Aller au contenu
TortueTech
RubriquesIdentités, accès & habilitations

Identités, accès & habilitations

Rubrique 05 sur 13

Le vrai périmètre. Celui qu'on croit maîtriser parce qu'on a un annuaire.

Rubrique · 29 pages · 7 sous-sections

Identités, accès & habilitations

Par où commencer

  1. Authentification

    Prouver qui se connecte

  2. Fédération & jetons

    Déléguer l’accès sans le perdre

  3. Privilèges

    Réduire le pouvoir des comptes sensibles

  4. Gouvernance des accès

    Garder les droits à jour

  5. Identités machines

    Ne pas oublier les machines

Parcours qui passent par ici

Voir l’affiche seule · Toutes les affiches

L’essentiel

Section intitulée « 🐝 Ce qui arrive si on s’en passe »

→ Lire l’explication complète de la marmotte

Le périmètre réseau a cessé depuis longtemps d’être la frontière qui compte : un attaquant qui détient un identifiant valide n’a plus de mur à franchir, il a une porte à ouvrir. Cette rubrique traite donc l’identité comme le véritable périmètre, avec ses trois questions pour chaque personne et chaque programme : qui est-ce, que peut-il faire, et jusqu’à quand. La réponse se joue moins dans le choix d’un produit que dans des détails d’exploitation : la durée de vie d’un jeton, le parcours de récupération d’un compte, le secret d’un compte de service que personne n’a renouvelé depuis l’installation.

L’ordre de lecture proposé suit le trajet d’un accès. L’authentification d’abord, qui vérifie l’identité ; la fédération, qui transporte cette preuve d’un service à l’autre sous forme de jetons ; les privilèges, où une erreur coûte le plus cher ; les identités machines, plus nombreuses que les humaines et beaucoup moins surveillées ; la gouvernance, qui revoit les droits dans le temps ; les accès externes, où la confiance se prête à des tiers. Les annuaires et protocoles hérités ferment la marche : ils sont anciens, mais ils sont encore là, et un attaquant les connaît souvent mieux que leurs administrateurs. Chaque partie s’ouvre sur une vue d’ensemble, à lire avant les pages plus pointues.

🐝 Ce qui arrive si on s’en passe

Section intitulée « 🐝 Ce qui arrive si on s’en passe »

Une organisation qui néglige les identités ne se fait pas forcer la porte : on y entre avec un badge valide. Les comptes des personnes parties restent actifs, les comptes de service gardent le même secret pendant des années, les droits accumulés au fil des mutations ne sont jamais retirés, et le prestataire du prestataire hérite d’un accès que personne n’a accordé en connaissance de cause. Comme chaque connexion est authentifiée, les journaux ne montrent que des utilisateurs légitimes faisant des choses inhabituelles. L’annuaire, lui, reste parfaitement tenu, ce qui permet au moins de savoir qui a été usurpé.

🦫 Explication de la marmotte 🍫

Section intitulée « 🦫 Explication de la marmotte 🍫 »

Gérer les identités consiste à répondre à trois questions pour chaque personne et chaque programme : qui est-ce, que peut-il faire, et jusqu’à quand. La rubrique suit ce fil.

L’authentification vérifie l’identité : mot de passe, facteur supplémentaire, ou clé physique qui fonctionne sans mot de passe et résiste à l’hameçonnage. Elle prévoit aussi la récupération d’un compte perdu, étape souvent plus faible que la connexion elle-même.

La fédération permet à un service de faire confiance à un autre qui a déjà vérifié l’identité. Ce dernier délivre un jeton, un petit message signé qui porte une durée de vie, une portée, c’est-à-dire ce qu’il autorise, et qui doit pouvoir être révoqué.

Les privilèges concernent les droits d’administration : on les accorde juste le temps nécessaire, on teste réellement les comptes de secours et l’on sépare les outils qui pilotent l’infrastructure.

Les identités machines couvrent les programmes, les services et les agents logiciels. Leurs secrets doivent changer régulièrement et leurs jetons être de courte durée ; un compte de service jamais renouvelé reste un accès permanent que personne ne surveille.

La gouvernance organise des revues périodiques des droits, suit le cycle de vie des comptes de l’arrivée au départ, choisit un modèle d’attribution, par rôle, par attribut ou par relation, et empêche qu’une seule personne cumule des droits incompatibles. Les accès externes, enfin, traitent des prestataires et des partenaires, dont la confiance se transmet parfois en cascade à des tiers inconnus. Les annuaires d’entreprise, enfin, parlent encore des protocoles anciens qui envoient des secrets mal protégés ou répondent à qui ne s’est pas présenté ; les couper demande d’abord de savoir qui s’en sert encore.

Création : Mise à jour :

© 2026 TortueTechÀ propos