IT Glossary
L'identité de charge de travail permet à une application de prouver ce qu'elle est sans secret stocké. Découvrez pourquoi elle remplace les clés statiques.
August 7, 2026
L'identité de charge de travail (workload identity) est une approche dans laquelle une application, un conteneur ou une fonction s'authentifie en prouvant ce qu'elle est à la plateforme qui l'exécute, et reçoit en retour un identifiant de courte durée, au lieu de détenir un secret stocké. L'identité se rattache à la charge de travail elle-même plutôt qu'à un compte créé par quelqu'un et à une clé recopiée par quelqu'un d'autre.
Une clé statique de compte de service est un identifiant sans expiration, souvent sans propriétaire, et dont une copie traîne dans au moins un endroit dont personne ne se souvient. L'identité de charge de travail supprime l'objet plutôt que de mieux le protéger. La contrepartie est qu'elle ne fonctionne que là où la plateforme prend en charge l'attestation, la plupart des entreprises font donc cohabiter les deux modèles pendant des années et ont besoin de savoir quelles charges de travail dépendent encore d'une clé stockée.
Une équipe migre sa chaîne de déploiement d'une clé cloud stockée vers une identité de charge de travail fédérée, si bien que la chaîne prouve depuis quel dépôt et quelle branche elle s'exécute et reçoit un identifiant valable dix minutes. La clé stockée peut être supprimée. La question qui reste est celle que rencontre chaque parc : quelles autres intégrations détiennent encore des clés de longue durée, qui en est propriétaire, et qu'est-ce qui casse quand on les révoque. Corma suit ces identités non humaines aux côtés des identités humaines, pour qu'un seul inventaire couvre les deux.
Un compte de service est un compte avec un identifiant stocké. L'identité de charge de travail émet un identifiant de courte durée à partir de caractéristiques d'exécution prouvées, si bien que rien n'est stocké nulle part.
Elles se recouvrent. L'identité machine désigne généralement les appareils et les certificats, tandis que l'identité de charge de travail désigne le logiciel en cours d'exécution, conteneurs, fonctions et chaînes de déploiement.
Oui, par la fédération. Une charge de travail d'une plateforme peut présenter son jeton attesté à une autre et recevoir des identifiants cadrés, sans aucune clé statique partagée.
Oui. L'identifiant est de courte durée, mais les permissions qu'il accorde ne le sont pas. Ces permissions ont toujours besoin d'un propriétaire, d'un périmètre défini et d'une place dans la revue d'accès.
