Résumé
Le SCIM (System for Cross-domain Identity Management) est un protocole ouvert, basé sur REST/JSON, qui automatise la création, la mise à jour et la suppression des comptes d’identité des utilisateurs sur différentes applications cloud. En connectant directement les fournisseurs d’identité aux fournisseurs de services (applications SaaS), le SCIM simplifie la gestion du cycle de vie des utilisateurs, ramène à zéro la période d’exposition liée à l’offboarding pour les équipes IT, et réduit jusqu’à 50 % le nombre de tickets de réinitialisation de mot de passe.
Le SCIM (comprenez « Système de gestion des identités interdomaines ») est une norme ouverte qui automatise le provisioning des utilisateurs. Elle a été créée en 2011, alors que l’architecture cloud s’imposait comme le standard du secteur. Le SCIM transmet les données d’identité des utilisateurs entre les fournisseurs d’identité (IdP), c’est-à-dire les systèmes qui gèrent les identités, et les fournisseurs de services (SP), autrement dit les applications qui consomment ces données d’identité (comme les applications SaaS pour les entreprises).
SCIM : spécifications clés et aperçu technique
| Attribut | Détails |
|---|---|
| Nom complet | System for Cross-Domain Identity Management |
| Standard actuel | SCIM 2.0 (Spécifications IETF : RFC 7642, RFC 7643, RFC 7644) |
| ARCHITECTURE | API RESTful utilisant des formats de payload JSON |
| Fonction principale | Opérations CRUD automatisées (création, lecture, mise à jour, suppression) pour les profils utilisateur et les groupes |
| Acteurs principaux | IdP (client SCIM), SP (serveur SCIM) |
Regarder : qu’est-ce que le SCIM ?
Pourquoi les entreprises devraient-elles utiliser SCIM pour la gestion des identités ?
Le protocole SCIM permet de renforcer la sécurité des données et de simplifier l’expérience utilisateur en automatisant la gestion du cycle de vie de l’identité des utilisateurs.
Principaux avantages de SCIM
- Automatise le provisioning et le déprovisioning des utilisateurs et utilisatrices : supprime la création et la suppression manuelles des comptes
- Réduit la charge de travail des équipes IT : libère les équipes IT du développement et de la maintenance d’intégrations personnalisées
- Améliore la conformité en matière de sécurité : permet l’application cohérente des politiques de sécurité sur différentes applications
- Réduit le risque d’erreur : le transfert automatique des données limite les erreurs humaines
- Permet l’authentification unique (SSO) : simplifie les workflows des collaborateurs et réduit jusqu’à 50 % les demandes de réinitialisation de mot de passe
- S’adapte à la croissance de l’entreprise : gère l’augmentation du nombre de comptes utilisateur à mesure que les entreprises se développent
Le nombre de comptes utilisateurs ne fait qu’augmenter à mesure qu’une entreprise se développe, innove et élargit ses effectifs. Ces comptes, les employés les utilisent pour toutes leurs activités, de la gestion de la relation client à la collaboration en équipe. Les demandes d’ajout ou de suppression d’utilisateurs, de modification des autorisations et d’ajout de nouveaux types de comptes prennent toutes un temps précieux au service informatique.
Grâce à SCIM, les équipes informatiques peuvent créer des identités utilisateur directement dans un outil comme Okta ou les importer depuis des systèmes externes, tels qu’un logiciel RH ou Active Directory. Comme SCIM est un standard ouvert, les applications stockent et transmettent les données des utilisateurs et utilisatrices de manière cohérente sur différents outils. Cela permet aux équipes informatiques d’ automatiser le provisioning et le déprovisioning tout en centralisant la gestion des autorisations et des groupes. De plus, comme les données sont transférées automatiquement, le risque d’erreurs est réduit.
Les services informatiques n’ont plus besoin de développer des intégrations sur mesure qui doivent être constamment mises à jour afin de connecter les annuaires d’entreprise aux applications externes. Les collaborateurs en dehors de l’équipe technique peuvent utiliser le SSO pour simplifier leurs workflows et réduire les demandes de réinitialisation de mot de passe jusqu’à 50 %.
