Mise en situation
Premier jour dans une nouvelle boîte. Vous arrivez, ordinateur flambant neuf, et… rien ne marche. Pas d’accès à la messagerie, pas de compte sur l’outil de gestion de projet, pas de badge pour la salle de réunion. Vous passez la matinée à attendre qu’on vous “crée un compte” ici, qu’on vous “donne les droits” là. 😅
Six mois plus tard, c’est l’inverse. Un collègue change d’équipe, et des semaines après, il a encore accès à des dossiers qui ne le concernent plus. Personne ne s’en inquiète, parce que personne n’y pense.
Ces deux situations, l’attente frustrante du premier jour et l’accès oublié six mois après, sont deux faces du même problème : savoir qui a accès à quoi, et pourquoi. C’est exactement ce que je fais au quotidien, dans un domaine qui porte un nom un peu barbare : l’IAM.
C’est quoi l’IAM, concrètement
IAM veut dire Identity and Access Management, gestion des identités et des accès en français. Une fois le sigle posé, l’idée derrière est en fait très simple.
Imaginez un immeuble de bureaux. Chaque personne qui y travaille a un badge. Ce badge prouve qui vous êtes (c’est votre identité), et il détermine quelles portes s’ouvrent pour vous (ce sont vos accès). Le service qui fabrique les badges, décide qui a le droit d’entrer où, et récupère le badge quand quelqu’un quitte l’entreprise, c’est à peu près ce que fait l’IAM, version numérique.
Deux notions à bien distinguer, parce qu’on les confond souvent :
- La gestion des identités : qui êtes-vous ? Un compte, un identifiant unique qui vous représente dans le système.
- La gestion des accès : qu’est-ce que vous avez le droit de faire ? Consulter un dossier, valider une facture, administrer un serveur…
On peut très bien avoir une identité sans accès (un badge qui n’ouvre aucune porte), ou des accès mal alignés avec son identité (un badge qui ouvre encore des portes qu’il ne devrait plus). C’est ce deuxième cas qui pose souci dans la vraie vie, comme l’exemple du collègue qui change d’équipe.
Mon métier au quotidien
Je suis consultant IAM. Concrètement, mon travail consiste à mettre en place et faire vivre les outils et les processus qui répondent à cette question simple : qui a accès à quoi, dans une entreprise, à un instant donné.
Une partie du métier est technique : configurer des outils, écrire des règles, automatiser des processus. Par exemple, faire en sorte qu’un compte soit désactivé automatiquement le jour où quelqu’un quitte l’entreprise, plutôt que de compter sur quelqu’un pour y penser.
Mais une grande partie du métier n’a rien de technique. C’est comprendre comment une entreprise est organisée, qui doit valider quoi, et transformer tout ça en règles claires. Un développeur “classique” construit un produit. Je construis (ou j’améliore) le squelette qui décide qui peut toucher à quoi dans ce produit, et dans tous les autres systèmes de l’entreprise. C’est plus proche de l’organisation que du code pur, même si le code reste un outil du quotidien.
Pourquoi ça vous concerne même sans être admin IT
Ce principe “qui a accès à quoi, et pourquoi” ne s’arrête pas à la porte de l’entreprise. Il s’applique très bien à votre vie numérique perso, et vous l’avez peut-être déjà croisé sans le savoir si vous avez lu mon article sur la sécurité sur Internet ou sur le vol de téléphone.
Quelques réflexes simples, directement inspirés de ce qu’on fait en entreprise :
- Faites l’inventaire de temps en temps : quelles applications ont accès à votre compte Google, votre compte Discord, votre compte bancaire ? La plupart des services proposent une page “applications connectées” que personne ne consulte jamais.
- Révoquez ce qui ne sert plus : l’appli que vous avez testée une fois il y a deux ans a peut-être encore un accès complet à vos données.
- Séparez identité et accès dans votre tête aussi : ce n’est pas parce que vous avez créé un compte quelque part que cet accès doit rester valable pour toujours.
Conclusion
L’IAM, débarrassé du jargon, c’est une question qu’on devrait tous se poser plus souvent, en entreprise comme chez soi : qui a accès à quoi, et est-ce que ça a encore du sens aujourd’hui ?