FIM et le mécanisme de synchronisation de mot de passe

Ainsi une même personne occasionne la multiplication, déduplication d’un compte utilisateur au travers des différents annuaires tels que la base de données RH, l’annuaire d’authentification Active Directory (AD), l’annuaire Applicatif A et B ou encore l’annuaire pages blanches de l’entreprise. Dès lors comment gérer de manière optimisée l’identité de cette personne ? Comment adresser à ces utilisateurs un système intuitif et simple à utiliser tant sur le plan fonctionnel que sur le plan technique (connexion / authentification) ? A ce jour, le casse-tête chinois réside sur « Comment optimiser les sources d’authentification ». Même si les notions de Single Sign On (SSO) et de fédération d’identité sont des solutions pour optimiser cela, il n’est pas rare de rendre impossible ce fonctionnement, tant pour des raisons fonctionnelles que techniques. L’objectif de cet article est de mettre en avant la solution de synchronisation de mot de passe « Password Change Notification Service (PCNS) » proposée par Forefront Identity Manager (FIM). Dans une première partie, nous développerons la notion de Gestion Des Identités (GDI) afin de contextualiser le besoin de rationalisation de la gestion de mot de passe. La deuxième partie traitera plus spécifiquement de l’implémentation de PCNS.

La gestion des identités, qu’est-ce donc… ?

Voici un concept qui peut en effrayer plus d’un. Si l’on souhaite synthétiser, la gestion des identités est le fait de gérer de bout en bout « l’identité d’une personne, de sa création à sa suppression en lui octroyant tous les droits nécessaires au sein du SI de l’entreprise ». Nous parlons ainsi de cycle de vie de l’identité.

(((IMG7035)))
Cycle de vie de l’identité.

FIM va alors consolider toutes les informations de l’identité en provenance des différentes sources de données (appelé management agent dans FIM) au sein d’un méta-annuaire. Ces MAs peuvent être des annuaires (ADDS, ADLDS ou LDAP), des bases de données (Microsoft SQL Server, Oracle…) ou encore des connecteurs pour des fichiers plats. De cette manière nous allons pouvoir d’une part consolider les informations relatives à une identité, d’autre part, il va être possible de gérer les changements en synchronisant les informations souhaitées en fonction des règles de gestion préalablement établies. Il est facile d’imaginer changer certains attributs tels que l’attribut AD « Fonction », mais qu’en est-il de son mot de passe qui lui est crypté dans l’annuaire Active Directory ?