Solution IAM : 10 logiciels de gestion des identités, d'authentification unique et de MFA

Une solution IAM (Identity and Access Management, ou gestion des identités et des accès) décide qui peut se connecter à quoi. Elle tient l'annuaire des comptes, vérifie l'identité de chaque personne, souvent avec l'authentification unique (SSO) et un second facteur (MFA), puis ouvre ou retire les droits sur les applications. Cette page compare 10 logiciels qui font ce travail pour les salariés, les partenaires ou les clients d'une organisation. Pour encadrer seulement les comptes administrateurs, voyez la gestion des accès à privilèges (PAM) ; pour stocker les mots de passe de chacun, voyez plutôt la catégorie gestionnaire de mots de passe. Sécurité, réseau, infrastructure : les autres outils sont réunis dans les logiciels tech.

Gestion des identités et des accès : définition, fonctionnement et avantages

Une solution IAM assemble quatre briques. L'annuaire garde la liste des identités et de leurs groupes : Active Directory installé sur site, ou un annuaire en ligne comme Entra ID, l'Universal Directory d'Okta ou le Cloud Directory de JumpCloud. L'authentification vérifie la personne par mot de passe, code à usage unique ou clé d'accès, avec des règles selon le poste ou le lieu. L'authentification unique lui ouvre ensuite ses applications après une seule connexion, grâce aux protocoles SAML 2.0 et OpenID Connect. La gestion du cycle de vie crée les comptes à l'arrivée et les ferme au départ, souvent par le protocole SCIM.

Le gain est triple : moins de mots de passe à retenir et à réinitialiser, des accès retirés au même endroit quand un salarié part, et une trace de qui s'est connecté à quoi, utile pour un audit.

Les 10 logiciels de gestion des identités et d'authentification unique (SSO)

Trois familles se dessinent : des plateformes en ligne pour les salariés (Okta, Entra ID, JumpCloud, OneLogin, Ping Identity, Memority), des logiciels à installer soi-même (ManageEngine ADSelfService Plus, Keycloak, authentik) et une plateforme pour la connexion des clients d'une application (Auth0).

Okta

Okta réunit SSO, MFA adaptative, annuaire universel, gestion du cycle de vie et un module d'accès à privilèges. Les suites Workforce Identity se paient à l'utilisateur et au mois, facturées à l'année : Starter dès 6 $, Essentials dès 17 $, avec un contrat minimum de 1 500 $ par an. Essai de 30 jours.

Entra ID

Ancien Azure Active Directory, renommé en 2023. L'édition gratuite donne la MFA, le SSO illimité et la réinitialisation en libre-service des mots de passe, avec un abonnement Azure. P1 ajoute l'accès conditionnel pour 6,10 € HT par mois et par utilisateur, P2 l'accès privilégié pour 8,70 € HT, en paiement annuel. P1 est compris dans Microsoft 365 E3 et Business Premium.

ManageEngine ADSelfService Plus

Conçu pour Active Directory et Entra ID, il associe réinitialisation en libre-service des mots de passe, MFA sur les postes, les VPN et les applications, et SSO pour les applications SAML, OAuth et OIDC. Édition gratuite jusqu'à 50 utilisateurs, Standard à 595 $ par an pour 500 utilisateurs.

JumpCloud

JumpCloud joint l'identité et les appareils : annuaire en ligne, LDAP et RADIUS hébergés, SSO, MFA et gestion des postes Windows, Mac et Linux. Le forfait SSO, avec MFA et gestionnaire de mots de passe, coûte 11 $ par mois et par utilisateur sur engagement annuel, 13 $ sans engagement, hors TVA. Essai de 30 jours.

OneLogin

Site édité par One Identity. SSO, MFA, annuaire, LDAP virtuel et provisionnement des comptes, facturés par utilisateur et par mois : Basic à 3 $, Essentials à 6 $, Business à 10 $ avec l'automatisation. Enterprise est sur devis.

Ping Identity

SSO, MFA, vérification d'identité, orchestration des parcours et accès juste-à-temps, en cloud mutualisé (PingOne), en cloud dédié ou en logiciel installé. Le prix dépend du nombre et du type d'identités : salariés, clients, partenaires ou agents d'IA. Devis uniquement.

Memority

Memority se présente comme la solution IAM européenne. Sa plateforme en mode SaaS couvre la gouvernance des identités (IGA), le SSO et la fédération, la MFA et l'identité des clients (CIAM), pour les employés, partenaires, clients et identités non humaines. Tarifs sur démonstration.

Keycloak

Projet open source de la Cloud Native Computing Foundation, à télécharger. SSO et déconnexion unique, connexion par réseaux sociaux ou par un autre fournisseur d'identité, lien avec un annuaire LDAP ou Active Directory, autorisations fines, sur OpenID Connect, OAuth 2.0 et SAML.

authentik

Fournisseur d'identité open source à héberger soi-même : l'éditeur ne propose pas de version hébergée. OIDC, SAML, LDAP, SCIM, RADIUS, Kerberos et accès RDP ou SSH par navigateur. La version open source est gratuite ; Enterprise coûte 5 $ par compte salarié et par mois, facturé à l'année, et ajoute la gestion des accès à privilèges.

Auth0

L'autre plateforme d'Okta, pour ajouter la connexion des utilisateurs à une application : sans mot de passe, par réseaux sociaux, ou par l'annuaire d'une entreprise cliente. L'offre Free va jusqu'à 25 000 utilisateurs actifs mensuels ; Essentials est affiché à 35 $ par mois pour 500 utilisateurs actifs.

Choisir une solution IAM : annuaire en place, protocoles, hébergement et facturation

• Partir de l'annuaire existant. Avec Microsoft 365 E3 ou Business Premium, Entra ID P1 est déjà compris. Avec un Active Directory sur site, ADSelfService Plus s'y branche directement. Un parc mêlant Windows, Mac et Linux sans serveur d'annuaire correspond au modèle de JumpCloud.

• Vérifier les protocoles. SAML et OpenID Connect pour le SSO, SCIM pour créer les comptes, LDAP ou RADIUS pour le Wi-Fi, le VPN d'entreprise et les applications plus anciennes.

• Choisir l'hébergement. Keycloak, authentik et ADSelfService Plus se téléchargent et s'installent sur vos serveurs, que votre équipe exploite ; Ping Identity propose le cloud ou l'installation sur site.

• Comparer l'unité de facturation. Par utilisateur et par mois chez Okta, Entra ID, JumpCloud et OneLogin, par tranche d'utilisateurs à l'année chez ManageEngine, par utilisateur actif mensuel chez Auth0, sur devis chez Ping Identity et Memority.

Le processus IAM : étapes de mise en place

• Inventorier les applications, les comptes et leurs propriétaires.

• Désigner l'annuaire principal et le relier au logiciel RH pour les arrivées et les départs.

• Brancher le SSO application par application, en commençant par la messagerie.

• Imposer la MFA, puis automatiser la création et la suppression des comptes.

• Revoir les droits à intervalle régulier et garder les journaux de connexion.

IAM, PAM, IGA et CIAM : ce que couvre chaque famille

L'IAM gère l'accès quotidien des salariés. La gestion des accès à privilèges encadre les comptes administrateurs : coffre-fort, sessions enregistrées, accès limités dans le temps. Plusieurs suites IAM en proposent un module : Okta, JumpCloud, authentik Enterprise, Entra ID P2. L'IGA organise la revue des habilitations, que Memority intègre. Le CIAM sert les clients d'une application, rôle d'Auth0 et d'une partie de l'offre Ping Identity.