Gestion des identités à privilèges (PIM)

Qu'est-ce que la gestion des identités à privilèges ?

La gestion des identités à privilèges (PIM) est un contrôle de gouvernance des identités qui décide quelles identités peuvent détenir des rôles à privilèges et rend ces rôles activables plutôt que permanents. L'administrateur active le rôle seulement quand il en a besoin, pour une durée limitée, avec une justification, la MFA et, pour les rôles sensibles, une validation. Des revues régulières confirment qui reste éligible. Dans Microsoft Entra ID, Privileged Identity Management est aussi le nom d'une fonctionnalité.

À retenir

• La gestion des identités à privilèges rend les rôles à privilèges activables plutôt que permanents : l'administrateur n'active un rôle qu'au besoin et pour une durée limitée.
• La gestion des identités à privilèges contrôle qui peut détenir un rôle à privilèges, alors que la gestion des accès à privilèges sécurise les identifiants et les sessions utilisés.
• La gestion des identités à privilèges de Microsoft Entra ID exige des licences Microsoft Entra ID Governance ou Microsoft Entra ID P2.
• La gestion des identités à privilèges impose aussi de revoir les éligibilités, car un rôle activable jamais utilisé reste une porte d'entrée vers les droits d'administration.

Comment fonctionne la gestion des identités à privilèges

• Éligibilité : l'utilisateur est rendu éligible à un rôle au lieu d'y être affecté de façon permanente, si bien que rien n'est actif par défaut.
• Activation : quand le travail l'exige, l'utilisateur demande le rôle, donne une justification (souvent un numéro de ticket) et passe la MFA.
• Validation : pour les rôles les plus sensibles, un valideur nommé confirme la demande avant que le rôle ne devienne actif.
• Durée limitée : le rôle expire automatiquement après une durée fixée, par exemple quelques heures, sans que personne n'ait à le retirer.
• Revue et traçabilité : les éligibilités sont recertifiées à intervalle régulier, et chaque activation est journalisée avec l'auteur, l'heure et le motif.

C'est l'esprit des recommandations de l'ANSSI sur l'administration sécurisée des systèmes d'information : limiter les droits d'administration au strict nécessaire et tracer leur usage.

PIM ou PAM : quelle différence ?

• Gestion des identités à privilèges (PIM) : elle gouverne les identités. Elle répond à la question de savoir qui peut devenir administrateur, à quelles conditions et pour combien de temps.
• Gestion des accès à privilèges (PAM) : elle gouverne l'accès lui-même. Elle met en coffre-fort les identifiants à privilèges, relaie les connexions aux serveurs et aux bases de données et enregistre les sessions.

Les deux se complètent. Une ETI ou une PME commence souvent par le PIM de son fournisseur d'identité, qui supprime vite les droits d'administration permanents, puis ajoute un PAM là où existent des comptes root ou de base de données partagés. Attention à l'homonyme : dans l'e-commerce, PIM désigne la gestion des informations produit (product information management), un logiciel qui centralise les fiches produits, sans aucun rapport avec les identités.

Exemples et cas d'usage

Un éditeur de logiciels de 220 salariés découvre neuf administrateurs généraux permanents dans Microsoft Entra ID. Avec la gestion des identités à privilèges, il conserve deux comptes d'urgence exclus, rend tous les autres éligibles et exige justification, MFA et validation pour activer le rôle pendant quatre heures au maximum. Les éligibilités sont revues chaque trimestre. Les rôles Entra ID sont désormais maîtrisés, mais les droits d'administration dans 40 outils SaaS, du CRM au logiciel de paie, restent hors du périmètre du PIM.

Corma couvre ce versant SaaS. La plateforme inventorie les applications utilisées, automatise les revues des accès avec preuves d'audit, fait passer les demandes d'accès par des workflows de validation et automatise le déprovisionnement au départ des collaborateurs, y compris dans les applications sans SCIM.

Concepts associés

• Gestion des accès à privilèges (PAM)
• Accès just-in-time (JIT)
• Principe du moindre privilège
• Accès d'urgence (break-glass)
• Microsoft Entra ID (ex-Azure AD)
• Plateforme de gouvernance des identités Corma

FAQ

Quelle différence entre PIM et PAM ?

Le PIM décide quelles identités peuvent détenir des rôles à privilèges et pour combien de temps. Le PAM protège les identifiants et les sessions à privilèges eux-mêmes, avec coffre-fort et enregistrement des sessions. Beaucoup d'organisations ont besoin des deux.

Quelle licence faut-il pour Microsoft Entra PIM ?

Microsoft Entra Privileged Identity Management exige des licences Microsoft Entra ID Governance ou Microsoft Entra ID P2.

Qu'est-ce qu'une affectation de rôle éligible ?

C'est un rôle que l'utilisateur peut activer mais qu'il ne détient pas par défaut. Le rôle ne devient actif qu'après activation, avec justification, MFA et validation si nécessaire, puis il expire automatiquement.

PIM veut-il aussi dire gestion des informations produit ?

Oui, dans l'e-commerce et la distribution, PIM signifie product information management, un logiciel de gestion des données produits. En sécurité des identités, PIM désigne la gestion des identités à privilèges.

Demander une démo