SSO, SCIM & SAML : Provisionnement Automatique IAM

La gestion d'un nombre incalculable d'applications, d'utilisateurs et de licences est difficile. Pour cela, vous trouverez ici un aperçu des technologies essentielles de gestion des identités et des accès (IAM) (SSO, SCIM et SAML), expliquant leurs rôles, leurs synergies et leurs défis.

Il est essentiel de comprendre certains concepts essentiels liés à l’IAM, tels que le SSO, le SCIM et le SAML, avant d’approfondir la mise en place d’un système adapté à votre entreprise. Ces protocoles d'identité et d'accès permettent notamment l’auto provisioning et les fonctionnalités saml auto, qui automatisent et simplifient l’onboarding des utilisateurs et la gestion des accès. Voici un aperçu des trois technologies :

Authentification unique (SSO) est un service d’authentification des utilisateurs qui permet d’utiliser un seul ensemble d’informations de connexion pour accéder à plusieurs applications, éliminant ainsi le besoin de mémoriser plusieurs mots de passe et réduisant le risque de vol de mots de passe.

Système de gestion des identités interdomaines (SCIM) est un protocole pour le provisionnement et le déprovisionnement automatisés des identités des utilisateurs sur différents systèmes et applications. Cela permet aux organisations d’économiser du temps et des ressources en leur évitant de devoir le faire manuellement gérer les identités et les accès des utilisateurs dans chaque système. En modifiant automatiquement les profils et les privilèges d’un utilisateur pour refléter les changements de statut, SCIM garantit la protection des données et l’application du moindre privilège. Par exemple, l’onboarding ou l’offboarding d’un employé déclenche la création ou la suppression de comptes utilisateurs, et SCIM automatise ce processus. Le SCIM est également important pour la gouvernance globale des accès.

Langage de balisage des assertions de sécurité (SAML) est un protocole basé sur XML permettant l’échange de données d’authentification et d’autorisation entre différents systèmes. Une bonne configuration et un setup approprié sont essentiels pour garantir la sécurité et l’efficacité de l’intégration SAML, et il existe des prérequis à respecter avant d’activer l’auto provisioning SAML. SAML n’autorise l’accès à une application que si l’utilisateur s’authentifie correctement. SAML auto provisioning permet d’automatiser la création et la gestion des comptes utilisateurs lors du SSO, facilitant ainsi l’onboarding et la synchronisation des groupes sans intervention manuelle. De plus, la réponse SAML doit être signée numériquement par l’IdP pour garantir la sécurité et prévenir les attaques de type man-in-the-middle. Cela peut être utilisé pour implémenter le SSO, ainsi que d’autres fonctionnalités de sécurité telles que l’authentification multifactorielle.

Examinons un peu plus en détail chacun d’eux et comment ils se comparent les uns aux autres.

SCIM contre SAML

Les deux SCIM (Système de gestion des identités interdomaines) et SAML (Security Assertion Markup Language) sont des protocoles utiles dans l'écosystème de gestion des identités. Le SCIM et le SAML partagent les mêmes objectifs d'amélioration de la sécurité et de rationalisation de la gestion des accès et des privilèges des utilisateurs. Cependant, les protocoles diffèrent dans leurs applications. Le SCIM est principalement axé sur la gestion et régissant les informations relatives à l'identité des utilisateurs sur différents systèmes, tandis que SAML est conçu pour faciliter l'authentification et l'authentification unique (SSO) dans différents domaines. Ensemble, ils créent un système de gestion des identités en ligne sécurisé et efficace qui applique les droits d'accès les moins privilégiés.

Existe-t-il des synergies entre SCIM et SAML ?

