Qu'est-ce qu'un fournisseur d'identité (IdP) ?

Un fournisseur d’identité (IdP) est un service externe – tel qu’Okta, Microsoft ADFS, Azure AD, OneLogin ou Ping Identity – qui authentifie les utilisateurs et émet des assertions signées confirmant leur identité. Un fournisseur de services, tel qu’un serveur d’authentification Versa Director ou Concerto, se fie à ces assertions pour accorder ou refuser l’accès sans gérer directement les identifiants des utilisateurs.

Points clés à retenir

• Les IdP authentifient les utilisateurs et délivrent des assertions signées aux fournisseurs de services.
• SAML et OpenID Connect sont les deux formats d'assertion standard.
• Les flux de connexion SSO sont au nombre de deux : celui initié par le SP et celui initié par l'IdP.
• Versa Director, Concerto et le proxy inverse d'application utilisent tous des assertions IdP.
• Parmi les fournisseurs d'identité (IdP) courants, on peut citer Okta, Azure AD, ADFS, OneLogin et Ping Identity.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · IdP et Versa · FAQ

Pourquoi un fournisseur d'identité (IdP) est-il important ?

Chaque application utilisée par un utilisateur – Director, Concerto, un outil SaaS, une application web interne – doit savoir qui est cet utilisateur. En l’absence d’un fournisseur d’identité commun, chaque service gère son propre répertoire de mots de passe, et chaque embauche ou départ implique la mise à jour des identifiants sur des systèmes disparates – ce qui constitue un risque : comptes obsolètes, mots de passe faibles, absence de point central permettant d’appliquer l’authentification multifactorielle (MFA) ou de révoquer instantanément un accès.

Un IdP centralise en revanche l’authentification. Les utilisateurs s’authentifient une seule fois, et l’IdP se porte garant de leur identité auprès de tous les services qui lui font confiance : un fournisseur de services tel que Director ne voit ni ne stocke jamais le mot de passe. Cette centralisation permet de mettre en œuvre l’authentification multifactorielle (MFA) et les contrôles de l’état des appareils à un seul point, et fait de l’IdP le premier point de contrôle dans le modèle Zero Trust : les proxys inversés et les passerelles ZTNA s’appuient sur son attestation avant d’accorder l’accès.

Qu'est-ce qu'un IdP ?

Un IdP (fournisseur d’identité) est l’entité, dans un échange d’authentification, qui vérifie les identifiants d’un utilisateur et émet une assertion signée confirmant son identité et, souvent, les attributs qui lui sont associés (rôle, organisation, groupe). Son homologue est le fournisseur de services (SP) ; celui-ci fait confiance à la signature et ne traite jamais directement le mot de passe.

Deux normes régissent cet échange. SAML est un format basé sur XML dans lequel l’IdP et le SP échangent des métadonnées au préalable, puis l’IdP renvoie une assertion après l’authentification. OpenID Connect, qui repose sur OAuth 2.0, utilise un jeton Web JSON et convient aux intégrations « API-first ». Les deux peuvent fonctionner selon un modèle initié par le SP (l’utilisateur commence par l’application, puis est redirigé vers l’IdP) ou selon un modèle initié par l’IdP (l’utilisateur est déjà authentifié sur le portail de l’IdP).

Le certificat de signature de l'IdP et la synchronisation de l'horloge avec chaque SP connecté garantissent la validité de la chaîne.

Types de fournisseurs d'identité (IdP)

Les IdP se répartissent en plusieurs catégories. Les IdP hébergés dans le cloud – Okta, Microsoft Entra ID (Azure AD), OneLogin, Ping Identity – fonctionnent sous forme de SaaS géré ; une organisation configure ses utilisateurs via la console du fournisseur, et l’IdP gère la disponibilité et la rotation des certificats. Les IdP sur site, tels qu’Active Directory Federation Services (ADFS), fonctionnent au sein de l’infrastructure propre à l’entreprise, sacrifiant cette commodité au profit d’un contrôle sur la localisation des données et l’intégration des annuaires.

