Identités, accès & habilitations

5.1 Protocoles de fédération

/identites/federation/

• OIDC, SAML
• OAuth 2.1 et ses pièges
• Jetons : durée de vie, portée, révocation

5.2 Authentification

/identites/authentification/

• Passwordless et FIDO2
• Facteurs, résistance au hameçonnage
• Vérification d’identité et parcours de récupération

5.3 Privilèges

/identites/privileges/

• PAM moderne
• Accès juste-à-temps (JIT)
• Comptes de secours (break-glass) réellement testés
• Séparation des plans de contrôle

5.4 Identités machines

/identites/machines/

• Identités de charge de travail, SPIFFE / SPIRE
• Secrets rotatifs et jetons éphémères
• Le compte de service éternel, angle mort du Zero Trust
• Identités des agents logiciels

5.5 Gouvernance des identités

/identites/gouvernance/

• IGA : revues, recertification, cycle de vie
• Modèles de contrôle d’accès : RBAC, ABAC, ReBAC
• Séparation des tâches appliquée aux droits

5.6 Accès externes

/identites/acces-externes/

• Prestataires et sous-traitance en cascade
• Portails partenaires et interfaces inter-organisations (EDI)
• Fédération inter-entreprises et confiance transitive