SCIM et SAML peuvent être utilisés comme protocoles complémentaires pour parvenir à une approche holistique gestion des identités et des accès : SAML, via l’Identity Provider (IdP), authentifie les utilisateurs et permet le provisioning automatique des comptes. Le SAML joue également un rôle clé dans les solutions de fédération d'identité et de Single Sign-On (SSO), où les services partenaires peuvent utiliser les assertions SAML pour faciliter une authentification sécurisée et le partage d'attributs entre organisations. Grâce à SAML, les services partenaires peuvent référer à un utilisateur à l’aide d’un identifiant commun, ce qui facilite l’identification fédérée et l’authentification transparente à travers plusieurs services. SCIM fournit et supprime les utilisateurs et les licences. Ils travaillent ensemble pour se compléter au sein d’un système de gestion des identités et des accès. Alors que le SAML authentifie les utilisateurs, le SCIM garantit que ces utilisateurs sont des employés actuels et que leurs privilèges reflètent correctement leurs rôles et services.

**Qu'est-ce que le user provisioning et le déprovisionnement des utilisateurs ?**

Les comptes utilisateur d’un système peuvent être créés, mis à jour et supprimés. Ce processus est connu sous le nom de provisionnement. Lorsque des événements de provisionnement se produisent, ils doivent être synchronisés entre plusieurs applications et systèmes. Par exemple, le système RH indiquera à l’IAM quand et dans quelle équipe le nouvel utilisateur rejoindra, ce qui a un impact sur la configuration du profil utilisateur.

Lorsqu’un nouvel utilisateur se connecte (log) via SAML SSO et n’existe pas encore dans l’instance, le Service Provider (SP) utilise les attributs contenus dans l’assertion SAML pour créer instantanément un nouveau compte utilisateur. L’application utilise les informations envoyées par l’Identity Provider (IdP) dans l’assertion SAML pour construire le profil utilisateur à la volée. Si l’utilisateur existe déjà, le SP vérifie si ses attributs ont changé et les met à jour en conséquence lors de la prochaine connexion. Une synchronisation des attributs en temps réel a lieu lorsque les détails d’un utilisateur changent, et les mises à jour sont appliquées lors de sa prochaine connexion. Le provisionnement utilisateur SAML peut automatiquement créer des utilisateurs dans la table User d’une instance s’ils existent dans l’IdP mais pas dans l’instance. Lorsque le provisionnement utilisateur SAML est activé (enabled), le système crée un enregistrement dans une table temporaire pour les nouveaux utilisateurs qui ne sont pas encore présents dans l’instance. Le provisionnement des utilisateurs peut être automatisé pour garantir que les comptes sont créés, mis à jour et supprimés sans intervention manuelle.

Le provisionnement des comptes a souvent un impact sur les groupes d’utilisateurs et les appartenances aux groupes. L’objectif est de disposer d’un processus de provisionnement automatisé, mais le provisionnement peut également être effectué manuellement. L’approvisionnement manuel peut être observé dans les petites entreprises ou lorsque les embarquements et les sorties ne sont pas très nombreux. Idéalement, le provisionnement et le déprovisionnement sont automatisés pour garantir que l’authentification et les privilèges des employés sont reflétés rapidement et précisément sur le lieu de travail.

Avantages de l'approvisionnement et du déprovisionnement automatisés :

• Intégration et départ des employés : attribuez ou révoquez rapidement des comptes utilisateurs et des droits d’accès en fonction des rôles. L’automatisation permet de réduire les processus manuels et de garder les rôles et accès à jour, tout en garantissant que seuls les employés actuels ont accès aux applications et données.
• Gestion des utilisateurs pour l’ensemble des applications et des services: le provisionnement automatisé rationalise la gestion des utilisateurs. SAML JIT permet de créer des comptes uniquement lorsque l’utilisateur en a réellement besoin, ce qui permet de save sur le coût des licences inutilisées. L’automatisation assure également la cohérence des noms d’utilisateur et adresses email sur tous les systèmes, réduisant ainsi les erreurs liées à la saisie manuelle.
• Sécurité: l’automatisation du provisionnement garantit que l’accès au moindre privilège est appliqué et élimine les comptes zombies en retirant les employés qui quittent leur poste. SAML JIT réduit le risque d’erreurs humaines lors de la configuration et limite la surface d’attaque en évitant la création de comptes dormants. L’automatisation améliore la sécurité en s’assurant que seuls les employés actuels disposent d’un accès.
• Coût et efficacité: Le provisionnement automatisé, notamment via SAML JIT, permet de save du temps et des ressources en réduisant les tâches manuelles et les coûts administratifs liés à la gestion des comptes utilisateurs.
• Conformité: Pour des certifications telles que NORME ISO 27001 ou SOC 2, il est utile de disposer d’un processus automatisé qui simplifie également les révisions d’accès ultérieures.

