SSO, l'authentification unique.

Le SSO, ou Single Sign-On, est un mécanisme d'authentification unique. L'utilisateur s'authentifie une seule fois auprès d'un fournisseur d'identité, puis accède à toutes les applications qui lui sont autorisées sans ressaisir de mot de passe. Le fournisseur d'identité émet un jeton signé que chaque application vérifie avant d'ouvrir la session. Les applications ne stockent donc plus d'identifiants, et la DSI dispose d'un point unique pour ouvrir ou fermer les accès.

Les deux ne répondent pas à la même question. Le SSO détermine combien de fois l'utilisateur doit s'authentifier, une seule fois au lieu d'une fois par application. Le MFA détermine la solidité de cette authentification, en exigeant une preuve supplémentaire en plus du mot de passe. Le SSO améliore l'usage et la gouvernance, le MFA améliore la sécurité. Les déployer ensemble est la seule combinaison qui se tient, puisque le SSO concentre les accès derrière une porte que le MFA renforce.

En théorie, un mot de passe long, unique et différent pour chaque application offrirait une bonne protection. En pratique, cette exigence n'est pas tenable pour un utilisateur qui gère une dizaine d'applications, et elle produit l'inverse de l'effet recherché, avec des mots de passe réutilisés, dérivés les uns des autres ou notés quelque part. Le SSO ramène l'effort à un seul secret, que l'on peut alors exiger réellement robuste et protéger par un second facteur. La contrepartie est réelle, ce secret unique devient une cible de valeur, ce qui impose le MFA et une surveillance du point d'authentification.

Toute application qui sait parler SAML 2.0 ou OpenID Connect se raccorde au SSO. Cela couvre Microsoft 365 et l'environnement de travail, la grande majorité des applications SaaS du marché, qui disposent d'un connecteur préconfiguré, ainsi que les applications métier internes dont l'éditeur a implémenté l'un de ces protocoles. Les applications qui ne supportent ni l'un ni l'autre passent par un proxy d'application ou conservent leur authentification propre. L'inventaire réalisé en début de projet établit précisément ce qui entre dans le périmètre et ce qui en reste dehors.

Non. Un Active Directory existant se synchronise vers Microsoft Entra ID, ce qui permet de conserver l'annuaire en place, avec ses groupes et ses stratégies, tout en ouvrant les applications cloud à l'authentification unique. C'est le scénario le plus courant chez nos clients. La bascule complète vers un annuaire uniquement cloud reste possible, elle se décide en fonction des applications qui dépendent encore de l'annuaire local. Dans les deux cas, la synchronisation et sa supervision font partie de la prestation.

La durée dépend du nombre d'applications à raccorder et de l'état de l'annuaire au départ. Une organisation déjà sous Microsoft 365, avec un annuaire propre et une dizaine d'applications, se traite en quelques semaines. Un parc plus étendu, avec des applications métier spécifiques et un annuaire à remettre en ordre, demande davantage. Le facteur qui pèse le plus n'est pas technique, c'est l'inventaire et la remise à plat des habilitations. Nous chiffrons le projet après cette étape, pas avant.

C'est la bonne question à poser avant de centraliser l'authentification. Les sessions déjà ouvertes continuent de fonctionner jusqu'à l'expiration de leur jeton, ce qui absorbe les indisponibilités courtes. Pour les cas plus longs, le déploiement prévoit des comptes d'urgence, exclus des règles d'accès conditionnel, dont les identifiants sont conservés hors ligne et dont l'usage est surveillé. Nous documentons cette procédure au moment de la mise en service, et nous la testons, parce qu'un dispositif de secours jamais éprouvé ne protège personne.

La directive NIS 2 attend des entités concernées qu'elles maîtrisent le contrôle d'accès et qu'elles recourent à l'authentification multifacteur sur les accès sensibles. Le SSO n'y répond pas à lui seul, mais associé au MFA et à des règles d'accès conditionnel, il couvre cette partie du dispositif et la rend démontrable grâce à un journal d'authentification centralisé. NIS 2 porte sur bien d'autres domaines, dont la gestion des incidents, la sécurité de la chaîne d'approvisionnement et la continuité d'activité. La mise en conformité ne se résume donc pas à un projet d'identité.

Oui. Blue prend en charge l'inventaire des applications et des identités, la mise en ordre de l'annuaire, l'activation du MFA et des règles d'accès conditionnel, le raccordement progressif des applications, l'accompagnement des utilisateurs, puis l'exploitation courante. Nous sommes une entreprise française fondée en 2005, qui compte 200 collaborateurs et exploite ses propres datacenters à Rennes et à Nantes. Le taux de disponibilité de Blue est de 99,98 %. Un expert vous rappelle sous 2 heures ouvrées.