Qu'est-ce que l'authentification unique (authentification unique) ?

L'authentification unique (SSO) est une méthode d'authentification qui permet aux utilisateurs d'accéder à plusieurs ressources avec une seule entrée de leurs identifiants de connexion (nom d'utilisateur et secret). L'authentification unique (SSO) offre cette expérience utilisateur sur différents systèmes et domaines. Pour assurer un accès sans friction, l'authentification unique (SSO) doit s'étendre aux différents services exécutés et aux ressources résidant dans les centres de données et les plateformes utilisées par les utilisateurs. Ces plateformes peuvent exister sous forme d'IaaS, de PaaS ou de service complet (SaaS), qui peuvent ou non prendre en charge un modèle de confiance.

Quel rôle joue l'authentification unique (SSO) dans la posture de sécurité ?

Il est possible de mettre en œuvre l'authentification unique (SSO) grâce à différentes technologies. Une approche plus sûre consiste à mettre en œuvre une solution où les utilisateurs ne connaissent pas les identifiants de chaque service qu'ils utilisent, mais seulement ceux du service principal. Comme les utilisateurs ne connaissent pas chaque identifiant, il n'y a aucun risque de contourner votre centre d'authentification ou de les partager sur des plateformes moins sécurisées.

Les organisations offrent généralement l'authentification unique (SSO) par le biais d'un modèle de confiance. Un seul fournisseur d'identité (IdP) détient les identifiants ou contrôle l'accès à ceux-ci. Dans ce modèle, chaque service s'appuie sur le fournisseur d'identité (IdP) pour vérifier l'identité de la partie accédant au service. Bien que cette approche réduise le nombre d'endroits où sont stockés les identifiants, les utilisateurs peuvent ou non connaître les identifiants authentiques du service.

Toute conception d'authentification unique (SSO) qui synchronise les identifiants avec chaque application ou service est l'option la moins sécurisée et ne devrait être utilisée que rarement, voire jamais. En matière de sécurité, les organisations s'efforcent de réduire le nombre de vecteurs d'attaque, pas de l'augmenter.

En tant que composante d'un environnement d'authentification avancé, l'authentification unique peut être associée à l'authentification multifacteurs pour renforcer la vérification de l'identité d'un utilisateur tout en minimisant les perturbations. Cette approche aide les organisations à optimiser la facilité d'utilisation et la sécurité, surtout lorsqu'elle est associée à des méthodes passives sans mot de passe. Bien que certains types d'authentification passive soient plus faibles que d'autres, vous pouvez les utiliser avec des mesures de vérification supplémentaires pour diverses ressources numériques. Dans le cadre de la planification des services de gestion des risques, les équipes de sécurité peuvent organiser leurs ressources en catégories de sensibilité et leur assigner des niveaux d'authentification correspondants.

Comment fonctionne l'authentification unique (SSO) ?

L'authentification unique moderne repose sur des protocoles d'identité fédérés, tels que :

• SAML 2.0 (Language d'évaluation de sécurité)
• OAuth 2.0
• OpenID Connect (OIDC)

Ces normes permettent une communication de confiance entre un fournisseur d'identité (IdP) — qui authentifie l'utilisateur — et les fournisseurs de services (SP) — qui contrôlent l'accès aux applications. Une fois authentifiés, les utilisateurs reçoivent un jeton qui peut être réutilisé sur différents services sans avoir à ressaisir leurs identifiants.

Les initiatives SSO relèvent souvent de la catégorie de l'authentification par serveur d'annuaire : chaque service utilise les mêmes informations d'identification provenant d'un seul annuaire, comme Active Directory, ou bien les environnements transmettent le jeton d'authentification aux applications configurées. Les équipes peuvent utiliser l'injection d'identifiants et d'autres technologies pour fournir une authentification unique (SSO). L'authentification unique (SSO) moderne en entreprise utilise presque toujours des normes de fédération comme SAML ou OpenID Connect (OIDC) avec un fournisseur d'identité (IdP). L'injection/synchronisation d'identifiants est généralement considérée comme moins sécuritaire et moins moderne. Les protocoles de fédération largement acceptés (SAML, OIDC) sont les principaux mécanismes d'authentification unique et sont considérés comme des normes industrielles. Quelle que soit l'approche choisie, toute solution doit également inclure un mécanisme de déconnexion unique.

L'authentification unique (SSO) dans un monde informatique hybride

Les organisations actuelles utilisent des systèmes sur place, des applications SaaS, des plateformes IaaS, et bien plus encore. Un SSO efficace doit faire le lien entre ces environnements grâce à une identité fédérée, une distribution native du nuage et une intégration d'annuaires, prenant en charge aussi bien les protocoles anciens que modernes.

