Gestion des identités et des accès (IAM).

La gestion des identités et des accès (IAM) est le cadre de politiques, de processus et d'outils qui gère le cycle de vie des identités humaines et machines et gouverne leur accès aux applications, aux données et à l'infrastructure. Ses capacités essentielles comprennent le provisionnement et le déprovisionnement, l'authentification, l'autorisation, l'authentification unique (SSO), l'authentification multifacteur, la gestion des rôles et des habilitations, et la journalisation d'audit. L'IAM est l'ossature des architectures zero-trust, où chaque décision d'accès dépend d'une identité vérifiée et de ses attributs plutôt que de l'emplacement réseau.

L'IAM repose sur des standards ouverts : SAML 2.0 et OpenID Connect (au-dessus d'OAuth 2.0) pour le SSO fédéré, et SCIM 2.0 (RFC 7642/7643/7644 de l'IETF) pour le provisionnement inter-domaines qui crée, met à jour et désactive automatiquement les comptes dans les applications SaaS. Les programmes matures ajoutent des disciplines connexes : la gouvernance et l'administration des identités (IGA) pour la certification des accès, la gestion des accès à privilèges (PAM) pour les comptes d'administration, et le CIEM pour les habilitations cloud.

Une IAM faible est une cause majeure de compromissions : les identifiants volés ou réutilisés figurent régulièrement parmi les principaux vecteurs d'accès initial du Verizon DBIR, et les comptes orphelins, les privilèges permanents et les identités de service non gérées sont couramment détournés pour le déplacement latéral. Appliquer le moindre privilège, l'accès juste-à-temps et un déprovisionnement rapide réduit cette surface d'attaque.

flowchart LR
  A[Source d'identité : RH, annuaire] --> B[Provisionnement via SCIM]
  B --> C[Référentiel d'identités et IdP]
  C --> D[Authentification : MFA, SSO]
  D --> E[Autorisation : politique RBAC/ABAC]
  E --> F{Décision d'accès}
  F -->|Autoriser| G[Accès à la ressource et journal d'audit]
  F -->|Refuser| H[Bloquer et alerter]