Définition & Positionnement
La gestion des identités et des accès (IAM) est l'infrastructure qui établit, maintient et vérifie les identités numériques dans une organisation, et qui détermine ce que chaque identité est autorisée à faire. Pendant des décennies, l'IAM consistait à gérer une liste d'utilisateurs dans un annuaire et à configurer des permissions sur des partages réseau. Ce modèle est structurellement insuffisant dans un contexte d'architectures cloud, de mobilité généralisée et d'accès multi-partenaires.
L'IAM repose sur quatre piliers fondamentaux : l'authentification (qui êtes-vous ?), l'autorisation (qu'avez-vous le droit de faire ?), l'administration (cycle de vie des identités et des droits) et l'audit (traçabilité des événements). Ces quatre fonctions sont interdépendantes — une faiblesse dans l'une compromet les trois autres.
L'architecte technologique distingue trois disciplines complémentaires souvent confondues sous le terme générique IAM : l'IAM proprement dit (moteur d'identité — annuaires, protocoles, autorisation), l'IGA (Identity Governance and Administration — gouvernance et administration des identités) et le PAM (Privileged Access Management — gestion des accès privilégiés). En pratique : un utilisateur s'authentifie via IAM, ses accès sont gouvernés par IGA, et les administrateurs accèdent aux systèmes critiques via PAM.
Vue Architecturale
L'architecture IAM s'organise en couches fonctionnelles superposées, chacune s'appuyant sur la précédente :
Types d'identités : L'architecte distingue les identités humaines (employés, partenaires, clients) des identités non-humaines (comptes de service, machines, workloads cloud). Ces dernières sont souvent les plus vulnérables — gérées manuellement, avec des secrets statiques, sans rotation. Les identités de workloads (AWS IAM Roles, Azure Managed Identity) éliminent les secrets statiques en fournissant des identités éphémères gérées par la plateforme.
Trois scénarios hybrides AD/Entra ID :
| Scénario | AD on-prem | Entra ID | Cas d'usage typique |
|---|---|---|---|
| Cloud uniquement | Non | Oui | Nouvelles organisations, startups |
| Hybride avec synchronisation | Oui | Oui (AD Connect) | Migration progressive, M365 |
| Hybride avec fédération | Oui | Oui (ADFS / PTA) | Contrôle on-prem strict des authentifications |
Cas d'Usage Architecturaux
Forces & Limites
- Périmètre de sécurité universel — applicable on-prem, cloud et hybride
- FIDO2/WebAuthn : résistance native au phishing, meilleur taux de succès (93 % vs 63 % pour les méthodes traditionnelles)
- Centralisation des politiques d'accès — cohérence et auditabilité
- Intégration native aux cadres réglementaires (SOX, HIPAA, PCI DSS)
- SSO améliore l'expérience utilisateur et réduit la fatigue des mots de passe
- PAM réduit la surface d'attaque sur les comptes les plus ciblés
- Point de défaillance unique : l'IdP indisponible bloque l'accès à toutes les applications fédérées
- Complexité d'intégration — les applications legacy non compatibles SAML/OIDC nécessitent des passerelles
- L'IGA est souvent sous-gouverné : revues d'accès non réalisées = droits accumulés (permission creep)
- Migration de l'existant coûteuse — chaque intégration SAML/OIDC est un projet
- La gestion des identités non-humaines est souvent négligée et mal inventoriée
- MFA SMS/OTP insuffisant — phishable, cible des attaques SIM swap
Décisions Architecturales (ADR Simplifié)
Écosystème & Intégrations
Standards applicables
État de l'Art & Tendances (2025–2026)
NIST SP 800-63-4 finalisé (juillet 2025) : La mise à jour la plus significative depuis 2017. Le framework passe d'une approche par liste de contrôle à un modèle de gestion du risque d'identité numérique (DIRM). AAL2 doit désormais obligatoirement offrir une option MFA résistante au phishing. Les passkeys syncables qualifient comme AAL2. Le SMS OTP n'est plus une option acceptable pour les niveaux d'assurance élevés.