Avantages de l'authentification unique (SSO)

• Expérience utilisateur améliorée
  Connectez-vous une seule fois et accédez à toutes les applications autorisées, ce qui améliore la productivité et réduit la fatigue liée aux mots de passe.
• Amélioration de la posture de sécurité
  Combiné à l'authentification multifactorielle (MFA) et à l'analyse contextuelle des risques, le SSO réduit les surfaces d'attaque tout en centralisant le contrôle.
• Conformité et visibilité accrues
  Le contrôle centralisé des identités permet une meilleure journalisation, un meilleur audit et une application plus efficace des politiques, des éléments clés pour se conformer aux réglementations en matière de confidentialité et de cybersécurité.
• Frais informatiques réduits
  Moins de billets d'assistance pour les réinitialisations de mots de passe et des processus d'intégration/de départ simplifiés.

Comment l'authentification unique (SSO) contribue-t-elle à améliorer les processus internes ?

La raison la plus courante pour laquelle les équipes de sécurité informatique étendent l'authentification unique à leurs utilisateurs est d'offrir un accès sécurisé à l'information, rapidement et simplement. Lorsque les organisations mettent en œuvre ce niveau de commodité pour leurs informations protégées, elles atteignent une efficacité et une productivité accrues. L'authentification unique (SSO) permet aux utilisateurs de s'authentifier une seule fois pour les multiples applications et autres ressources numériques auxquelles ils accèdent tout au long de la journée. Au-delà de la satisfaction des utilisateurs, l'authentification unique (SSO) réduit la lassitude liée aux mots de passe, un élément fondamental pour encourager une bonne hygiène des identifiants. Parmi les autres avantages, mentionnons une efficacité et une productivité mesurables. Cela réduit les obstacles à l'accès, qui peuvent parfois être à l'origine de la procrastination dans la réalisation d'un processus métier. Cela peut être particulièrement vrai pour les professionnels travaillant à distance ou en dehors des heures normales, qui sont souvent confrontés à des obstacles de sécurité plus importants en raison de leur emplacement géographique. La simplicité d'accès réduit les frictions pour les processus d'affaires effectués sur les appareils mobiles, permettant leur exécution rapide même en déplacement ou en dehors des heures normales de travail.

Comment l'authentification unique (SSO) aide-t-elle les entreprises à être compétitives ?

L'engagement des consommateurs englobe tout, de la simple personnalisation aux transactions à haut risque. Ces plateformes grand public utilisent souvent des données comportementales pour identifier les centres d'intérêt et rechercher des indices permettant de confirmer l'identité de l'utilisateur. Les consommateurs s'attendent désormais à ce que leurs marques de confiance les connaissent suffisamment bien pour leur offrir des renseignements intéressants et leur permettre de réaliser un maximum d'opérations commerciales sur leurs appareils mobiles. C'est là que l'authentification unique entre en jeu.

L'expérience mobile et en ligne actuelle nécessite une plateforme robuste, soutenue par de multiples systèmes backend, afin d'offrir l'expérience de plus en plus sophistiquée que les consommateurs attendent. En règle générale, ils ne tolèrent pas de devoir vérifier leur identité plusieurs fois sur un smartphone. Ainsi, bien qu'il soit courant que les applications mobiles exploitent divers systèmes backend, ceux-ci ne font pas partie de l'expérience utilisateur.

Au-delà du simple accès, l'authentification unique (SSO) joue un rôle dans l'accès à distance plus poussé et à plus grands enjeux. Permettre à vos consommateurs d'en faire plus avec vos produits et services demeure un enjeu majeur de la concurrence dans le domaine des applications mobiles. Avec l'évolution de l'économie numérique, les applications mobiles font de plus en plus d'interactions commerciales, y compris des interactions plus risquées. Offrir des services plus pertinents que la compétition est un moyen efficace de se différencier. Mais cela impose aussi plus d'exigences à votre infrastructure d'authentification. La facilité d'utilisation de l'authentification unique (SSO) est importante, mais la vérification d'identité, adaptée au risque pour l'organisation, l'est tout autant. Plus une organisation est capable de mesurer le risque contextuel d'une demande d'accès, plus l'accès mobile aux renseignements privés et sensibles sera étendu. Posez-vous la question :

• L'utilisateur est-il à l'endroit prévu (GSM, géolocalisation, réseau) ?
• L'appareil est-il reconnu ?
• Ces types de demandes reflètent-ils les comportements passés ?
• Quel est le niveau de risque des données elles-mêmes ?

Selon ces indicateurs de risque, l'authentification unique (SSO) peut fonctionner conjointement avec des types d'authentification avancés pour adapter la vérification d'identité à ce risque, en utilisant l'authentification multifacteurs au besoin :

• Offrez plusieurs options d'authentification sans mot de passe, comme l'empreinte digitale, la reconnaissance faciale, la reconnaissance vocale, la notification push hors bande, le mot de passe à usage unique, etc.
• N'interrompez le consommateur pour une demande de vérification qu'en cas de nécessité.
• Utilisez un ou plusieurs types d'authentification pour atteindre le niveau de vérification nécessaire.

