Un nouvel employé arrive le lundi matin, un prestataire a besoin d'accéder à un projet, et un visiteur demande le mot de passe du WiFi invités. Ils se trouvent tous dans le même bâtiment, mais ils ne doivent pas bénéficier du même accès. L'employé peut avoir besoin de sa messagerie, de la paie, des applications internes et de la connectivité du personnel. Le prestataire peut avoir besoin d'un espace de travail partagé pour une durée limitée. Le visiteur a besoin d'un accès internet, pas d'une passerelle vers les systèmes de l'entreprise.
Cette différence est la réponse concrète à la question de savoir ce qu'est la gestion des identités. Il s'agit de l'ensemble des politiques, processus et technologies qu'une organisation utilise pour établir qui est une personne ou un système, vérifier cette identité, décider de ce à quoi elle peut accéder et supprimer cet accès lorsque les circonstances changent.
La gestion des identités dépasse désormais largement le cadre d'un simple écran de connexion informatique. Elle soutient l'intégration des clients, la prévention de la fraude, la gouvernance d'entreprise, l'accès au réseau et les contrôles réglementaires. Au Royaume-Uni, le secteur de l'identité numérique comptait 275 entreprises actives en janvier 2026, ce qui démontre comment l'identité est devenue un écosystème technologique et économique majeur, et non une simple fonction administrative. Le secteur a généré environ 2,03 milliards de livres sterling de revenus annuels en 2024/2025, produit 1,04 milliard de livres sterling de valeur ajoutée brute, et soutenu 9 624 équivalents temps plein selon le UK Digital Identity Sectoral Analysis Report .
Ce guide développe cette idée à partir des principes fondamentaux, puis suit une identité tout au long de son cycle de vie, des protocoles d'authentification, des méthodes de connexion renforcées et des exemples concrets de réseaux tels que le WiFi invités, le WiFi personnel, les certificats, Passpoint et iPSK . Pour une introduction plus large aux avantages en matière de sécurité, l'article protect data with identity management offre un contexte utile du point de vue de la gestion des accès.
Introduction à la gestion des identités dans les organisations modernes
La demande de connexion au WiFi de bureau révèle souvent la stratégie d'identité d'une organisation plus rapidement qu'un audit de sécurité. Si tout le monde reçoit la même clé pré-partagée, le réseau ne peut pas distinguer un employé permanent d'un prestataire sur le départ ou d'un visiteur qui a copié le mot de passe sur le comptoir de l'accueil. Modifier la clé devient perturbateur, de sorte que les équipes retardent cette action, et l'ancien accès perdure bien après la disparition du besoin commercial d'origine.
Une meilleure conception commence par la personne, non par le mot de passe. Un nouvel employé se connecte via le fournisseur d'identité de l'organisation et reçoit l'accès personnel associé à son rôle. Un sous-traitant reçoit un profil plus restreint, peut-être limité à un réseau de projet ou à des applications spécifiques. Un invité utilise un service isolé qui fournit une connectivité internet sans exposer les systèmes internes.
L'identité est une décision de confiance
Chaque demande d'accès pose plusieurs questions à la fois :
- Qui demande l'accès ? L'organisation a besoin d'un enregistrement d'identité fiable.
- Comment cette personne l'a-t-elle prouvé ? Un mot de passe, un authentificateur, un certificat ou un autre facteur peut servir de preuve.
- À quoi cette personne doit-elle accéder ? L'accès dépend du rôle, de l'appareil, de l'emplacement, du risque et de l'objectif commercial.
- Combien de temps l'accès doit-il rester disponible ? Le travail temporaire et l'évolution des responsabilités exigent une expiration ou une réévaluation.
- Quelles preuves subsistent ensuite ? Les journaux et les décisions soutiennent les audits, la responsabilité et la conformité.
Ce modèle s'applique aux employés et aux clients, mais aussi aux fournisseurs, aux comptes de service, aux appareils et aux responsables commerciaux. L'évolution du Royaume-Uni vers une vérification formelle de l'identité illustre ce changement global. L'identité est de plus en plus utilisée pour instaurer la confiance avant qu'une organisation n'autorise une transaction, une inscription ou une action en justice.
