Infrastructure de gestion des identités
1. Fonctionnement général
Une infrastructure de gestion des identités est une structure complexe, car elle se situe au centre de nombreux systèmes d’information. En effet, elle doit s’interfacer entre les employés d’une entreprise désirant se créer un compte pour une application ou un environnement informatique, détenir les informations des managers ou des approuveurs pour l’approbation de création ou de modification de compte et être en mesure de provisionner les différents types d’annuaires LDAP (OpenLDAP et Active Directory entre autres). Elle doit également se lier avec l’annuaire principal de l’entreprise géré par les "ressources humaines" contenant la liste effective et mise à jour quotidiennement des employés de l’entreprise mais aussi être capable d’appliquer une politique de mot de passe à l’ensemble des comptes utilisateurs quel que soit le type d’annuaire et leur permettre de déverrouiller leurs propres comptes.
Par ailleurs, elle sera aussi en mesure de fournir toutes les preuves des actions effectuées sur chacun des comptes des employés de l’entreprise à des fins d’audits de sécurité fréquemment réalisés dans l’environnement professionnel IT. Tout ceci devra être géré et synchronisé par un mécanisme de workflow ou flux de travaux qui est l’élément central voire essentiel d’une infrastructure de gestion des identités.
Ainsi, ce type d’infrastructure rendra totalement autonome l’utilisateur final en mettant à contribution des approbateurs (manager) et en industrialisant le provisionnement des différents annuaires d’identités électroniques de l’entreprise.
La figure 19-1 montre les fonctions et les éléments constituant une infrastructure de gestion des identités.
¬
Figure 19-1 : Infrastructure de gestion des identités
2. Création/modification de compte
La figure 19-2 ci-dessous montre le rôle tenu par une infrastructure de gestion des identités dans le cas d’une demande de création de compte pour un utilisateur.
¬
Figure 19-2. Infrastructure de gestion des identités "Création/modification de compte"
La demande est traitée par un "workflow" qui transférera la demande de création de compte de l’utilisateur membre du service "support" vers le manager de ce groupe. Ce manager sera informé par e-mail et devra alors se connecter à l’interface graphique web de l’architecture de gestion des identités pour autoriser ou non la création de ce compte dans l’annuaire désiré. Dès lors qu’il s’agit d’une réponse favorable, cette infrastructure donnera toutes les informations à l’annuaire ciblé pour la création de celui-ci.
3. Suppression de compte
La figure 19-3 ci-dessous montre le rôle tenu par une infrastructure de gestion des identités dans le cas d’une suppression de compte pour un utilisateur quittant l’entreprise.
¬
Figure 19-3 : Infrastructure de gestion des identités "Suppression de compte"
Dans ce cas de figure, l’action n’est plus initiée par l’utilisateur final, mais par l’équipe des "ressources humaines" de l’entreprise. En effet, c’est ce service qui est le garant de la liste des employés de l’entreprise. Lorsque l’un d’entre eux quitte l’entreprise, il est donc supprimé de la base de données des employés. Ainsi, l’infrastructure de gestion des identités doit se renseigner auprès de cette base de données en effectuant une synchronisation quotidienne avec celle-ci, afin de déclencher des actions, définies par des workflows, dont celle de suppression engagée parce qu’un utilisateur est manquant. Tous les comptes de l’utilisateur seront supprimés sur chaque annuaire de l’entreprise  ; après bien entendu une confirmation du manager de l’équipe dont l’employé faisait partie.
La liste des salariés de l’entreprise peut également s’obtenir de façon simple en se connectant au "who’s who" de l’entreprise qui est généralement en accès libre (et en lecture seulement) et accessible depuis tout l’intranet de l’entreprise, permettant d’intégrer encore plus facilement ce type d’architecture au sein d’un réseau d’entreprise.