Gestion des identités (IAM)

Zero Trust Identity — le nouveau périmètre de sécurité

Dans le modèle Zero Trust, l'identité est le nouveau périmètre de sécurité — remplaçant le périmètre réseau traditionnel qui n'existe plus à l'ère du cloud et du télétravail. Zero Trust Identity signifie : vérifier systématiquement l'identité avant tout accès (pas de confiance implicite basée sur l'emplacement réseau), appliquer le moindre privilège (accorder uniquement les accès nécessaires pour la tâche en cours), et vérifier en continu (réévaluer la confiance à chaque requête, pas seulement à la connexion initiale). Les contrôles Zero Trust Identity incluent : MFA résistant au phishing (FIDO2 obligatoire pour les comptes critiques), Conditional Access (évaluer le contexte de la connexion — conformité de l'appareil, localisation, heure — avant d'autoriser), et Continuous Access Evaluation (CAE — révoquer immédiatement les sessions si un signal de risque est détecté, sans attendre l'expiration du token). Azure Conditional Access et Okta Adaptive MFA implémentent ces principes.

CIAM — Identity Management pour les clients

Le CIAM (Customer Identity and Access Management) est la spécialisation de l'IAM pour les identités des clients externes d'une organisation, en opposition au Workforce IAM qui gère les identités des employés. Les exigences CIAM diffèrent significativement du Workforce IAM : scalabilité (des millions d'identités clients vs des milliers d'employés), expérience utilisateur (l'inscription et la connexion doivent être fluides — une friction excessive fait perdre des clients), conformité RGPD (consentement, portabilité des données, droit à l'oubli), et fédération sociale (connexion via Google, Apple, Facebook). Plateformes CIAM : Auth0 (Okta), Azure AD B2C, Cognito (AWS), ForgeRock, Ping Identity. Les cas d'usage CIAM critiques incluent la gestion des consentements (RGPD), la prévention de la fraude à la connexion (détection des bots, credential stuffing), et la gestion des profils clients centralisée (Single View of Customer).

IAM dans les environnements multi-cloud

La gestion des identités dans les environnements multi-cloud est complexe car chaque cloud provider a son propre système IAM (AWS IAM, Azure RBAC/Entra ID, GCP IAM). Les défis incluent : prolifération des identités (comptes dans chaque cloud, rôles différents, politiques différentes), incohérence des permissions (un utilisateur peut avoir des droits très différents selon le cloud), et visibilité limitée sur les accès effectifs dans chaque cloud. Les solutions de CIEM (Cloud Infrastructure Entitlement Management) — Ermetic/Tenable, Sonrai Security, CyberArk Conjur Cloud — offrent une visibilité unifiée sur les entitlements dans les multi-cloud. La fédération d'identités via un IDP central (Azure AD/Entra ID, Okta) qui agit comme IdP pour les trois clouds principaux (AWS via Identity Center, Azure natif, GCP via Workforce Identity Federation) simplifie la gestion en centralisant l'authentification tout en laissant chaque cloud gérer ses propres autorisations.