Pourquoi le sujet importe au-delà de l'informatique
Les organisations ont migré davantage de services en ligne, et les utilisateurs s'attendent désormais à ce que l'intégration numérique soit rapide, tandis que les régulateurs exigent qu'elle soit contrôlée. Cela crée une tension. Un processus qui demande trop peu de preuves peut faciliter l'usurpation d'identité ou la fraude, tandis qu'un processus trop exigeant peut frustrer les utilisateurs légitimes et augmenter la charge du support.
La gestion de l'identité résout une partie de cette tension en séparant les différentes décisions. Prouver l'identité d'une personne, authentifier un utilisateur existant et autoriser l'accès à une ressource spécifique sont des tâches liées, mais pas identiques. Les garder distinctes aide les équipes à appliquer des contrôles plus stricts là où le risque l'exige, sans ajouter la même friction à chaque demande.
Le modèle mental le plus utile est simple : la gestion des identités est une couche de confiance et de conformité reliant les personnes, les systèmes et les décisions d'accès. La technologie de connexion n'est qu'un composant. La gouvernance, le contrôle du cycle de vie, la politique réseau et les preuves complètent le tableau.
Comprendre les concepts fondamentaux de la gestion des identités et des accès
Commencez par un passeport et un badge d'accès au bâtiment. Le passeport contient des identifiants qui vous distinguent des autres personnes. Il représente une identité, mais le passeport lui-même n'est pas une preuve que la personne qui le détient en est le propriétaire légitime. Un agent de contrôle des frontières vérifie les preuves, puis prend la décision de vous autoriser ou non à entrer.
La gestion des identités et des accès numériques suit le même modèle.
Le vocabulaire expliqué simplement
Un identifiant est une étiquette utilisée pour désigner quelque chose. Un nom d'utilisateur, un numéro d'employé, une adresse e-mail ou un nom d'appareil peut identifier un enregistrement. Un identifiant ne prouve pas automatiquement qui l'utilise.
Une identité est la représentation numérique associée à cet enregistrement. Elle peut contenir des attributs tels que le service, le poste, le responsable, le statut d'emploi, la relation client ou la propriété de l'appareil. Un annuaire stocke et met à jour ces attributs pour que d'autres systèmes puissent les utiliser.
L'authentification répond à la question : « Comment le savez-vous ? » L'utilisateur présente une preuve liée à l'identité revendiquée. Cette preuve peut être un secret, un facteur de possession, une caractéristique biométrique ou un certificat cryptographique.
L'autorisation répond à la question "Que pouvez-vous faire ?". Après l'authentification, une politique évalue l'identité et le contexte de l'utilisateur avant d'accorder l'accès à une application, un fichier, un réseau ou une fonction d'administration. L'authentification sans autorisation prouverait l'identité d'une personne mais n'offrirait aucune limite utile à ses permissions.
Un fournisseur d'identité, souvent appelé IdP, effectue ou coordonne l'authentification et envoie des informations de confiance à un autre service. L'application réceptrice est le fournisseur de services. La fédération crée une relation de confiance entre eux, de sorte qu'une application peut s'appuyer sur une source d'identité établie plutôt que de maintenir une base de données de mots de passe isolée.
Un seul modèle d'identité ne convient pas à tous les utilisateurs
La gestion de l'identité des collaborateurs couvre les employés, les prestataires et les autres personnes travaillant pour le compte d'une organisation. La gestion de l'identité des clients s'adresse aux utilisateurs externes qui créent des comptes, achètent des services ou accèdent à des informations personnelles. Les flux de travail se recoupent, mais leurs priorités diffèrent. L'accès des collaborateurs suit souvent les rôles professionnels et la politique interne, tandis que l'accès des clients doit équilibrer les contrôles de fraude, la confidentialité, la conversion et le support.
Le moindre privilège est le principe qui relie ces deux environnements :
N'accordez à chaque identité que l'accès requis pour son usage actuel, et supprimez cet accès dès que cet usage prend fin.
Le marché britannique illustre l'ampleur de cette couche de confiance. L'activité de ce secteur comprend la vérification d'identité, l'intégration, la prévention de la fraude et les processus d'ouverture de compte, le gouvernement ayant identifié 275 entreprises actives en janvier 2026 dans son analyse sectorielle. Cette diversité montre que l'identité soutient désormais les services publics, la banque, les systèmes d'entreprise et les transactions grand public, plutôt que la seule administration d'annuaires internes.
