SCIM : créer et retirer les comptes automatiquement

SCIM (System for Cross-domain Identity Management) est un standard qui permet à votre annuaire d'entreprise de créer, mettre à jour et désactiver automatiquement les comptes des utilisateurs dans une application, par exemple un outil d'IA. Quand un salarié arrive, son compte apparaît ; quand il change d'équipe, ses droits suivent ; quand il part, son compte est désactivé, sans action manuelle dans l'outil. C'est le complément naturel de l'authentification unique (SSO), qui gère la connexion mais pas l'existence du compte.

Le standard

Le protocole est décrit par la RFC 7644 de l'IETF, publiée en septembre 2015, au statut de norme proposée. Son résumé le présente comme un protocole HTTP pour gérer les identités entre plusieurs domaines, par exemple entre une entreprise et un fournisseur cloud, avec un schéma d'utilisateur commun, un modèle d'extension et un protocole de service.

L'application expose quelques points d'accès normalisés :

PUT remplace les attributs d'une ressource et ne sert jamais à la créer ; PATCH (mise à jour partielle) est facultatif mais recommandé par la RFC.

Pourquoi un standard

La documentation de Microsoft Entra ID explique le problème : chaque application exposait ses propres API d'utilisateurs, avec des chemins, des méthodes et des schémas un peu différents, pour faire partout la même chose. SCIM fournit un schéma commun. Microsoft le décrit comme le standard de fait de l'approvisionnement et ajoute que, combiné à SAML ou OIDC pour la connexion, il donne une gestion des accès entièrement fondée sur des standards.

Parmi les bénéfices listés par Microsoft : créer les comptes à l'arrivée, désactiver les comptes au départ, synchroniser les changements, approvisionner les groupes, retrouver les comptes locaux ou orphelins, et retirer immédiatement l'accès aux applications clés d'une personne qui quitte l'organisation.

Ce que cela change pour un outil d'IA

Un outil d'IA connecté à vos documents ou à votre CRM est un accès à protéger comme les autres. Le risque concret, sans SCIM : un ancien salarié dont le compte existe toujours dans l'outil. L'exemple de Claude illustre la différence entre les modes :

Chez Claude, SCIM est réservé aux organisations Enterprise et Console (sous conditions), pas à l'offre Team. Vérifiez ce point chez tout éditeur avant de choisir une formule : c'est souvent une fonction des offres les plus élevées.

Les pièges courants

• Le retrait massif. Avec SCIM, une personne non affectée à l'application dans l'annuaire est retirée. La documentation de Claude demande d'affecter tous les utilisateurs avant d'enregistrer la configuration.
• Les groupes mal conçus. Créez dans l'annuaire des groupes qui correspondent aux rôles de l'outil (administrateurs, utilisateurs, types de siège), puis associez-les.
• Les attributs divergents. L'adresse utilisée pour le SSO et celle envoyée par SCIM doivent désigner le même utilisateur ; sinon, la personne se retrouve avec deux comptes ou aucun.
• L'application sans SCIM. Microsoft distingue les applications à approvisionnement automatique et celles à approvisionnement manuel (portail d'administration, fichier à téléverser). Pour ces dernières, prévoyez une procédure de départ écrite.

Côté Microsoft Entra ID

Entra ID propose des connecteurs d'approvisionnement préintégrés pour de nombreuses applications SaaS de sa galerie, qui utilisent en général des API SCIM 2.0, et une prise en charge générique de toute application qui implémente SCIM 2.0. Il sait aussi approvisionner des applications internes par LDAP, SQL ou services web. Le mode d'approvisionnement d'une application est visible dans l'onglet « Provisioning » une fois l'application ajoutée aux applications d'entreprise.