Un deuxième axe concerne la prise en charge des protocoles : certains IdP ne prennent en charge que SAML, d’autres uniquement OpenID Connect, tandis que la plupart des IdP destinés aux entreprises – y compris les cinq testés avec Director et Concerto – prennent en charge les deux. Un troisième modèle est celui de l’IdP « courtier », qui s’associe à des IdP en amont ; le proxy inverse d’ Versautilise ce modèle, en se positionnant entre un fournisseur SaaS et l’IdP réel afin que la politique puisse être appliquée entre les deux.

IdP & Versa

Director et Concerto authentifient tous deux les administrateurs via un fournisseur d’identité (IdP) externe, à la place ou en complément des comptes locaux. La configuration de l'authentification unique dans Director ou dans Concerto consiste à importer le fichier XML de métadonnées de l'IdP, à saisir l'ID d'entité du SP et l'URL de l'ACS, puis à mapper les attributs SAML ou OpenID Connect aux rôles. Les deux solutions prennent en charge les flux initiés par le SP et par l'IdP, et ont été testées avec Okta, ADFS, Azure AD, OneLogin et Ping Identity.

Ce modèle s'étend aux utilisateurs finaux. Le proxy inverse d'application permet à Versa de faire office de courtier IdP devant les applications SaaS (Box, Dropbox, Salesforce, Office) et les applications Web privées, SSH ou RDP : l'IdP réel authentifie l'utilisateur, transmet une assertion SAML à Versa , et ce n'est qu'alors que le proxy inverse accorde l'accès, en appliquant les protocoles ZTNA, SWG, CASB et DLP au cours du même parcours.

Questions fréquentes

Quelle est la différence entre un fournisseur d'identité (IdP) et un fournisseur de services (SP) ?

L'IdP authentifie l'utilisateur et émet une assertion signée ; le SP est l'application à laquelle l'utilisateur tente d'accéder, et celle-ci se fie à cette assertion au lieu de gérer elle-même le mot de passe. Director et Concerto font office de fournisseurs de services lorsqu'ils sont configurés pour l'authentification unique (SSO).

Quelle est la différence entre SAML et OpenID Connect ?

SAML est une norme plus ancienne, basée sur XML, qui permet l'échange d'assertions signées entre un fournisseur d'identité (IdP) et un fournisseur de services (SP) ; elle est couramment utilisée dans les solutions d'authentification unique (SSO) d'entreprise. OpenID Connect, qui s'appuie sur OAuth 2.0, utilise quant à lui des jetons Web JSON et s'adapte mieux aux approches « API-first » et aux intégrations Web modernes. Director et Concerto prennent en charge ces deux normes.

Quelle est la différence entre l'authentification unique (SSO) initiée par le SP et celle initiée par l'IdP ?

Le SSO initié par le SP démarre lorsqu'un utilisateur clique sur un lien de connexion dans l'application, ce qui le redirige vers l'IdP pour l'authentification. Le SSO initié par l'IdP démarre depuis le portail de l'IdP lui-même, redirigeant un utilisateur déjà authentifié directement vers l'application – aucun clic de connexion supplémentaire n'est nécessaire.

Une organisation peut-elle utiliser plusieurs fournisseurs d'identité (IdP) ?

Oui. Director prend en charge plusieurs connecteurs SSO, et le proxy inverse d'applications peut servir de passerelle pour plusieurs applications SaaS et privées, chacune pointant vers un fournisseur d'identité (IdP) ou un profil d'authentification différent, ce qui permet à une organisation de combiner des fournisseurs d'identité dans le cloud et sur site, lorsque cela s'avère pertinent.

Un IdP remplace-t-il les comptes utilisateurs locaux ?

Pas nécessairement. Director et Concerto prennent en charge à la fois l’authentification via un fournisseur d’identité (IdP) et l’authentification locale ; les administrateurs peuvent donc conserver un compte d’accès local d’urgence tandis que la plupart des utilisateurs s’authentifient via l’authentification unique (SSO) – une solution de secours au cas où l’IdP deviendrait inaccessible, ne répondrait plus ou serait mal configuré.

En savoir plus sur l'IdP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'IdP, voici quelques liens qui pourraient vous intéresser.