Comment le cycle de vie des identités et la gouvernance fonctionnent ensemble
Une identité n'est pas une simple entrée statique dans une base de données. Elle évolue lorsqu'une personne intègre une organisation, assume de nouvelles responsabilités, change d'équipe ou s'en va. Une gestion rigoureuse des identités traite ces changements comme des événements contrôlés plutôt que comme des demandes informelles envoyées entre collègues.
De l'arrivée au départ
L'approvisionnement (provisioning) crée le dossier d'identité et le connecte à des informations faisant autorité, provenant généralement d'un système de ressources humaines ou d'une plateforme client. L'organisation établit le statut, le département et le responsable de la personne avant de lui accorder un accès aux applications ou au réseau.
L'intégration (onboarding) applique le package d'accès initial. Un employé de la finance peut avoir besoin d'applications financières, tandis qu'un travailleur temporaire reçoit un ensemble d'autorisations plus restreint. Les flux de travail automatisés peuvent réduire la copie manuelle entre les systèmes, mais l'automatisation doit suivre une politique approuvée plutôt que d'accorder un accès large par défaut.
Un changement de rôle est l'étape où de nombreux environnements accumulent des risques. Une promotion, un transfert ou un nouveau projet peut ajouter des autorisations sans supprimer les anciennes. Au fil du temps, la personne conserve les accès de plusieurs rôles, une situation souvent appelée accumulation de privilèges. Un flux de travail fiable recalcule les droits à partir du rôle actuel et envoie les exceptions pour examen.
Le déprovisionnement désactive les comptes, révoque les sessions, supprime l'appartenance aux groupes et traite les ressources connectées telles que les certificats, les jetons et les appareils partagés. Le timing est crucial. Attendre un ticket manuel crée un décalage entre la décision concernant l'emploi et la décision d'accès.
La gouvernance transforme l'activité en contrôle
La gouvernance définit qui peut approuver l'accès, à quelle fréquence les propriétaires le révisent et quelles preuves l'organisation conserve. La certification des accès demande à un responsable ou au propriétaire d'une application de confirmer que les autorisations restent appropriées. La séparation des tâches empêche une même personne de détenir des combinaisons d'autorité qui pourraient permettre une transaction inappropriée.
Les mesures opérationnelles utiles comprennent le délai d'attribution, le délai de révocation, les conclusions de révision d'accès non résolues et le nombre de comptes sans propriétaire identifié. Ces mesures ne remplacent pas le jugement, mais elles révèlent les aspects du cycle de vie qui dépendent de tâches manuelles lentes ou de données incomplètes.
L'emploi dans le secteur de l'identité au Royaume-Uni a progressé en moyenne de 11,7 % par an depuis 2020, reflétant une demande soutenue pour la vérification d'identité, l'intégration, la prévention de la fraude et les processus d'ouverture de compte dans l'analyse du gouvernement. Cette demande renforce un point pratique : les opérations de cycle de vie nécessitent une gouvernance dédiée à mesure que les processus d'identité deviennent centraux pour les services de l'entreprise.
Pour les équipes réseau, la même logique s'applique à la connectivité du personnel. Une approche du cycle de vie du WiFi pour le personnel permet de lier les modifications de l'annuaire aux autorisations réseau, afin qu'un changement de rôle ou un départ ne laisse pas d'identifiant sans fil non géré derrière lui.
Règle pratique : Traitez chaque attribution d'accès comme une décision ayant un propriétaire, une durée prévue et une méthode de retrait.
Protocoles d'authentification qui alimentent le Single Sign On
Les protocoles sont les rouages de la confiance en matière d'identité. Ils définissent comment un système communique un résultat d'authentification ou une décision d'autorisation à un autre. Ils ne résolvent pas tous le même problème, le choix entre eux nécessite donc de préciser si la demande concerne un employé se connectant à une application, un client autorisant un appel API ou un appareil rejoignant un réseau protégé.