Utiliser SCIM et SAML ensemble

Les entreprises qui doivent s’assurer que le contrôle d’accès est appliqué et que les droits d’accès les moins privilégiés sont appliqués peuvent souhaiter implémenter à la fois le SCIM et le SAML. Cependant, une petite organisation peut choisir de mettre en œuvre initialement le SSO SAML pour optimiser la productivité et sécuriser l’accès.

Avec le SAML auto-provisioning, le service provider (SP) peut automatiquement récupérer les informations utilisateur à partir de la réponse SAML et les ajouter à la base de données de l’application. Le SAML auto permet également de mettre à jour automatiquement l’appartenance à un groupe utilisateur en fonction des informations extraites de la réponse SAML. Le provisioning automatique des comptes utilisateurs via SAML peut créer, mettre à jour et activer les comptes IdP des utilisateurs en utilisant l’authentification SAML. Cette fonctionnalité nécessite la licence Enterprise Platform. Pour activer la synchronisation automatique des groupes lors de la création d’un utilisateur, l’attribut Groups doit être inclus dans la configuration de mappage des attributs de l’IdP SAML. Les nouveaux utilisateurs obtiennent un accès immédiat dès leur première connexion, ce qui améliore l’expérience d’onboarding.

Cependant, le SAML nécessite souvent de gérer manuellement les autorisations des utilisateurs et de supprimer ou de supprimer des comptes utilisateurs lorsque les employés quittent un service ou changent de service. Plus tard, l’ajout du provisionnement SCIM fournit une automatisation et une visibilité complètes des accès et des autorisations de chacun.

Quelques défis du SCIM et du SAML

Inconvénients du SSO :

• Prix : La tâche dite SSO imposée par les fournisseurs qui facturent souvent plus cher les fonctionnalités SSO, ce qui représente une charge pour les petites entreprises.
• Mise en œuvre complexe : la configuration du SSO peut être complexe et nécessiter des connaissances spécialisées.

Inconvénients du protocole SAML :

• Complexité : SAML peut être complexe à implémenter et à optimiser, nécessitant des connaissances spécialisées.
• Problèmes de compatibilité : SAML n'est pas compatible avec tous les services ou applications.
• Limitations liées aux appareils mobiles : SAML n'a pas été conçu pour les applications mobiles, ce qui peut entraîner des difficultés de mise en œuvre.
• Complexité de la déconnexion unique (SLO) : la mise en œuvre d'une SLO avec SAML peut être complexe et ne pas toujours fonctionner de manière fiable.

Inconvénients du SCIM :

• Fiscalité SCIM : les fonctionnalités SCIM ne sont souvent disponibles que dans les versions supérieures et plus coûteuses des outils de gestion des identités.
• Dépendance à l'authentification unique : le SCIM nécessite souvent le SSO pour fonctionner, ce qui augmente la complexité et les coûts de mise en œuvre.

Dans l'ensemble, le provisionnement via SCIM et SSO s'accompagne souvent d'un coût plus que significatif et d'une mise en œuvre difficile. Avec des outils tels qu'Okta, le coût par utilisateur peut se situer entre 15€ et 18€ par mois, sans compter les frais supplémentaires liés au paiement de milliers d'euros aux fournisseurs pour obtenir le niveau du SSO. La recherche de alternatives à Okta devient rapidement une priorité lorsque les entreprises de taille moyenne commencent à payer des sommes élevées à cinq chiffres pour leur système IAM (lisez la suite pour voir quel outil IAM pourrait être une meilleure solution qu'Okta).

