L'IAM (identity and access management) désigne l'ensemble des processus, référentiels et outils qui gèrent le cycle de vie des identités et les droits d'accès aux ressources d'une organisation. Il répond à trois questions : qui est cet utilisateur, à quoi a-t-il droit, et comment le prouve-t-on à chaque accès.
Les briques d'un dispositif IAM
- Référentiel d'identités : création, modification et suppression des comptes, alignées sur les mouvements du personnel ;
- Authentification : vérification de l'identité au moment de l'accès, éventuellement multifacteur ;
- Autorisation : attribution des droits par rôle, par attribut ou par politique ;
- Fédération : SSO, délégation à un fournisseur d'identité, accès aux applications tierces ;
- Gouvernance : revues d'habilitations, séparation des tâches, journalisation et audit.
Le point souvent négligé
Un dispositif IAM mature ne garantit pas la solidité de l'authentification. Un compte parfaitement gouverné reste détournable si le facteur d'accès est un mot de passe réutilisé, un OTP relayable ou une notification push approuvée par réflexe. Le maillon décisif est la preuve fournie au moment de l'action, en particulier pour les comptes à privilèges et les opérations sensibles.
L'IAM traite par ailleurs des identités internes. La gestion des utilisateurs externes relève du CIAM, avec des contraintes d'échelle et de conformité différentes.
Aller plus loin : IAM ou CIAM : deux problèmes, deux architectures · identification, authentification, autorisation · définition du PAM · l'authentification cognitive