Quatre protocoles avec des rôles différents
| Protocole | Objectif principal | Cas d'usage idéal |
|---|---|---|
| SAML | Échange fédéré d'assertions d'authentification | Authentification unique d'entreprise pour les applications web établies |
| OAuth | Autorisation déléguée | Permettre à une application d'accéder à une ressource sans exposer le mot de passe de l'utilisateur |
| OIDC | Couche d'identité utilisateur construite sur OAuth | Applications modernes nécessitant une connexion et des revendications d'identité standards |
| RADIUS avec 802.1X | Authentification réseau centralisée et échange de politiques | Accès filaire et WiFi d'entreprise contrôlé par un service d'identité |
SAML reste très répandu pour l'authentification unique (SSO) en entreprise. Un collaborateur s'authentifie auprès du fournisseur d'identité, qui envoie une assertion signée à l'application. L'application fait confiance à la relation configurée et démarre une session sans demander au collaborateur un mot de passe d'application distinct.
Le protocole OAuth concerne principalement l'accès délégué, et non la preuve de l'identité d'une personne. Il permet à un client de recevoir l'autorisation d'utiliser une ressource définie au nom d'un utilisateur. Le protocole OIDC ajoute une couche d'identité à OAuth, ce qui le rend adapté aux applications modernes qui nécessitent des informations standardisées sur l'utilisateur connecté.
Le protocole RADIUS avec 802.1X répond à un environnement différent. Il connecte les équipements d'accès réseau, un service d'authentification et un identifiant d'utilisateur ou d'appareil. Le résultat peut être une décision de politique qui place un appareil sur le bon réseau ou attribue un profil d'accès spécifique.
La confiance doit être explicite
L'authentification unique (SSO) est pratique car les utilisateurs s'authentifient auprès d'un fournisseur d'identité de confiance au lieu de gérer des identifiants distincts pour chaque application. La fédération crée également des responsabilités. Les administrateurs doivent protéger les clés de signature, valider les assertions, définir les mappages de revendications et supprimer les relations de confiance qui ne sont plus nécessaires.
Les directives du gouvernement britannique séparent la vérification de l'identité de l'authentification au service. Les directives d'identité numérique de GOV.UK lient l'évaluation et la vérification à la GPG 45, tandis que l'authentification au service est régie par la GPG 44. Cette séparation aide les organisations à choisir un niveau d'assurance approprié pour le service plutôt que de traiter chaque connexion comme un événement identique.
Les équipes qui ont besoin d'une explication plus large sur la façon dont une connexion sécurisée unique peut couvrir plusieurs services peuvent également consulter unified global unified login explained . Pour les déploiements spécifiques au réseau, le RADIUS-as-a-Service est une option d'architecture permettant de centraliser l'authentification sans avoir à maintenir chaque composant RADIUS sur site.
Authentification forte avec MFA et options sans mot de passe
Un protocole décrit comment les systèmes s'échangent de la confiance. Un facteur d'authentification décrit ce que l'utilisateur présente comme preuve. Distinguer ces concepts évite une erreur courante : supposer que l'implémentation de l'authentification unique rend automatiquement l'authentification forte.
Construire une échelle d'authentification
Un mot de passe est un facteur de connaissance, quelque chose que l'utilisateur sait. Les mots de passe restent familiers, mais les utilisateurs les réutilisent, choisissent des mots de passe faibles ou les divulguent par hameçonnage. Un gestionnaire de mots de passe et une politique de sécurité logique peuvent améliorer la base de départ, mais un mot de passe seul ne donne à un attaquant qu'une seule cible à vaincre.
L'authentification multifacteur combine des preuves de différentes catégories. Un code généré par une application d'authentification ou un jeton matériel représente quelque chose que l'utilisateur possède. Le SMS peut fournir une vérification supplémentaire, mais les organisations doivent évaluer sa pertinence pour les scénarios à haut risque car le canal téléphonique peut être attaqué ou détourné.
La biométrie représente ce que l'utilisateur est. Les empreintes digitales et la reconnaissance faciale peuvent accélérer la connexion, mais elles nécessitent une conception attentive de la confidentialité et une gestion sécurisée des appareils. Contrairement à un mot de passe, une caractéristique biométrique ne peut pas être modifiée après avoir été exposée.
Le sans mot de passe nécessite une conception soignée
L'authentification sans mot de passe utilise un appareil, une clé de chiffrement ou un authentificateur de plateforme pour prouver la possession sans demander à l'utilisateur de saisir un secret réutilisable. Les clés de sécurité FIDO2 et les clés d'accès (passkeys) peuvent fournir une authentification forte et résistante au hameçonnage lorsque les processus d'enrôlement, de récupération et de remplacement de compte associés sont également contrôlés.