Bien que l'authentification unique offre un confort d'utilisation au consommateur, elle doit également concilier confort et sécurité lorsqu'elle est utilisée conjointement avec d'autres méthodes d'authentification.

Quelles sont les erreurs courantes lors de la mise en œuvre de l'authentification unique (SSO) ?

Tant les services informatiques que les métiers devraient considérer la valeur croissante de l'authentification unique comme une tendance qui s'accélère. Plus un utilisateur a d'identifiants, plus il lui est difficile de s'en souvenir. Lorsque l'entreprise réduit le nombre d'identifiants, les utilisateurs sont plus susceptibles d'adopter une gestion saine de ces identifiants.

Cette même courbe de valeur agressive est motivée par la commodité. Moins vous interrompez les utilisateurs, plus ils sont productifs (employés ou sous-traitants) et satisfaits (consommateurs). Idéalement, il y a une empreinte digitale initiale, une reconnaissance faciale ou une autre authentification lors de l'accès à l'application ou du démarrage d'une session, et rien de plus. Quel que soit le nombre de services ou de ressources utilisés par les utilisateurs, leurs tâches ne sont pas interrompues. Dans cette même optique, plus une application ou un service Web interrompt l'utilisateur avec une demande d'authentification, moins cela est satisfaisant et plus cela s'avère contre-productif. Pour ces raisons, les décisions ou implémentations techniques qui ne permettent pas l'authentification unique pour les ressources fréquemment consultées sont les plus dommageables.

Limiter l'authentification à Active Directory (AD)

Bien qu'Active Directory (ainsi qu'Azure AD) soit devenu le principal fournisseur d'identité, la plupart des organisations disposent de ressources essentielles qui vont au-delà. Si les organisations plus jeunes ou plus petites peuvent trouver qu'Active Directory complété par les solutions de fédération de Microsoft suffit pour assurer l'authentification unique, la majorité d'entre elles sont plus hétérogènes que cela.

S'appuyant exclusivement sur les technologies de modèles de confiance

L'adoption de SAML et d'OIDC s'est largement répandue. Mais les environnements complexes ne permettent généralement pas une couverture complète. Étonnamment, un certain nombre de services SaaS ne prennent pas en charge la fédération ou la facturent plus cher que ce que les organisations sont prêtes à payer. À l'inverse, les technologies d'enregistrement/lecture ou une passerelle d'accès gérée de manière centralisée comblent les lacunes de la couverture d'authentification unique.

Mal comprendre l'expérience d'authentification de vos utilisateurs

Souvent, les services informatiques ignorent les différents profils des utilisateurs qui accèdent au système tout au long de la semaine. Sans une vision claire, ils ne peuvent pas déterminer quelles ressources ajouter à leur infrastructure d'authentification unique. De plus, les services consommés par les départements ou les secteurs d'activité ne sont généralement pas inclus dans la planification SSO.

L'avantage de l'authentification unique OpenText

La solution de gestion des identités et des accès (IAM) d'OpenText ™ offre une authentification unique (SSO) sécurisée et conforme aux normes, avec :

• Prise en charge intégrée de SAML, OAuth et OIDC.
• Intégration avec Active Directory, LDAP et les sources d'identité cloud.
• Authentification sans mot de passe et adaptative.
• Confiance fédérée entre les écosystèmes B2B et B2C.
• Compatibilité avec les architectures Zero Trust modernes.

OpenText Access Manager, OpenText Core Identity Foundation et OpenText Advanced Authentication fonctionnent ensemble pour offrir un contrôle d'accès unifié et flexible, pour chaque utilisateur, appareil et environnement.

Comment OpenText fournit-il l'authentification unique (SSO) ?

OpenText IAM propose cinq approches différentes pour la mise en œuvre de l'authentification unique (SSO) :

OpenText Access Manager

Grâce à diverses technologies, OpenText Access Manager offre plusieurs façons de fournir une authentification unique (SSO) pour tout service intranet ou cloud. Quelle que soit l'interface de vos applications, vos utilisateurs (employés, clients, etc.) ont un accès rapide et pratique. Parallèlement, OpenText Access Manager vous offre un contrôle d'accès complet par l'entremise de vos processus existants.
 
Outre les avantages de l'authentification unique (SSO), OpenText Access Manager offre un accès en un clic aux applications Web grâce à des icônes de configuration faciles dans le mini-portail. Le mini-portail intégré d'OpenText Access Manager n'est pas destiné à remplacer ce que vous possédez déjà, mais plutôt à constituer une option pour ceux qui n'en ont pas. Le portail est facile à activer, à configurer et à maintenir pour les administrateurs, et intuitif pour tous les utilisateurs. L'interface d'accès rapide d'OpenText Access Manager améliore l'expérience d'authentification unique.

