User Provisioning

Définition

Le provisionnement utilisateur (User Provisioning) est le processus automatisé de création, modification, et suppression des comptes utilisateurs et de leurs accès dans les systèmes et applications d'une organisation. Il vise à garantir que les employés disposent des accès appropriés au bon moment (dès leur arrivée) et que ces accès sont révoqués promptement lors de leur départ ou changement de poste. Le provisionnement manuel des accès — création de comptes par les administrateurs sur demande par email ou ticket — présente de nombreux risques : délais (les nouveaux employés attendent leur accès), erreurs (mauvais accès attribués), oublis (comptes d'anciens employés non supprimés), et manque de traçabilité. Ces problèmes ont conduit au développement de solutions de provisionnement automatisé. Le provisionnement automatisé s'appuie sur deux approches principales. L'approche push (ou Just-In-Time Provisioning) connecte le système source d'identité (généralement le SIRH comme SAP SuccessFactors, Workday, BambooHR) à l'IAM, qui propage les changements vers les systèmes cibles (AD, applications SaaS, ERP) via des connecteurs. L'approche SCIM (System for Cross-domain Identity Management, RFC 7643/7644) est le standard moderne pour l'automatisation du provisionnement vers les applications SaaS. SCIM standardise l'API de provisionnement : un IdP (Azure AD, Okta, Ping) peut automatiquement créer des comptes dans une application SaaS qui supporte SCIM, sans développement custom. Les endpoints SCIM standards (/Users, /Groups) permettent les opérations CRUD sur les identités. Les grands éditeurs SaaS (Salesforce, ServiceNow, Slack, Box, Workday) supportent tous SCIM, réduisant considérablement l'effort d'intégration. Les processus de déprovisionning sont aussi critiques que le provisionnement. Lors d'un départ, tous les accès de l'utilisateur doivent être révoqués dans un délai défini (souvent le jour même pour les départs non préavisés). Des études montrent que les anciens employés conservent en moyenne des accès pendant plusieurs semaines après leur départ — une fenêtre d'exposition significative pour la menace interne. Les workflows de déprovisionning automatisés, déclenchés par la mise à jour du statut dans le SIRH, garantissent la réactivité.