Un programme pratique progresse généralement en fonction du risque :
- Services à faible friction : Utilisez l'authentification unique (SSO) et un processus de gestion des mots de passe bien encadré là où les conséquences d'une compromission sont limitées.
- Applications sensibles : Exigez le MFA et appliquez des politiques conditionnelles basées sur l'état de l'appareil, la localisation ou tout comportement inhabituel.
- Opérations privilégiées : Privilégiez les méthodes résistantes au phishing, des comptes administrateurs distincts et des contrôles de session stricts.
- Appareils partagés ou non gérés : Évitez d'intégrer des secrets permanents et utilisez des certificats ou des identifiants à courte durée de vie lorsque la plateforme les prend en charge.
Le meilleur facteur n'est pas toujours le plus fort de manière isolée. Il doit également convenir à la population d'utilisateurs, au parc d'appareils, au processus de récupération et à l'équipe d'assistance. Pour l'accès sans fil, un modèle WiFi sans mot de passe peut appliquer le même principe à l'intégration au réseau, en remplaçant les identifiants partagés par un accès lié à l'identité.
Exemples concrets de gestion de l'identité sur les accès réseau et WiFi
Un client d'hôtel, un employé et un prestataire de services du bâtiment peuvent tous se connecter au même point d'accès physique, mais la gestion de l'identité doit leur attribuer des destinations numériques différentes. Le client a besoin d'une voie d'accès simple vers Internet. L'employé a besoin d'une connectivité interne protégée. Le prestataire peut avoir besoin d'un profil limité dans le temps avec un accès à des services sélectionnés.
L'accès des invités et du personnel ne doit pas partager un secret
Un captive portal peut identifier un invité grâce à une adresse e-mail, un code ou une connexion via les réseaux sociaux, mais le réseau nécessite toujours une isolation et l'application de politiques. Un mot de passe invité partagé affaiblit l'attribution et crée un problème opérationnel délicat lorsque le mot de passe se diffuse au-delà du public visé.
L'accès du personnel peut utiliser l'authentification d'entreprise, les certificats ou Passpoint. Passpoint permet à un appareil compatible de détecter et de rejoindre un réseau de confiance avec moins d'intervention manuelle, tandis que l'intégration chiffrée peut éviter l'exposition créée par une clé sans fil commune. OpenRoaming étend ce modèle aux réseaux partenaires, de sorte qu'un utilisateur peut s'appuyer sur une relation d'identité établie plutôt que d'accepter à plusieurs reprises des portails inconnus.
Les anciens appareils ont besoin d'un itinéraire différent
Les imprimantes, les capteurs et les appareils portables plus anciens peuvent ne pas prendre en charge l'authentification d'entreprise moderne. L'iPSK, ou clés pré-partagées basées sur l'identité, peut donner à des appareils ou groupes distincts leurs propres identifiants tout en préservant la segmentation du réseau. Si un identifiant doit être révoqué, les administrateurs peuvent le supprimer sans modifier l'accès de tous les autres appareils.
La conception nécessite toujours un inventaire, une attribution de propriété et une date d'expiration. Une clé distincte ne constitue pas automatiquement une identité sécurisée si personne ne sait quel appareil l'utilise ou quand elle doit être désactivée.
Les modifications de l'annuaire doivent atteindre le réseau
Pour le personnel, les intégrations avec Microsoft Entra ID, Google Workspace ou Okta peuvent connecter l'annuaire des employés à la politique WiFi. Une nouvelle recrue reçoit le profil prévu, tandis qu'une modification dans l'annuaire peut déclencher la suppression de l'accès. Les plateformes réseau telles que Meraki, Aruba, Ruckus, Mist et UniFi peuvent ensuite appliquer la politique qui en découle via leurs intégrations et méthodes d'authentification prises en charge.
Le même principe de confiance s'applique à l'enregistrement des entreprises. La vérification de l'identité est devenue une obligation légale pour les dirigeants d'entreprise le 18 novembre 2025 en vertu de l'Economic Crime and Corporate Transparency Act 2023. Au cours de la première période signalée se terminant le 31 décembre 2025, Companies House a enregistré 823 771 nominations vérifiées et un taux de conformité de 6,27 %, comme le montrent ses informations de gestion de la vérification de l'identité . Ces chiffres démontrent comment les contrôles d'identité s'intègrent dans la gouvernance formelle, au-delà d'une simple commodité technique.