Microsoft Entra Agent ID (novembre 2025, GA) : Extension majeure de la plateforme Entra pour les identités d'agents IA. La gestion des identités s'étend au-delà des humains et des workloads techniques vers les agents autonomes opérant dans les environnements d'entreprise, avec OAuth 2.0, MCP et A2A comme protocoles. Signal fort : l'IAM doit désormais intégrer la gouvernance des identités d'agents dans son périmètre.
Entra ID Governance 2025 : Révocation d'accès post-approbation, gestion par Unités Administratives, Group Source of Authority (conversion des groupes AD legacy en groupes dynamiques Entra ID), intégration de vérification d'identité biométrique (Face Check) dans Entitlement Management. L'IGA cloud rattrape et dépasse les capacités des solutions on-prem legacy.
Identité comme fondation Zero Trust : La convergence IAM/ZTNA (Zero Trust Network Access) s'accélère. Les plateformes SASE (Secure Access Service Edge) intègrent le moteur d'identité directement dans la pile réseau — l'accès conditionnel évalue simultanément l'identité, la posture de l'appareil et le contexte réseau. Le VPN traditionnel disparaît au profit de l'accès par ressource individuelle, orchestré par l'IdP.
Definition & Positioning
Identity and Access Management (IAM) is the infrastructure that establishes, maintains, and verifies digital identities within an organization, and determines what each identity is authorized to do. For decades, IAM meant managing a list of users in a directory and configuring permissions on network shares. This model is structurally insufficient in cloud architectures, with generalized mobility and multi-partner access.
IAM rests on four fundamental pillars: authentication (who are you?), authorization (what are you allowed to do?), administration (identity and entitlement lifecycle), and audit (event traceability). These four functions are interdependent — a weakness in one compromises the other three.
The technology architect distinguishes three complementary disciplines often conflated under the generic IAM label: IAM proper (identity engine — directories, protocols, authorization), IGA (Identity Governance and Administration — lifecycle governance, access reviews, compliance), and PAM (Privileged Access Management — protection of high-privilege accounts). In practice: a user authenticates via IAM, their access is governed by IGA, and administrators reach critical systems via PAM.
Architectural View
IAM architecture organizes into layered functional tiers, each built on the one below. The same diagram applies: IGA at the top (governance), PAM (privileged access), MFA/AuthN (authentication), Federation protocols (SAML/OIDC), and the Identity Provider / directory at the foundation.
Hybrid AD/Entra ID scenarios: Cloud-only (Entra ID alone, for new organizations), Hybrid with sync (AD + Entra ID via AD Connect, for M365 migrations), Hybrid with federation (AD + ADFS/PTA, for strict on-premises authentication control).
Non-human identities — service accounts, machines, cloud workloads — are often the most vulnerable. AWS IAM Roles, Azure Managed Identity, and GCP Workload Identity Federation eliminate static secrets by providing ephemeral identities managed by the cloud platform.
Architectural Use Cases
Strengths & Limits
- Universal security perimeter — applicable on-prem, cloud, and hybrid
- FIDO2/WebAuthn: native phishing resistance, 93% login success rate vs. 63% for traditional methods
- Centralized access policies — consistency and auditability
- Native integration with regulatory frameworks (SOX, HIPAA, PCI DSS)
- SSO improves user experience and reduces password fatigue
- Single point of failure: IdP unavailability blocks all federated applications
- Legacy application integration complexity — SAML/OIDC gateways required
- IGA is often under-governed: skipped access reviews = accumulated permissions (permission creep)
- SMS/OTP MFA is phishable — insufficient for high-assurance scenarios
- Non-human identity inventory is often incomplete and poorly managed
Current State & Trends (2025–2026)
NIST SP 800-63-4 finalized (July 2025): Most significant update since 2017. The framework moves from checklist compliance to a Digital Identity Risk Management (DIRM) model. AAL2 must now mandatorily offer a phishing-resistant MFA option. Syncable passkeys qualify as AAL2. SMS OTP is no longer acceptable for high-assurance levels.
