Chapitre 2 GESTION DES
UTILISATEURS
1.6 2.1
INTRODUCTION
La gestion des utilisateurs et des droits d'accès
(souvent connu sous l'acronyme IAM. pour Identity and Access Management) est un
maillon clé dans la chaîne de sécurité des
organisations. Elle permet de renforcer le niveau de sécurité
général en garantissant la cohérence dans l'attribution
des droits d'accès aux ressources hétérogènes du
système d'information.
La gestion des utilisateurs et des droits d'accès est
également devenue l'un des moyens majeurs permettant de répondre
aux exigences réglementations de plus en plus fréquentes
concernant la traçabilité. C'est aussi un moyen d'optimiser
l'administration des droits.
Mais qu'entend-on exactement par gestion des utilisateurs et
des droits d'accès ?
La gestion des utilisateurs consiste à gérer le
cycle de vie des personnes (embauche, promotion mutation, départ. etc.)
au sein de la société et les impacts induits sur le
système d'information (création de Comptes utilisateurs,
attribution de Profils utilisateurs, mise en oeuvre du contrôle
d'accès, etc.) Cette gestion des utilisateurs doit pouvoir être
faite d'un point de vue fonctionnel par des non-informaticiens (exemple :
Ressources Humâmes. Maîtrise d'ouvrage, l'utilisateur
lui-même) et d'un point de vue technique par des informaticiens (exemple
: administrateur. Maitrise d'oeuvre). La solution de gestion des utilisateurs
doit être une solution globale sur la base d'une infrastructure
centralisée avec une gestion fonctionnelle distribuée et qui
intègre les fonctionnalités suivantes :
· la gestion du référentiel central des
utilisateurs (alimentation a partir de référentiels utilisateurs
sources).
· la gestion du référentiel central des
ressources concernées par la gestion des droits d'accès.
· la gestion des habilitations; (gestion des Profils.
Rôles, gestion des utilisateur;,workflow).
· le provisioning (synchronisation des
référentiels cibles de se ointe).
· administration décentralisé
· auto-administration gestion par les utilisateurs des
mots de passe et des données privées.
· l'audit et le reporting.
· le contrôle d'accès (authentification
autorisation).
1.7 2.2. QUELQUES
CONCEPTS
Cette partie du chapitre introduit quelques concepts
couramment utilisé dans les entreprises, en l'absence de
standardisation, ces concepts sont définis du retour
d'expériences.
2.2.1. Personne
(Utilisateur)
Désigne une personne physique : les employés
d'entreprise, les prestataires, les partenaires et les clients de l'entreprise
qui, de par leur fonction, exercent une activée ayant vocation à
leur permettre de bénéficier des applications et des ressources
mises à disposition par l'entreprise.
Toute personne déclarée dans un
référentiel central de sécurité et de gestion des
habilitations est identifiée par un identifiant unique.
Des attributs supplémentaires fournissent les
informations concernant la personne. Ces attributs sont :
· un nom.
· un prénom
· une durée de validité.
· un état (actif, suspendu).
· les périmètres d'accès
autorisés.
· un niveau de confidentialité (par domaine
d'activité).
Etc.
Tout acteur du système est déclaré d'une
maniéré unique dans un référentiel central de
sécurité et de gestion des habilitations en tant que personne
physique et peut disposer de comptes dans différents environnement; et
applications en fonction des habilitations accordées.
La cohérence de ces information est maintenue
automatiquement par le système de gestion de: habilitations.
D'une manière générale les autorisations
ne sont pas attribuées directement aux personnes mais à travers
des profils rôles. Certaines autorisations particulières peuvent
être associées à la personne physique Elles sont
limitées aux autorisations d'accès global au SI d'entreprise
comme limitation temporelle ou géographique d'ouverture de session ou
suspension générale d'accès.
| 
