Vérification de l’identité et des appareils

Un fournisseur d'identité est le système central qui authentifie les utilisateurs et émet des jetons pour d'autres services. Les IdPs modernes prennent en charge le SSO, la MFA et l'accès conditionnel. Exemples : Okta, Azure AD (Entra ID), Google Workspace, Ping Identity.

Le SSO permet aux utilisateurs de s'authentifier une seule fois auprès de l'IdP et d'accéder à plusieurs applications sans saisir de nouveau leurs identifiants. Il repose sur les protocoles SAML 2.0 ou OIDC. Avantage pour la sécurité : moins d'identifiants signifie moins de possibilités de vol d'identifiants ; les contrôles de sécurité sont centralisés auprès de l'IdP.

Deux protocoles SSO dominants :

• SAML 2.0 — fondé sur XML, adapté aux entreprises et largement pris en charge par les applications anciennes
• OIDC (OpenID Connect) — fondé sur JSON/JWT, moderne, construit sur OAuth 2.0 et utilisé par les applications en nuage et mobiles

Les deux délèguent l'authentification à l'IdP et renvoient un jeton signé à l'application.

Les IdPs modernes prennent en charge l'accès conditionnel : les décisions d'accès sont fondées sur des signaux de risque :

• Rôle de l'utilisateur et appartenance à un groupe
• État de conformité de l'appareil
• Emplacement géographique
• Heure de la journée
• Score de risque (anomalie de connexion)

Les signaux présentant un risque élevé déclenchent une MFA supplémentaire ou bloquent complètement l'accès.

MDM inscrit et gère les appareils en appliquant des politiques de sécurité :

• Exiger le verrouillage de l'écran par PIN ou biométrie
• Exiger le chiffrement du disque
• Imposer les mises à jour de l'OS
• Permettre l'effacement à distance
• Transmettre les rapports de conformité à l'IdP pour l'accès conditionnel

Exemples : Microsoft Intune, Jamf (Apple), VMware Workspace ONE.

Les certificats des appareils associent une identité cryptographique à chaque appareil géré. Ils sont délivrés par une CA d'entreprise via MDM. Les politiques zéro confiance peuvent exiger un certificat d'appareil valide avant d'accorder l'accès ; les appareils personnels non gérés sont bloqués, même avec des identifiants utilisateur valides.

Le modèle zéro confiance utilise la télémétrie EDR comme signal de l'état de l'appareil. Un IdP peut vérifier si EDR est installé et opérationnel avant d'accorder l'accès. Lorsqu'EDR détecte un appareil compromis, l'accès est automatiquement révoqué grâce à l'intégration avec l'accès conditionnel.

L'accès JIT (PIM — gestion des identités privilégiées) accorde des permissions élevées uniquement lorsqu'elles sont nécessaires, pour une durée limitée et avec approbation. Aucun rôle d'administrateur n'est attribué de manière permanente. Azure AD PIM, les identifiants temporaires AWS IAM et HashiCorp Vault mettent ce principe en œuvre.

Les applications ont également besoin d'une vérification d'identité. Approches possibles :

• Comptes de service avec des jetons à courte durée de vie
• mTLS — TLS mutuel, dans lequel le client et le serveur présentent tous deux des certificats
• SPIFFE/SPIRE — cadre d'identité des charges de travail pour les microservices

Dans les environnements SaaS et en nuage, l'isolation des identités empêche les accès entre locataires. L'espace d'identité de chaque client doit être strictement isolé. Une erreur permettant à un locataire d'accéder aux données d'un autre constitue une vulnérabilité critique.

Au-delà de l'authentification quotidienne, la gouvernance des identités garantit :

• Des revues régulières des accès (certifications) — les responsables vérifient qui y a accès
• Le provisionnement et le déprovisionnement automatisés via SCIM
• La détection et la suppression des comptes orphelins
• L'application de la séparation des tâches

Quel composant du modèle zéro confiance accorde des permissions élevées uniquement lorsqu'elles sont nécessaires, pour une durée limitée et avec approbation, plutôt que d'attribuer des rôles d'administrateur de manière permanente ?

Identité dans le modèle zéro confiance : IdP centralisé avec SSO (SAML/OIDC), MFA et politiques d'accès conditionnel. Vérification des appareils au moyen de contrôles de conformité MDM et de certificats d'appareil. JIT/PIM élimine les privilèges d'administrateur permanents. L'identité des services repose sur mTLS et SPIFFE. La gouvernance des identités, avec des revues des accès et un provisionnement SCIM automatisé, garantit le maintien du principe du moindre privilège dans le temps.