Algolia

L'intégration entre Corma et Algolia place les membres d'équipe d'Algolia sous la gouvernance de l'IT, à côté de l'offre à l'usage qui les finance, et intègre les clés API à chaque offboarding. Algolia se présente comme la couche de retrieval intelligence qui transforme l'intention en résultats fiables, sur lesquels fonder des décisions. Concrètement, les applications appellent son API de recherche avec des clés API, dont certaines sont intégrées au code frontend en production. Dans Algolia, l'accès dépend moins des sièges que des identifiants : qui est membre d'équipe sur quelle application, et quelles clés peuvent lire ou modifier vos index.

À retenir

• Algolia facture son offre Grow sur les requêtes de recherche et les enregistrements, pas sur les sièges : la gouvernance d'Algolia porte donc sur les accès et les clés API plutôt que sur le nombre de sièges.
• Chaque application Algolia a un seul propriétaire, et l'Admin API key détenue par ce propriétaire donne accès à tout le compte.
• Retirer un membre d'équipe Algolia supprime les clés API qu'Algolia a créées pour cette personne, tandis que les clés créées manuellement par ce membre restent actives.
• Algolia ne prend pas en charge le provisionnement SCIM : les membres d'équipe sont ajoutés et retirés dans le tableau de bord Algolia.

Pourquoi les clés API sont-elles les identités à surveiller dans Algolia ?

Chaque clé API Algolia porte une liste de contrôle d'accès (ACL) qui fixe les opérations autorisées, comme search, addObject, deleteIndex ou editSettings, ainsi que des restrictions facultatives sur les index, la limite de débit et la validité. Les valeurs par défaut sont permissives : la validité d'une clé vaut 0 par défaut, ce qui signifie qu'elle n'expire jamais, et aucune limite de débit n'est fixée par défaut. Algolia conseille d'ailleurs de régénérer toutes les clés API au moins une fois par an.

Les clés sont aussi liées à des personnes. Retirer un membre d'équipe supprime les clés associées à cet utilisateur, ce qui casse toute intégration qui en dépend encore, alors que les clés créées à la main par ce membre continuent de fonctionner. C'est pourquoi Algolia recommande de faire tourner la production sur les clés du propriétaire de l'application. Pour l'IT, chaque clé est une identité non humaine avec un propriétaire, un périmètre et une durée de vie.

Comment Corma encadre Algolia

• Les membres d'équipe dans les revues : Corma montre qui a accès à Algolia, y compris les personnes qui disposent des permissions Team ou API key, et intègre ces accès dans des revues des accès automatisées pour l'ISO 27001 et le SOC 2.
• Un offboarding avec vérification des clés : quand un développeur part, l'IT Workflow Builder peut ajouter une étape d'approbation, pour que le propriétaire de l'application confirme que la production n'utilise plus les clés de cette personne avant le retrait de son accès. Les clés qu'Algolia crée pour un membre d'équipe portent son adresse e-mail dans leur description, ce qui les rend faciles à retrouver.
• Des dépenses à l'usage : l'offre Algolia, son coût mensuel et son renouvellement figurent avec vos autres outils dans la gestion des abonnements SaaS.

Questions fréquentes

Algolia prend-il en charge le SSO et le SCIM ?

Algolia propose l'authentification unique SAML pour l'accès au tableau de bord sur les offres avec engagement éligibles, et sa page des tarifs mentionne le SSO sur l'offre Elevate. Le provisionnement SCIM n'est pas pris en charge : vous ne pouvez donc pas gérer les accès Algolia depuis votre fournisseur d'identité. Découvrez ce qui distingue le SCIM du SAML.

Comment Corma se connecte-t-il à Algolia ?

Via une intégration API quand Algolia le permet, ou via les agents navigateur de Corma. La gestion des équipes Algolia n'est disponible que dans son tableau de bord : les agents y travaillent donc dans une session de navigateur isolée, avec des identifiants issus de votre coffre-fort de mots de passe, et chaque exécution est journalisée.

Où sont hébergées les données de Corma ?

Corma est hébergé sur AWS, avec des serveurs web et des bases de données situés dans des centres de données de l'Union européenne. Les données sont chiffrées en transit et au repos, et Corma est certifié ISO/IEC 27001:2022.

Vous voulez savoir qui détient les clés de vos index de recherche ? Demandez une démo Corma.