Sergey Nivens - Fotolia
Comment fonctionne un framework de gestion des identités et des accès ?
Un framework complet de gestion des identités et des accès est une nécessité pour l’IT. Mais comment ces deux composants fonctionnent-ils ensemble ?
Dans le monde de l'informatique d'entreprise, il n'est pas rare que l’on se réfère à tort aux termes « gestion des identités » et « gestion des accès ». En réalité, les deux termes couvrent des domaines complètement différents. La principale raison pour laquelle les gens confondent la gestion des identités et la gestion des accès est que les deux processus fonctionnent en tandem. La plateforme qui combine les deux est connue sous le nom de gestion des identités et des accès, ou IAM, pour Identity and Access Management. Pour comprendre l'IAM, il convient d'explorer les deux volets de ce qui fait l'IAM.
La gestion des identités est une méthode utilisée pour classer un utilisateur, un groupe ou un dispositif sur un réseau. L'objectif principal est de pouvoir placer les ressources identifiées dans des catégories afin que de faire appliquer en conséquence des politiques réseau et sécurité. La façon la plus courante d'identifier les ressources d'un système d’information est d'attribuer un nom d'utilisateur et un mot de passe. Le nom d'utilisateur est l'étiquette d'identification, tandis que le mot de passe n'est connu que de la ressource.
Une fois l'authentification réussie, il est possible d’être sûr que les utilisateurs sont bien ceux qu'ils prétendent être, à condition que le compte n'ait pas été compromis. D'autres méthodes d'identification consistent à distinguer les ressources en fonction des noms DNS, de l'adresse IP et de l'adresse MAC - bien que ces méthodes ne soient pas nécessairement sûres. La blockchain est l'une des méthodes les plus récentes et les plus sûres pour garantir l'identité d’appareils connectés.
Etape suivante : l'application des politiques d'accès
L’activation du framework de gestion des identités et des accès ne s’arrête pas à l’identification des ressources. Il faut ensuite appliquer une politique d'accès à ces ressources. La gestion des accès permet essentiellement de déterminer qui ou quoi sur un réseau a le droit de se connecter à une ressource donnée. Cela peut signifier oui, non ou dans quelle mesure. C'est ce qu'on appelle le contrôle d'accès.
Par exemple, les utilisateurs identifiés de la comptabilité auront accès à l'application de paie de l'entreprise, mais personne d’autre. Autre exemple, les caméras de surveillance : seul le personnel en charge de la sécurité physique est autorisé à visionner les images de vidéosurveillance.
Il est courant de regrouper plusieurs identités par fonction métier ou par type de dispositif. Cette pratique est connue sous le nom de contrôle d'accès basé sur les rôles (RBAC). De cette façon, une seule politique d'accès peut être appliquée à un groupe d'identités au lieu de créer une nouvelle politique pour chaque identité. Avec le RBAC, le framework de gestion des identités et des accès peut donc comporter moins de politiques d’accès.