Security and Compliance in Identity Management

Security and compliance are at the heart of effective identity management, especially as organizations increasingly rely on automatic user account provisioning and advanced SAML (Security Assertion Markup Language) settings. The secure creation, management, and deprovisioning of user accounts are essential for safeguarding sensitive data and ensuring that only authorized users have access to critical systems and applications.

In modern user management, SAML authentication plays a pivotal role by enabling single sign-on (SSO) and streamlining user provisioning across multiple apps and services. With SAML, organizations can centralize authentication, allowing users to access a wide range of resources with a single set of login credentials. This not only enhances the user experience but also strengthens security by reducing the number of credentials that need to be managed and monitored.

When configuring SAML settings for automatic user account provisioning, special attention should be paid to the groups attribute. This attribute is crucial for synchronizing group memberships, ensuring that each user is assigned the correct access rights based on their role or department. Proper management of user attributes and group memberships helps organizations enforce the principle of least privilege, minimizing the risk of unauthorized access.

User logs and auditing capabilities are equally important in a robust identity management system. By tracking user activity and access patterns, administrators can quickly identify unusual behavior, investigate potential security incidents, and demonstrate compliance with regulatory requirements. This is particularly vital in environments where users access multiple apps through a single sign-on portal, and where SAML is used to authenticate and authorize access.

Admin portals provided by identity management solutions, such as those integrated with Google Workspace or Microsoft 365, offer centralized control over user provisioning, authentication, and access management. Leveraging automation tools within these portals allows organizations to streamline the process of creating, updating, and deprovisioning user accounts, reducing the risk of manual errors and improving overall productivity.

In summary, maintaining security and compliance in identity management requires a comprehensive approach that includes careful configuration of SAML settings, diligent management of user attributes and group memberships, and the use of automation and auditing tools. By prioritizing these elements, organizations can protect their data, meet regulatory obligations, and provide users with secure, seamless access to the resources they need.

Alternative à l'approvisionnement SCIM

Les petites et moyennes entreprises comptant seulement quelques centaines d’utilisateurs ont souvent du mal à utiliser SCIM et SAML de manière efficace. Des alternatives comme Okta fournir ce service, mais avec un prix important et une mise en œuvre complexe. Corma est une alternative à l’implémentation SCIM pour le provisionnement et le déprovisionnement des comptes utilisateurs. Corma approvisionne automatiquement les utilisateurs pour plusieurs centaines d’applications et se connecte à des fournisseurs d’identité tels que Google Workspace, Microsoft 365 et Okta, facilitant ainsi l’intégration et la gestion des accès via SAML auto provisioning.

Lorsqu’un utilisateur est importé ou synchronisé via SAML SSO, Corma crée automatiquement un enregistrement utilisateur dans l’instance de la plateforme concernée, assurant que chaque utilisateur dispose d’un compte actif dans la bonne instance. Corma peut également configurer des transform maps pour chaque fournisseur d’identité (IdP) afin d’adapter les données utilisateur selon les besoins de l’instance.

Corma peut gérer les demandes d’accès et les approbations pour les applications SaaS via Slack. Avec un générateur de flux de travail personnalisé, il est facile de configurer un système pour des flux d’approbation personnalisés en fonction des utilisateurs et des applications. Pour ce faire, Corma utilise des API : des applications SaaS peuvent facilement être ajoutées selon les besoins.

Corma propose une solution prête à l’emploi aux organisations non professionnelles qui utilisent une grande variété d’applications SaaS. Il est également utile pour les grandes entreprises qui s’appuient sur le SCIM, mais rencontrent des difficultés avec un grand nombre d’applications qui ne le prennent pas en charge.

‍