L'exploitation des données d'identité à l'étude

Informations

• Publié par: Inke
• Nombre de lectures: 30
• Langue: Français

Extrait

L'exploitation des données d'identité à l'étude

Extrait du Spyworld Actu

http://www.spyworld-actu.com/spip.php?article3327

L'exploitation des données

d'identité à l'étude

- Technologie -

Date de mise en ligne : lundi 1er janvier 2007

Spyworld Actu

www.spyworld-actu.com - Spyworld Actu

Page 1/3

L'exploitation des données d'identité à l'étude

Sous l'impulsion d'Oracle, un groupe de travail se met en place pour standardiser les

relations entre les sources de données liées à l'identité et les consommateurs de ces ressources.

« Des milliers de dates de naissance transitent dans les systèmes d'information, alors que, souvent, il s'agit

seulement de savoir si la personne est majeure ou pas, retraitée ou non... », explique Jean-Louis Baffier,

responsable du centre d'expertise Fusion Middleware SOA et sécurité chez Oracle France. L'éditeur décide donc de

proposer Identity Governance Framework (IGF), une structure de gouvernance de l'identité. L'Américain est

accompagné de six acteurs du domaine de la gestion des identités et des accès, à savoir CA, Layer 7 Technologies,

Novell, Ping Identity, Securent, et Sun. L'objectif est double : désolidariser les outils de gestion des données liées à

l'identité de l'infrastructure sous-jacente (annuaires LDAP ou base de données, accès par carte à puce ou jetons, par

exemple), d'une part ; et éviter la présence inutile d'informations sensibles dans toutes les applications d'une

entreprise, d'autre part.

IGF se divise en deux volets. Le premier, baptisé CARML (Client Attribute Requirement Markup Language), est un

langage XML destiné à la création d'un contrat type. Formalisé par le développeur d'une application, ce contrat

facilitera sa mise en oeuvre au sein de l'entreprise utilisatrice. Il définit les attributs nécessaires et suffisants pour en

sécuriser l'accès. Le second, AAPML (Attribute Authority Policy Markup Language), est un ensemble de règles qui

encadrent l'usage (consommation et modification) des informations sur l'identité. Des API serviront à relier cette

couche d'abstraction à l'infrastructure.

Des redondances avec les standards existants sont à craindre

Cette initiative apporte, bien sûr, son lot de problèmes. Premier hic, des poids lourds du marché de la gestion des

accès et des identités ne sont pas de la fête, tels Microsoft et IBM. Forest Yin, directeur Product Management chez

CA, admet volontiers qu'une participation de l'éditeur d'Active Directory serait positive. Mais il redoute qu'une fois

entré, celui-ci ne tente de tordre les spécifications à son seul profit. Deuxième hic, IGF n'est pas encore hébergé par

une structure de normalisation qui garantirait une certaine indépendance face aux exigences des éditeurs. Cette

situation ne devrait pas perdurer.

Chez CA et Oracle, on parle de confier le bébé à Liberty Alliance ou à l'Oasis. Le choix de cet organisme semble

pertinent. Il a, en effet, déjà publié trois spécifications essentielles au monde de la gestion des identités et des accès.

A savoir XACML (eXtensible Access Control Markup Language), SAML (Security Assertion Markup Language), et

SPML (Service Provisioning Markup Language). Le premier standardise la description des politiques de contrôle des

accès (droits des utilisateurs sur les ressources informatiques). Le deuxième facilite l'interopérabilité des

plates-formes propriétaires de gestion des droits utilisateurs. SPML, enfin, s'attaque aux comptes des salariés au

sein des applications d'entreprise. Selon Oracle, son initiative n'entame pas les plates-bandes de ces différents

standards, mais les complète. La standardisation de la gestion des identités s'arrête-t-elle avec IGF ? Pas vraiment.

Selon Jean-Louis Baffier, « l'idée consiste à disposer d'une solution générique, que l'on peut enrichir. Pour respecter

certaines contraintes réglementaires aux Etats-Unis ou en Europe, IGF devra probablement être complété. »

La fusion avec la gestion d'accès réseau n'est pas

d'actualité

www.spyworld-actu.com - Spyworld Actu

Page 2/3

L'exploitation des données d'identité à l'étude

Les annonces du domaine correspondent à des technologies en cours d'adoption dans les entreprises. Securent, lui,

est en avance de phase avec ses produits destinés à la mise en place d'un service d'autorisation de fine granularité.

Sept annonces en moins de 15 jours

6 décembre :

Oracle Enterprise Single Sign-On Suite intègre enfin toutes les fonctions issues de ses multiples

achats.

4 décembre :

Identity and Access Management, de CA, embarque les technologies de Ping Identity.

30 novembre :

deuxième version du serveur de jetons Ping Trust, de Ping Identity.

29 novembre :

Securent propose une gestion des accès au niveau des ressources informatiques.

14 et 22 novembre :

La solution de SSO d'entreprise d'Evidian prend en compte les travailleurs nomades. Sortie

d'un outil de synchronisation d'annuaires.

27 septembre :

Sun acquiert Neogent, et récupère des technologies de déploiement pour ses solutions de gestion

des identités.

Post-scriptum :

http://www.01net.com/editorial/336458/

www.spyworld-actu.com - Spyworld Actu

Page 3/3