🎓 Niveau : 🟡 Intermédiaire
📋 Prérequis : LDAP 📒, SSO 🔑, notions d'authentification
IAM signifie Identity and Access Management (« gestion des identités et des accès »). C'est la discipline qui répond à deux questions fondamentales de la sécurité :
- Qui es-tu ? (l'identité, l'authentification)
- Qu'as-tu le droit de faire ? (les accès, l'autorisation)
Le problème qu'il résout : dans une organisation, les gens arrivent, changent de poste et partent. Sans une gestion rigoureuse, on se retrouve avec des comptes fantômes (anciens employés encore actifs), des droits accumulés au fil des années, et personne ne sait plus qui peut accéder à quoi. C'est une porte ouverte aux fuites de données.
L'IAM met de l'ordre : la bonne personne a le bon accès au bon moment, et seulement pendant la durée nécessaire.
- IAM (Identity and Access Management) : l'ensemble des règles, processus et outils gérant identités et droits d'accès.
- Identité : la représentation numérique d'une personne (ou d'une machine) dans le système.
- Authentification : prouver son identité (mot de passe, MFA, certificat).
- Autorisation : ce que l'identité a le droit de faire une fois authentifiée.
- RBAC (Role-Based Access Control) : on donne des droits à des rôles (ex. « comptable »), puis on attribue des rôles aux personnes, plutôt que de gérer chaque droit individuellement.
- Provisioning / Deprovisioning : créer (provisioning) ou supprimer (deprovisioning) automatiquement les comptes et accès.
- Principe du moindre privilège : ne donner que les droits strictement nécessaires.
L'IAM suit le cycle de vie d'une identité, souvent appelé « Joiner – Mover – Leaver » :
- Joiner (arrivée) : un nouvel employé est créé dans l'annuaire (souvent LDAP) et reçoit automatiquement les accès liés à son rôle.
- Mover (changement) : il change de service ; ses anciens droits sont retirés et de nouveaux ajoutés.
- Leaver (départ) : son compte est désactivé immédiatement, coupant tous les accès.
À chaque connexion, le système : authentifie l'identité, puis vérifie l'autorisation (le rôle a-t-il le droit demandé ?). Tout est journalisé pour pouvoir auditer « qui a fait quoi ».
graph LR
RH[Source RH] -->|Joiner/Mover/Leaver| IAM[Système IAM]
IAM -->|Provisioning| AD[Annuaire LDAP/AD]
IAM -->|Rôles RBAC| APP[Applications]
U[👤 Utilisateur] -->|Auth + Autorisation| APP
IAM -->|Journaux d'audit| LOG[(Logs)]
Dans une PME, le service RH saisit l'arrivée d'un nouveau comptable dans son logiciel. Le système IAM détecte cette nouvelle entrée et, automatiquement :
- crée le compte dans l'annuaire,
- attribue le rôle « comptabilité » (accès à l'ERP financier, à un dossier partagé, pas d'accès aux serveurs IT),
- active le SSO et impose le MFA.
Six mois plus tard, le comptable devient responsable RH. L'IAM retire les droits comptabilité et ajoute les droits RH. Quand il quitte l'entreprise, son compte est désactivé en quelques minutes, sans rien oublier.
- Appliquer le principe du moindre privilège : par défaut, aucun accès ; on ajoute uniquement le nécessaire.
- Utiliser le RBAC : gérer des rôles est bien plus simple et sûr que des droits individuels.
- Automatiser le deprovisioning : un départ doit couper les accès immédiatement.
- Réaliser des revues d'accès régulières (ex. tous les 6 mois) pour retirer les droits inutiles.
L'accumulation de droits (privilege creep) : à force de changer de poste sans jamais retirer les anciens accès, un employé finit par tout pouvoir faire. C'est un risque majeur. Les revues d'accès l'évitent.
Oublier de désactiver les comptes des partants laisse des comptes fantômes exploitables par des attaquants ou d'anciens employés mécontents.
- L'IAM gère les identités (qui es-tu) et les accès (que peux-tu faire) sur tout le cycle de vie.
- Le RBAC et le moindre privilège sont les piliers d'une bonne gestion.
- L'automatisation arrivée/départ évite comptes fantômes et droits oubliés.
« La bonne personne, le bon accès, au bon moment — rien de plus. » 🔑