimlane Realm

  • Un accès depuis le navigateur, sans logiciel client ni plugin
  • Ni serveur de rebond à exposer, ni règle de pare-feu entrante
  • SSH, RDP et VNC couverts par la même interface
  • Des identifiants injectés depuis Vault, jamais visibles par l'utilisateur
  • Une tarification et une mise en œuvre pensées pour les PME et ETI

Pourquoi choisir un bastion souverain ?

Un bastion concentre par construction ce qu'une organisation a de plus sensible : les identifiants d'administration, la cartographie des machines critiques, et l'enregistrement de tout ce qui y a été fait. C'est la raison pour laquelle la question de l'hébergement et de la juridiction se pose ici avec plus d'acuité qu'ailleurs.

Heimlane est un éditeur européen. Realm est hébergé en France et en Allemagne, chez des hébergeurs européens. Les enregistrements de sessions et les journaux d'accès ne quittent pas l'Union européenne, et ne relèvent pas de législations extraterritoriales telles que le CLOUD Act américain.

Cette approche répond à une exigence de plus en plus fréquente dans les appels d'offres et les questionnaires d'assurance : pouvoir désigner un éditeur, une juridiction et un lieu d'hébergement, sans chaîne de sous-traitance opaque.

Heimlane Realm, le bastion d'accès de la plateforme Prism

Le coffre-fort détient les secrets, le bastion contrôle et trace leur utilisation. Les deux produits fonctionnent ensemble.

Heimlane Realm

Realm

Le bastion d'accès (PAM)

  • Bastion SSH, RDP et VNC depuis le navigateur
  • Enregistrement complet des sessions
  • Injection des identifiants sans jamais les révéler
  • Permissions par rôles et piste d'audit
En savoir plus
Heimlane Vault

Vault

Le coffre-fort de mots de passe

  • Stockage chiffré des comptes à privilèges
  • Chiffrement zéro-connaissance
  • Partage en équipe et coffres-forts partagés
  • Hébergement en France et en Allemagne
En savoir plus

Questions fréquentes sur le bastion d'accès

Quelle est la différence entre un bastion et un VPN ?
Un VPN vous raccorde au réseau : une fois connecté, vous pouvez atteindre tout ce que ce réseau expose. Un bastion vous donne accès à une machine précise, pour un protocole précis, pendant une durée précise, et enregistre la session. Les deux répondent à des besoins différents, et un bastion conserve tout son intérêt derrière un VPN.
Bastion, PAM, serveur de rebond : est-ce la même chose ?
Les termes se recouvrent largement. Un serveur de rebond (jump server) est la forme la plus simple : une machine intermédiaire par laquelle on transite. Un bastion y ajoute l'authentification forte, les politiques d'accès, l'enregistrement des sessions et l'audit. PAM (Privileged Access Management) est le terme anglophone qui désigne la discipline complète, dont le bastion est la brique centrale. En France, bastion d'accès et bastion d'administration sont employés indifféremment.
Un bastion est-il obligatoire pour la conformité NIS2 ?
La directive NIS2 ne nomme aucun produit. Son article 21 impose en revanche le contrôle des accès à privilèges, leur traçabilité et l'authentification multifacteur sur les comptes sensibles. En pratique, un bastion est le moyen le plus direct de démontrer ces contrôles lors d'un audit.
Une PME a-t-elle vraiment besoin d'un bastion ?
Dès lors qu'un prestataire externe intervient sur vos serveurs, ou que plusieurs personnes partagent un compte administrateur, la question se pose. Ce sont précisément les deux scénarios à l'origine d'un grand nombre d'incidents. Le frein historique tenait au coût d'un bastion d'entreprise, pas à la pertinence du besoin.
Faut-il installer un logiciel sur le poste des utilisateurs ?
Pas avec Heimlane Realm. Les sessions SSH, RDP et VNC s'ouvrent directement dans le navigateur. Il n'y a ni client lourd à déployer, ni plugin, ni configuration VPN à prévoir sur le poste du prestataire.
Où sont hébergées les données du bastion ?
En France et en Allemagne, chez des hébergeurs européens. Les enregistrements de sessions et les journaux d'accès restent dans l'Union européenne et ne relèvent pas de législations extraterritoriales telles que le CLOUD Act américain.

Voir un bastion d'accès moderne en action

Quinze minutes suffisent pour ouvrir une session RDP tracée depuis un simple navigateur. Demandez une démonstration de Realm.

Demander une démo / devis En savoir plus