Meilleures pratiques, risques et prochaines étapes pour votre stratégie d'identité
Une mauvaise gestion de l'identité échoue généralement en raison de lacunes opérationnelles ordinaires plutôt que d'une seule erreur de conception majeure. Un ancien collaborateur conserve un compte, un prestataire reste dans un groupe étendu, un propriétaire d'application approuve un accès sans l'examiner, ou une clé WiFi partagée continue de circuler parce que la modifier dérangerait tout le monde.
Une stratégie utile commence par la mise en correspondance des identités et des décisions. Dressez la liste des personnes, clients, appareils, comptes de service et responsables d'entreprise qui doivent être reconnus. Identifiez ensuite les systèmes qui créent les enregistrements de référence, les applications qui consomment les informations d'identité et les contrôles réseau qui appliquent l'accès.
Transformer les risques courants en contrôles
La réutilisation des identifiants devient moins attractive lorsque les applications utilisent la fédération, le MFA et des méthodes sans mot de passe là où cela est approprié.
Les comptes orphelins deviennent plus faciles à repérer lorsque chaque identité a un propriétaire, un statut d'emploi ou de service, et un processus de déprovisionnement défini.
Le cumul de privilèges est réduit lorsque les changements de rôle recalculent l'accès plutôt que d'ajouter une simple adhésion à un groupe supplémentaire.
Les exceptions invisibles deviennent gérables lorsque l'accès temporaire a une date d'expiration et que les actions privilégiées produisent des journaux consultables.
Une mauvaise attribution réseau s'améliore lorsque le personnel, les invités et les appareils reçoivent des profils liés à leur identité plutôt qu'un secret sans fil universel.
La gouvernance doit mesurer ce qui compte sur le plan opérationnel. Suivez les délais d'attribution et de révocation, les révisions d'accès en retard, les comptes sans propriétaire, les autorisations obsolètes et les exceptions en attente d'approbation. Ces mesures aident les dirigeants à voir si l'organisation est capable d'agir lorsque le statut d'une personne change, et pas seulement si une connexion a réussi.
Traiter la convergence comme une question de conception
L'identité des employés, l'identité des clients et la vérification de l'identité réglementaire sont de plus en plus liées par la même question : l'organisation peut-elle faire confiance à l'entité qui formule la demande ? Ils ne devraient pas être contraints de suivre un flux de travail identique, car un compte client, un administrateur du personnel et un représentant d'entreprise comportent des risques différents. Ils ont toutefois besoin de principes cohérents pour la vérification, l'authentification, l'autorisation, les preuves et le retrait.
Le secteur de l'identité numérique au Royaume-Uni a généré environ 2,03 milliards de livres sterling de revenus annuels en 2024/2025 et a soutenu 9 624 rôles équivalents temps plein, selon l'analyse sectorielle du gouvernement citée précédemment. Cette envergure montre pourquoi la stratégie d'identité mérite désormais l'attention conjointe des équipes de sécurité, de conformité, de réseau, de ressources humaines, de produit et d'expérience client.
Commencez par un parcours à forte valeur ajoutée, comme le WiFi du personnel ou l'accès pour les nouveaux arrivants et les départs. Documentez la source faisant autorité, définissez la politique, automatisez les décisions de routine, examinez les exceptions et testez la révocation. Étendez ensuite ce modèle aux applications, aux invités, aux appareils et aux services clients sans supposer qu'un seul outil ou qu'un seul facteur d'authentification convient à chaque identité.
Purple connecte l'accès basé sur l'identité aux environnements WiFi invités, collaborateurs et multi-locataires, y compris l'intégration sans mot de passe, Passpoint et les intégrations d'annuaires pour les organisations qui souhaitent remplacer les identifiants réseau partagés par des politiques d'accès contrôlées. Visitez Purple pour découvrir comment sa plateforme peut soutenir une gestion pratique des identités dans les secteurs de l'hôtellerie, du commerce de détail, de la santé, de l'immobilier et des réseaux d'entreprise.