OpenText Access Manager offre à votre organisation trois options pour la mise en œuvre de l'authentification unique (SSO) sur l'ensemble de vos applications cloud et intranet :

• Passerelle d'accès — la solution ultime de gestion des accès pour le contrôle d'accès et l'authentification unique, la passerelle d'accès est le meilleur moyen d'offrir une expérience utilisateur fluide sur plusieurs services et environnements complexes (nuage, hors nuage, hybride).
• Fédération basée sur des normes — SAML, OAuth, OpenID Connect, WS-Trust et WS-Federation — OpenText Access Manager prend en charge ces applications via un catalogue de connecteurs ou une boîte à outils préconfigurés à partir desquels vous pouvez configurer votre relation de confiance entre un fournisseur d'authentification et un fournisseur de services.
• Assistant d'authentification unique — pour le vaste océan de petites applications ou d'applications spécialisées qui ne prennent en charge aucun type de fédération, l'assistant SSO les prend toutes en charge.

Passerelle OpenText Access Manager

La passerelle est un proxy inverse que vous pouvez placer devant n'importe quelle ressource, qu'elle possède ou non son propre modèle de sécurité ou ses propres contrôles d'accès. Cela vous permet d'utiliser le même fournisseur d'identité pour la gestion des identifiants. À l'instar de l'assistant d'authentification unique, la passerelle propose des politiques de remplissage de formulaires qui peuvent remplir les formulaires HTML. Les politiques de remplissage automatique des formulaires analysent chaque page de connexion, accélérée par la passerelle d'accès, pour voir si elle peut remplir les informations d'identification. Peu importe le nombre de technologies d'authentification unique que vous utilisez, OpenText Access Manager fournit un point central d'administration et de contrôle.

Authentification unique par fédération

Pour l'authentification unique par fédération, OpenText Access Manager vous permet de configurer une relation de confiance qui peut fonctionner comme fournisseur d'identité ou fournisseur de services, selon vos besoins. Vous devrez également configurer le type de fédération (SAML, OAuth, OpenID Connect, WS-Trust ou WS-Federation). Si vous utilisez SAML, vous pouvez choisir l'un des nombreux connecteurs préconfigurés. Si le catalogue ne contient pas de connecteur SAML préconfiguré pour le service souhaité, vous pouvez utiliser la boîte à outils pour en configurer un vous-même.

Authentification unique par l'entremise de l'assistant

Pour les services infonuagiques trop vieux, trop petits ou trop primitifs pour prendre en charge la fédération, l' assistant d'authentification unique offre une expérience SSO avec un minimum d'efforts. Il invite les utilisateurs à télécharger le plugiciel de navigateur qui récupère en toute sécurité les identifiants lorsqu'ils sont enregistrés. Une fois l'assistant configuré, les utilisateurs bénéficient de l'authentification unique (SSO) lorsqu'ils accèdent à l'application. Le premier endroit à consulter pour trouver des connecteurs d'assistance prêts à l'emploi est le catalogue de connecteurs d'OpenText Access Manager. Vous pouvez sauvegarder votre propre fichier si vous ne trouvez pas le connecteur dont vous avez besoin. OpenText Access Manager invite automatiquement l'utilisateur à installer le connecteur lors de la première utilisation, après quoi il récupère et soumet les informations d'identification de l'utilisateur depuis OpenText Access Manager pour une connexion automatique. Lors de la configuration des connecteurs SSO de base pour les différentes applications, vous définissez le connecteur pour le site spécifique. L'authentification unique (SSO) de base saisit les informations d'identification des utilisateurs par le biais d'un plugiciel ou d'une extension de navigateur. Il stocke en toute sécurité les identifiants des utilisateurs sur le serveur d'identité, sans jamais utiliser la passerelle d'accès.

OpenText Advanced Authentication

OpenText Advanced Authentication offre une authentification unique aux utilisateurs sur les clients Windows. La prise en charge de l'authentification unique (SSO) inclut .NET, Java, les applications natives et les applications Web sur tous les navigateurs populaires. Pour les utilisateurs finaux, l'utilisation est transparente, ce qui leur permet de se concentrer sur leur tâche principale. Même pour les utilisateurs distants non connectés à un répertoire centralisé, l'authentification unique continue de fonctionner sur les ordinateurs portables isolés sans connexion Internet. OpenText Advanced Authentication offre également une commutation rapide des utilisateurs, ce qui signifie qu'il fournit rapidement une authentification unique pour les bornes interactives ou les postes de travail partagés. Elle peut être activée à l'aide d'un badge ou par toute autre méthode sans contact, rapide, simple et hautement sécurisée.

OpenText offre plus d'options d'authentification unique pour les entreprises que n'importe quel autre fournisseur.