Microsoft Entra Agent ID (November 2025, GA): Major platform extension for AI agent identities, using OAuth 2.0, MCP, and A2A protocols. IAM scope must now include AI agent identity governance — a new category of non-human identity with autonomous behaviors.
Identity as Zero Trust foundation: IAM/ZTNA convergence is accelerating. SASE platforms integrate the identity engine directly into the network stack. Traditional VPN gives way to per-resource access orchestrated by the IdP.
Definición & Posicionamiento
La gestión de identidades y accesos (IAM) es la infraestructura que establece, mantiene y verifica las identidades digitales en una organización, y determina lo que cada identidad está autorizada a hacer. En arquitecturas cloud, con movilidad generalizada y acceso multi-socio, el modelo tradicional basado en directorios locales es estructuralmente insuficiente.
La IAM descansa en cuatro pilares: autenticación (¿quién eres?), autorización (¿qué tienes derecho a hacer?), administración (ciclo de vida de identidades y derechos) y auditoría (trazabilidad). El arquitecto distingue IAM propiamente dicha, IGA (Identity Governance and Administration — gobernanza y administración de identidades) y PAM (Privileged Access Management — gestión de accesos privilegiados).
Vista Arquitectónica
La arquitectura IAM se organiza en capas funcionales: IGA (Identity Governance and Administration) en la cima, PAM (Privileged Access Management), MFA (Multi-Factor Authentication) / AuthN (autenticación), protocolos de federación (SAML/OIDC), y el IdP (Identity Provider) / directorio en la base.
Escenarios híbridos AD/Entra ID: Solo cloud (Entra ID solo, para nuevas organizaciones), Híbrido con sincronización (AD + Entra ID vía AD Connect), Híbrido con federación (AD + ADFS/PTA, para control estricto on-premises).
Fortalezas & Límites
- Perímetro de seguridad universal — aplicable en on-prem, cloud e híbrido
- FIDO2/WebAuthn: resistencia nativa al phishing, 93% tasa de éxito
- Políticas de acceso centralizadas — coherencia y trazabilidad
- Integración con marcos regulatorios (SOX, HIPAA, PCI DSS)
- Punto único de fallo: IdP no disponible bloquea todas las aplicaciones federadas
- IGA frecuentemente sub-gobernada: revisiones omitidas = acumulación de permisos
- SMS/OTP es phishable — insuficiente para alta garantía
- Inventario de identidades no humanas frecuentemente incompleto
Estado del Arte & Tendencias (2025–2026)
NIST SP 800-63-4 (julio 2025): AAL2 debe ofrecer obligatoriamente una opción MFA resistente al phishing. Los passkeys syncables califican como AAL2. SMS OTP ya no es aceptable para niveles de alta garantía.
Microsoft Entra Agent ID (noviembre 2025, GA): Extensión para identidades de agentes IA con OAuth 2.0, MCP y A2A. La gobernanza de identidades de agentes autónomos se convierte en nuevo dominio IAM.
Convergencia IAM/ZTNA (Zero Trust Network Access): Las plataformas SASE (Secure Access Service Edge) integran el motor de identidad directamente en la pila de red. El VPN tradicional da paso al acceso por recurso individual orquestado por el IdP (Identity Provider).
Approfondir le sujet
Ce concept est traité dans le Chapitre 19 de L'Architecture Technologique en Pratique de Rolando del Cid, M. Sc. — avec les protocoles de fédération, l'architecture AD/Entra ID, les patterns PAM et IGA, et les décisions ARB détaillées.
Découvrir le livre →Go Deeper
Chapter 19 of Technology Architecture in Practice by Rolando del Cid, M. Sc. covers federation protocols, AD/Entra ID architecture, PAM and IGA patterns, and ARB decisions — with the detail required for senior architect practice.
Discover the book →Profundizar el tema
El Capítulo 19 de Arquitectura Tecnológica en Práctica de Rolando del Cid, M. Sc. cubre los protocolos de federación, la arquitectura AD/Entra ID, los patrones PAM e IGA, y las decisiones ARB detalladas.
Descubrir el libro →