Gestion des Identités IAM Fédération

Cycle de vie des identités : provisioning et joiner-mover-leaver

Le processus Joiner-Mover-Leaver (JML) est le cœur de la gouvernance des identités : Joiner (arrivée) — création du compte utilisateur, attribution du profil d'accès standard selon le rôle (RBAC), provisioning automatisé dans les applications connectées (SCIM, APIs), envoi des credentials de façon sécurisée ; Mover (changement de poste) — modification des droits d'accès selon le nouveau rôle (principe du moindre privilège — suppression des droits de l'ancien poste, ajout des droits du nouveau poste) ; Leaver (départ) — désactivation immédiate du compte à la date effective du départ (voire avant pour les départs non anticipés — licenciement), révocation de tous les tokens d'accès et sessions actives, transfert des données et responsabilités, suppression définitive après une période d'archivage.

Le délai de désactivation des comptes lors des départs est un point critique régulièrement relevé lors des audits de conformité : des comptes d'ex-employés actifs des semaines ou mois après leur départ sont une violation des principes de sécurité IAM (et de PCI-DSS Requirement 8.3.2 — désactivation des accès lors du départ). L'automatisation du processus de départ via l'intégration SIRH-IAM (synchronisation des événements RH vers le système IAM) est la meilleure approche pour garantir la réactivité.

SSO, SAML et OpenID Connect

Le Single Sign-On (SSO) permet à un utilisateur de s'authentifier une fois (auprès d'un Identity Provider — IdP) et d'accéder à de multiples applications (Service Providers — SP) sans se réauthentifier. Avantages : expérience utilisateur améliorée (moins de mots de passe à gérer), sécurité renforcée (l'authentification forte est appliquée centralement à l'IdP, bénéficiant à toutes les applications), et gouvernance simplifiée (révocation centralisée des accès lors des départs).

SAML 2.0 (Security Assertion Markup Language) est le protocole dominant pour le SSO d'entreprise : le SP redirige l'utilisateur vers l'IdP (Okta, Azure Entra ID, Ping Identity, Google), l'IdP authentifie l'utilisateur et génère une assertion SAML (XML signé attestant l'identité et les attributs de l'utilisateur), le SP accepte l'assertion et crée la session. OpenID Connect (OIDC), basé sur OAuth 2.0, est le standard moderne pour les applications web et mobiles : plus simple à implémenter que SAML, orienté APIs, utilise des JWT (JSON Web Tokens) comme assertions d'identité. OIDC est largement adopté pour les applications SaaS modernes et les microservices.

IGA et recertification des droits

L'Identity Governance and Administration (IGA) gère le cycle de vie des accès à grande échelle. Fonctionnalités clés : catalogue des applications et des rôles (quelles applications existent, quels accès sont disponibles), recertification des droits (campagnes périodiques de revue et validation des accès par les managers et propriétaires d'applications), détection des accès excessifs ou conflictuels (Segregation of Duties — SoD, conflits de rôles), audit des accès (traçabilité des attributions et révocations de droits), et self-service (demande d'accès par l'utilisateur, workflow d'approbation). Solutions IGA majeures : SailPoint IdentityNow, Saviynt, IBM Security Identity Governance, Microsoft Identity Governance (Entra ID), One Identity Manager.

La Segregation of Duties (SoD) est une exigence de conformité financière importante : certaines combinaisons d'accès ne doivent pas être accordées à la même personne pour prévenir les fraudes (ex. : une même personne ne doit pas pouvoir à la fois créer un fournisseur ET valider un paiement à ce fournisseur — risque de fraude comptable). L'IGA peut détecter et alerter sur les combinaisons d'accès violant la SoD, et imposer des workflows de contrôle compensatoires.