La gestion des identités et des autorisations n’est pas vraiment un thème nouveau car il existe depuis l’utilisation de l’informatique de gestion. Mais, il demeure un sujet délicat, trop souvent mal compris. Entre articles académiques et tutoriels qui font l'impasse des concepts, les informations dans ce domaine ne sont que très rares.
La gestion des identités (https://www.tools4ever.fr/) et des accès permet de définir quels sont les utilisateurs d’un système informatique qui ont accès à quelles ressources et de contrôler l’application de ces règles. Pour mieux cerner cette problématique, on peut considérer les points de vue de quatre acteurs directement impliqués :primo , celui d’un utilisateur métier, secondo du point de vue d’un administrateur système, tertio celui d’un architecte logiciel et, finalement celui d’un responsable sécurité. Un utilisateur, ou de manière plus générale une entité, aura besoin d’accéder à plusieurs applications avec des habilitations particulières pour chacune d’elles, qu’il s’agisse d’applications web ou d’applications locales. De façon générale, ces habilitations relèvent de l’identité de cet utilisateur et du contexte dans lequel il a procédé à son identification. Pour l’utilisateur la procédure d’authentification doit demeurer transparente et de préférence ne demander qu’une étape de validation lui permettant d’accéder aux services dont il a l’usage pendant sa mission. Cette tâche incombe à la gestion des identités et des accès.
En vue de protéger l’accès aux ressources, le premier problème qui se pose à un administrateur système est d’être capable de créer et de gérer facilement l’arrivée de nouveaux comptes pourvus des habilitations adéquates. Pour procéder à la gestion de ces identités plusieurs stratégies sont envisageables. Certaines agissent de façon indirecte en attribuant des habilitations à des rôles plutôt qu’à des entités. Pour les services particulièrement sensibles, un administrateur doit aussi pouvoir exiger une procédure d’authentification plus stricte. L’administrateur système devra s’assurer de la sécurité et de l’intégrité des données d’authentification de la gestion des accès informatiques pour empêcher une éventuelle usurpation d’identité.
L’architecte logiciel est en charge de la conception de systèmes évolutifs. Il doit découpler les mécanismes d’authentification du code applicatif d’autant plus que les contraintes sécuritaires propres à ces mécanismes requièrent un code très spécialisé qu’il n’est pas possible de réinventer lors de chaque nouveau développement. Ces mécanismes intègrent deux composantes. La première est un annuaire externe, souvent propre à une organisation, qui stocke en lieu sûr les informations des comptes utilisateurs, la seconde étant chargée d’intercepter les demandes d’accès d’entités non encore authentifiées.
