Autorisation et droits (entitlements)

Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 9 minutes

Une fois une identité authentifiée, reste à déterminer ce qu’elle a réellement le droit de faire. C’est le rôle de l’autorisation — un domaine où se rejoignent plusieurs principes déjà vus séparément, mais qu’il faut ici considérer ensemble.

Moindre privilège et besoin d’en connaître

Ces deux principes partagent un thème commun mais ne se confondent pas :

Moindre privilège — n’accorder que le niveau d’accès minimal nécessaire à une fonction (par exemple, lecture seule plutôt qu’écriture).
Besoin d’en connaître (need to know) — va plus loin : même avec le bon niveau de privilège, l’utilisateur doit en plus avoir un besoin réel de connaître une information précise.

Le besoin d’en connaître se retrouve surtout dans le monde militaire, où le niveau de privilège correspond au niveau d’habilitation : avoir l’habilitation ne suffit jamais si le besoin réel de connaître une information spécifique n’est pas également établi.

Séparation des tâches appliquée à l’autorisation

La séparation des tâches repose sur un principe simple : aucune personne ne doit contrôler seule l’intégralité d’une transaction à haut risque, du début à la fin. Exemple concret : un employé peut soumettre une facture pour paiement, mais son responsable doit l’approuver avant exécution ; n’importe qui peut proposer un changement de configuration, mais il doit passer par un examen technique et managérial avant mise en œuvre.

Le double contrôle est une des façons de l’implémenter : dans une banque, la porte de la chambre forte peut exiger deux combinaisons distinctes, connues chacune par une personne différente — personne ne connaît les deux. La connaissance partagée fonctionne de façon similaire, mais porte sur une information combinée plutôt que sur des actions combinées. Dans les deux cas, la collusion — deux personnes qui coopèrent délibérément pour contourner le contrôle — reste le risque résiduel qu’aucun mécanisme organisationnel ne peut éliminer à lui seul.

Les droits (entitlements)

Un droit désigne les autorisations ou accès spécifiques accordés à un utilisateur ou un groupe dans l’environnement numérique d’une organisation — ce à quoi il peut accéder, et ce qu’il peut y faire une fois authentifié. Les droits sont généralement attribués selon :

le rôle ou la responsabilité dans l’organisation ;
l’appartenance à un groupe — simplifie la gestion en appliquant les autorisations à des groupes plutôt qu’à des individus ;
des attributs (département, lieu, intitulé de poste) permettant un octroi dynamique ;
des politiques de contrôle d’accès définissant qui peut accéder à quoi et dans quelles conditions ;
les besoins métier, en équilibrant sécurité et productivité.

Droits hérités

Les droits hérités (héritage RBAC) permettent à un utilisateur d’hériter automatiquement des autorisations associées à un rôle ou un groupe prédéfini, plutôt que de les attribuer une par une. Un changement apporté au rôle se propage ainsi à tous les utilisateurs qui en héritent — un gain d’efficacité réel, mais qui exige une vigilance particulière lors des changements de rôle (voir le chapitre sur la maintenance).

Cinq types d’entités nécessitant une identité numérique

Au-delà des utilisateurs humains, cinq catégories d’entités ont aujourd’hui besoin d’une identité propre : les personnes, les appareils, les organisations, le code, et les agents.

Exemple illustratif : Aisling, représentante technique itinérante avec un ordinateur portable d’entreprise, porte simultanément plusieurs identités à gérer — son identité d’employée, son adresse e-mail personnelle, son fournisseur VoIP ; l’ordinateur portable lui-même (identifié par son adresse MAC et son numéro de série) ; le système d’exploitation qu’il héberge (qui crée ses propres identités de processus) ; les applications installées ; et les agents de surveillance (détection de point d’extrémité, antimalware) qui tournent dessus.

Un agent est une personne ou une entité autorisée à agir au nom d’une autre — un assistant personnel qui réserve un voyage avec la carte professionnelle de son dirigeant utilise sa propre identité pour l’action, mais agit sous l’identité et les justificatifs de son patron. Relier les identités aux entités, puis associer les autorisations à ces identités, constitue la base d’une chaîne de confiance pour ce type de transaction déléguée.

Synthèse

Moindre privilège et besoin d’en connaître se complètent : avoir le bon niveau d’habilitation ne suffit jamais sans un besoin réel de connaître une information précise.
La séparation des tâches et le double contrôle réduisent le risque de fraude individuelle, mais ne protègent jamais contre la collusion délibérée entre deux personnes.
Un droit (entitlement) peut être attribué individuellement, par groupe, par attribut ou par politique — et peut être hérité automatiquement d’un rôle, ce qui simplifie la gestion mais exige une vigilance accrue lors des changements.
Cinq types d’entités — personnes, appareils, organisations, code, agents — ont aujourd’hui besoin d’une identité numérique propre, pas seulement les utilisateurs humains.

Prochain chapitre

Provisionnement, déprovisionnement, suivi et maintenance

Junior TSAFACK – 09/10/2026