Un IdP (identity provider, fournisseur d'identité) est le service qui authentifie les utilisateurs et délivre aux applications une preuve de cette authentification : une assertion SAML ou un jeton d'identité OpenID Connect. Les applications qui s'y fient sont appelées service providers en SAML et relying parties en OIDC.
Son rôle dans la fédération
Sans IdP, chaque application gère ses propres comptes et ses propres mots de passe. Avec un IdP, l'authentification est centralisée : l'utilisateur se présente une fois, l'IdP émet une preuve signée, l'application la vérifie et ouvre une session locale. C'est le fondement du SSO et la condition d'une politique d'accès homogène — MFA, contrôles contextuels, révocation immédiate au départ d'un collaborateur.
L'assertion transporte l'identité et souvent le contexte de l'authentification : méthode utilisée, niveau atteint, horodatage. Une application peut s'en servir pour exiger une authentification plus forte avant une action sensible.
La contrepartie : une concentration du risque
L'IdP devient la clé de tout le système d'information. Trois conséquences pratiques :
- compromettre l'authentification de l'IdP revient à compromettre l'ensemble des applications ;
- un jeton ou un cookie de session volé après l'authentification reste exploitable jusqu'à expiration, sans repasser par l'IdP ;
- les comptes d'administration de l'IdP méritent le traitement réservé aux accès à privilèges.
D'où l'intérêt d'ajouter un facteur fort en overlay de l'IdP existant, sans refondre la fédération.
Aller plus loin : SSO : fonctionnement et angle mort · l'approche overlay sur un IdP existant · définition de SAML · l'authentification cognitive