samedi 16 décembre 2017

Accueil du site > Technologie > L’exploitation des données d’identité à l’étude

L’exploitation des données d’identité à l’étude

Renaud Edouard-Baraud, 01 Informatique

lundi 1er janvier 2007, sélectionné par Spynews

logo

Sous l’impulsion d’Oracle, un groupe de travail se met en place pour standardiser les relations entre les sources de données liées à l’identité et les consommateurs de ces ressources.

« Des milliers de dates de naissance transitent dans les systèmes d’information, alors que, souvent, il s’agit seulement de savoir si la personne est majeure ou pas, retraitée ou non... », explique Jean-Louis Baffier, responsable du centre d’expertise Fusion Middleware SOA et sécurité chez Oracle France. L’éditeur décide donc de proposer Identity Governance Framework (IGF), une structure de gouvernance de l’identité. L’Américain est accompagné de six acteurs du domaine de la gestion des identités et des accès, à savoir CA, Layer 7 Technologies, Novell, Ping Identity, Securent, et Sun. L’objectif est double : désolidariser les outils de gestion des données liées à l’identité de l’infrastructure sous-jacente (annuaires LDAP ou base de données, accès par carte à puce ou jetons, par exemple), d’une part ; et éviter la présence inutile d’informations sensibles dans toutes les applications d’une entreprise, d’autre part.

IGF se divise en deux volets. Le premier, baptisé CARML (Client Attribute Requirement Markup Language), est un langage XML destiné à la création d’un contrat type. Formalisé par le développeur d’une application, ce contrat facilitera sa mise en oeuvre au sein de l’entreprise utilisatrice. Il définit les attributs nécessaires et suffisants pour en sécuriser l’accès. Le second, AAPML (Attribute Authority Policy Markup Language), est un ensemble de règles qui encadrent l’usage (consommation et modification) des informations sur l’identité. Des API serviront à relier cette couche d’abstraction à l’infrastructure.

Des redondances avec les standards existants sont à craindre

Cette initiative apporte, bien sûr, son lot de problèmes. Premier hic, des poids lourds du marché de la gestion des accès et des identités ne sont pas de la fête, tels Microsoft et IBM. Forest Yin, directeur Product Management chez CA, admet volontiers qu’une participation de l’éditeur d’Active Directory serait positive. Mais il redoute qu’une fois entré, celui-ci ne tente de tordre les spécifications à son seul profit. Deuxième hic, IGF n’est pas encore hébergé par une structure de normalisation qui garantirait une certaine indépendance face aux exigences des éditeurs. Cette situation ne devrait pas perdurer.

Chez CA et Oracle, on parle de confier le bébé à Liberty Alliance ou à l’Oasis. Le choix de cet organisme semble pertinent. Il a, en effet, déjà publié trois spécifications essentielles au monde de la gestion des identités et des accès. A savoir XACML (eXtensible Access Control Markup Language), SAML (Security Assertion Markup Language), et SPML (Service Provisioning Markup Language). Le premier standardise la description des politiques de contrôle des accès (droits des utilisateurs sur les ressources informatiques). Le deuxième facilite l’interopérabilité des plates-formes propriétaires de gestion des droits utilisateurs. SPML, enfin, s’attaque aux comptes des salariés au sein des applications d’entreprise. Selon Oracle, son initiative n’entame pas les plates-bandes de ces différents standards, mais les complète. La standardisation de la gestion des identités s’arrête-t-elle avec IGF ? Pas vraiment. Selon Jean-Louis Baffier, « l’idée consiste à disposer d’une solution générique, que l’on peut enrichir. Pour respecter certaines contraintes réglementaires aux Etats-Unis ou en Europe, IGF devra probablement être complété. »

La fusion avec la gestion d’accès réseau n’est pas d’actualité

Les annonces du domaine correspondent à des technologies en cours d’adoption dans les entreprises. Securent, lui, est en avance de phase avec ses produits destinés à la mise en place d’un service d’autorisation de fine granularité.

GIF - 43.3 ko

Sept annonces en moins de 15 jours

6 décembre : Oracle Enterprise Single Sign-On Suite intègre enfin toutes les fonctions issues de ses multiples achats.

4 décembre : Identity and Access Management, de CA, embarque les technologies de Ping Identity.

30 novembre : deuxième version du serveur de jetons Ping Trust, de Ping Identity.

29 novembre : Securent propose une gestion des accès au niveau des ressources informatiques.

14 et 22 novembre : La solution de SSO d’entreprise d’Evidian prend en compte les travailleurs nomades. Sortie d’un outil de synchronisation d’annuaires.

27 septembre : Sun acquiert Neogent, et récupère des technologies de déploiement pour ses solutions de gestion des identités.


Envoyer : Newsletter Imprimer : Imprimer Format PDF : Enregistrer au format PDF PartagerPartager :