Dans le même temps, l’adoption du SCIM réduit de nombreux risques de sécurité auxquels les entreprises sont confrontées. Lorsque les employés n’ont plus à se connecter individuellement à chacun de leurs comptes, les entreprises peuvent assurer le respect des politiques de sécurité. Cela permet également d’atténuer les risques liés à la réutilisation des mots de passe par les collaborateurs sur différents outils. Ainsi, à mesure que les équipes développent de nouveaux workflows et adoptent de nouvelles applications, les entreprises peuvent garder la mainmise sur ces changements et suivre l’évolution des comptes.
SCIM ou provisioning manuel : comparatif opérationnel
| Fonctionnalités | Provisioning SCIM automatisé | Provisioning manuel par l’équipe IT |
|---|---|---|
| Accélérer | Synchronisation instantanée et automatisée | Saisie manuelle chronophage |
| Taux d’erreur | Faible (transfert automatisé de données) | Élevé (risque d’erreur humaine) |
| Évolutivité | Gère facilement des milliers d’utilisateurs | Devient ingérable à grande échelle |
| Exposition liée à l’offboarding | Déprovisioning immédiat lors du départ des collaborateurs | La suppression tardive des accès crée des vulnérabilités |
| Charge de travail IT | Maintenance continue minimale | Nécessite une attention constante |
Comment fonctionne SCIM entre les fournisseurs d’identité et les applications SaaS ?
SCIM est un protocole basé sur REST et JSON qui définit des rôles de client et de serveur. En général, le client est un IdP, comme Okta, qui gère un solide annuaire d’identités utilisateur. De son côté, le fournisseur de service (SP) est très souvent une application SaaS, telle que Box ou Slack, qui requiert un sous-ensemble d'informations provenant de ces identités.
Processus étape par étape
- Le fournisseur d’identité crée ou met à jour un utilisateur : un administrateur ajoute un nouvel employé ou modifie les données d’un utilisateur existant dans l’IdP
- Les modifications sont synchronisées automatiquement via le protocole SCIM : L’IdP transmet la mise à jour aux SP connectés en utilisant des appels API SCIM standardisés
- Le fournisseur de services reçoit et applique les modifications : le fournisseur de services crée, met à jour ou supprime le compte utilisateur en conséquence
- L’utilisateur bénéficie d’un accès fluide : l’utilisateur final peut accéder immédiatement aux applications avec des profils et des autorisations à jour
Le fournisseur d'identité peut également lire les identités du fournisseur de service afin de les ajouter à son annuaire et d'y détecter toute erreur qui pourrait créer une faille de sécurité.
Comment mettre en œuvre SCIM dans votre environnement informatique
Okta prend en charge les intégrations de provisioning, y compris des connecteurs basés sur SCIM 2.0, avec des centaines d’applications de référence. Nous prenons également en charge le SSO sur des milliers d’applications et proposons des intégrations API préconfigurées avec des applications de référence du secteur pour transmettre rapidement et en toute sécurité les données de vos utilisateurs.
Découvrez comment Okta Lifecycle Management peut vous aider à simplifier la gestion des identités de vos utilisateurs.
Vous êtes un développeur souhaitant intégrer votre application à Okta ?
Accélérez l’intégration d’Okta grâce à notre guide d’intégration du provisioning SCIM. Pour commencer étape par étape, explorez notre parcours d’apprentissage Automate User Provisioning pour configurer facilement le provisioning SCIM sur vos applications.
Foire aux questions (FAQ)
SCIM signifie System for Cross-domain Identity Management.
Oui. SCIM utilise des appels API REST sécurisés via HTTPS et réduit les risques de sécurité en automatisant le déprovisioning immédiat des utilisateurs et utilisatrices lorsqu’ils quittent l’entreprise.
Des milliers d’applications d’entreprise prennent en charge le SCIM, y compris des applications SaaS populaires telles que Box, Slack, Salesforce et Microsoft 365.
SCIM 2.0 est la version actuelle, définie par les standards de l’IETF RFC 7642, RFC 7643 et RFC 7644.
Le SSO gère l’authentification (vérification de l’identité d’un utilisateur lors de la connexion), tandis que le SCIM gère le provisioning (création, mise à jour et suppression des comptes utilisateur et des autorisations). Leur collaboration une gestion complète des identités.
