La gestion des identités et des accès (IAM) est le framework des processus, des stratégies et des technologies qui couvre la gestion des identités et ce à quoi elles peuvent accéder. IAM comprend des composants qui prennent en charge l’authentification et l’autorisation de comptes d’utilisateur et d’autres comptes dans un système.
Tout composant d’un système IAM peut entraîner une interruption. La résilience IAM est la capacité à supporter l’interruption des composants du système IAM et à récupérer avec un impact minimal sur les activités, les utilisateurs, les clients et les opérations. Ce guide décrit les méthodes pour créer un système IAM résilient.
Pour promouvoir la résilience IAM, il faut :
- Supposer que des interruptions se produisent et s’y préparer.
- Réduire les dépendances, la complexité et les points de défaillance uniques.
- Assurer une gestion complète des erreurs.
Il est important de reconnaître les imprévus et de s’y préparer. Toutefois, l’ajout de systèmes d’identité supplémentaires, avec leurs dépendances et leur complexité, risque de réduire la résilience au lieu de l’augmenter.
Les développeurs peuvent faciliter la gestion de la résilience IAM dans leurs applications en utilisant des identités managées Microsoft Entra chaque fois que cela est possible. Pour plus d’informations, consultez Augmenter la résilience des applications d’authentification et d’autorisation que vous développez.
Quand vous planifiez la résilience de votre solution IAM, tenez compte des éléments suivants :
- Les applications qui dépendent de votre système IAM.
- Les infrastructures publiques que vos appels d’authentification utilisent, notamment :
- Sociétés de télécommunications.
- Fournisseur de services Internet.
- Fournisseurs de clés publiques.
- Vos fournisseurs d’identité cloud et locaux
- Les autres services qui dépendent de votre système IAM et les API qui les connectent.
- Tout autre composant local de votre système
Architecture
Ce diagramme montre plusieurs façons d’augmenter la résilience IAM. Les articles liés décrivent en détail les méthodes.
Gérer les dépendances et réduire les appels d’authentification
Chaque appel d’authentification subit une interruption si un composant de l’appel échoue. Quand l’authentification est interrompue en raison de défaillance des composants sous-jacents, vos utilisateurs ne peuvent pas accéder à leurs applications. Il est donc essentiel pour la résilience de réduire le nombre d’appels d’authentification et le nombre de dépendances dans ces appels.
- Gérer les dépendances. Développez la résilience avec la gestion des informations d’identification.
- Réduisez les appels d’authentification. Développez la résilience avec les états d’appareil.
- Réduisez les dépendances d’API externes.
Utiliser des jetons révocables à long terme
Dans un système d’authentification basé sur les jetons comme Microsoft Entra ID, l’application client d’un utilisateur doit acquérir un jeton de sécurité auprès du système d’identité pour pouvoir accéder à une application ou à une autre ressource. Pendant la période de validité du jeton, le client peut présenter le même jeton plusieurs fois pour accéder à l’application.
Si la période de validité expire pendant la session de l’utilisateur, l’application rejette le jeton et le client doit en acquérir un nouveau auprès de Microsoft Entra ID. L’acquisition d’un nouveau jeton peut nécessiter une interaction utilisateur, par exemple, des invites d’informations d’identification ou autres demandes. La réduction de la fréquence des appels d’authentification avec des jetons à long terme réduit les interactions inutiles. Cependant, vous devez trouver un équilibre entre la durée de vie des jetons et le risque créé par moins d’évaluations de stratégie.
- Utilisez des jetons révocables à long terme.
- Développez la résilience en utilisant l’Évaluation continue de l’accès.
Pour plus d’informations sur la gestion de la durée de vie des jetons, consultez Optimiser les invites de réauthentification et comprendre la durée de vie d’une session pour l’authentification multifacteur Microsoft Entra.
Résilience hybride et locale
- Développez la résilience dans votre architecture hybride pour définir une authentification résiliente à partir d’un annuaire Active Directory local ou d’autres fournisseurs d’identité (IdP).
- Pour gérer les identités externes, développez la résilience dans l’authentification utilisateur externe.
- Pour accéder aux applications locales, développez la résilience dans l’accès de l’application avec le proxy d’application.
Étapes suivantes
- Augmenter la résilience des applications d’authentification et d’autorisation que vous développez
- Intégration de la résilience dans une infrastructure IAM
- Développer la résilience dans vos systèmes d’applications orientées client (CIAM) avec Azure Active Directory B2C