Provisionnement Just-in-Time (JIT)

Qu'est-ce que le provisionnement Just-in-Time (JIT) ?

Le provisionnement Just-in-Time (JIT) est une méthode qui crée un compte utilisateur et accorde l'accès automatiquement au moment où il est nécessaire pour la première fois, plutôt qu'à l'avance. Souvent déclenché lors d'une connexion SSO via SAML ou OpenID Connect, le JIT supprime le besoin de pré-créer des comptes, réduit les accès permanents et soutient les modèles de moindre privilège et de Zero Trust en n'accordant l'accès que lorsqu'il est réellement requis.

Comment fonctionne le provisionnement JIT

• Un utilisateur tente d'accéder à une application pour la première fois, généralement via SSO.
• Le fournisseur d'identité transmet les attributs de l'utilisateur à l'application.
• L'application crée le compte à la volée, avec des permissions basées sur le rôle.
• L'accès est accordé pour cette session sans compte préexistant.
• Associé à des règles d'expiration, l'accès ne persiste pas en tant que privilège permanent.

JIT vs accès permanent

L'accès Just-in-Time et l'accès permanent diffèrent sur quatre points. Le JIT est accordé au moment du besoin, garde une surface d'attaque plus réduite et limitée dans le temps, convient aux accès sensibles ou occasionnels et soutient le moindre privilège et le Zero Trust. L'accès permanent est accordé à l'avance et maintenu ouvert, présente une surface d'attaque plus large et toujours présente, convient aux outils quotidiens toujours nécessaires et sert surtout la commodité.

Exemples et cas d'usage

Un ingénieur a besoin d'un accès à la production pour un incident ponctuel. Au lieu d'un compte admin permanent, le JIT accorde un accès limité dans le temps qui expire automatiquement ensuite. Rien ne reste ouvert pour être détourné plus tard. Le JIT simplifie aussi l'onboarding des applications en SSO : le compte est créé à la première connexion à partir des attributs de l'IdP, si bien que l'IT ne pré-provisionne pas des dizaines de comptes qui pourraient ne jamais servir. Le compromis, c'est que le JIT dépend d'une source d'identité propre et d'attributs bien définis.

Concepts associés

• Provisionnement et onboarding automatisés
• Bonnes pratiques de provisionnement en gestion des identités et des accès
• Corma pour les équipes de sécurité

FAQ

Quelle est la différence entre provisionnement JIT et accès permanent ?

Le JIT accorde l'accès uniquement au moment du besoin et le laisse expirer, tandis que l'accès permanent reste ouvert en continu. Le JIT réduit la surface d'attaque.

Comment le JIT soutient-il le Zero Trust ?

En n'accordant l'accès que lorsqu'il est requis et pour une durée limitée, le JIT applique le moindre privilège, un principe central du Zero Trust.

Le JIT remplace-t-il le provisionnement SCIM ?

Pas nécessairement. SCIM maintient les comptes synchronisés dans le temps, tandis que le JIT crée l'accès à la première connexion. De nombreuses configurations utilisent les deux pour des applications différentes.

Demander une démo