SCIM

En une phrase

SCIM est un standard qui permet à un système de gestion des identités de créer, mettre à jour et désactiver des comptes utilisateurs dans d’autres applications.

Une image pour comprendre

Dans un immeuble, l’accueil prépare les badges des arrivants. Il les adapte quand une personne change d’équipe, puis les désactive à son départ. SCIM permet d’automatiser ce travail pour les comptes des logiciels, à partir des informations du système central de l’entreprise.

Pourquoi ça compte

Un salarié arrive lundi. Il lui faut un compte dans l’outil de gestion de projet, un autre dans le support client. À son départ, quelqu’un devra repasser dans chacun pour retirer ses accès. Un oubli peut laisser un compte utilisable.

SCIM signifie System for Cross-domain Identity Management. Il donne aux logiciels un langage commun pour gérer ces comptes. Leur création et leur préparation s’appellent le provisionnement. Leur désactivation ou leur retrait, le déprovisionnement.

La RFC 7643 décrit les utilisateurs et les groupes. La RFC 7644 définit les demandes pour les consulter ou les modifier. Ces documents de référence sont issus de l’IETF, qui élabore de nombreux standards d’Internet.

Exemple concret

Prenons Léa, un personnage fictif, dans le fonctionnement documenté par Microsoft Entra ID, un service de gestion des identités :

1. Elle arrive. L’administrateur lui attribue une application. Si le provisionnement SCIM est configuré, Entra cherche un compte correspondant et le crée s’il manque.
2. Son profil change. Les informations configurées pour être synchronisées, comme son nom, sont mises à jour dans l’application.
3. Elle part. La désactivation de son compte central peut entraîner celle du compte applicatif, selon les règles configurées.

Côté application, ces demandes arrivent sur une API, une interface qui permet à deux logiciels de communiquer. L’entreprise configure quelles personnes sont concernées et quelles informations transmettre.

Attention

• SCIM et SSO ont des rôles complémentaires. Le SSO, ou authentification unique, permet de se connecter à plusieurs outils avec son identité d’entreprise. SCIM gère les comptes, y compris avant leur première connexion. L’application applique ensuite les droits : lire un projet, le modifier, administrer l’espace.
• Désactiver et effacer sont deux actions différentes. Le champ active peut être mis à false pour signaler un compte inactif. La RFC précise que son interprétation dépend du logiciel. Cela ne signifie pas que tous les documents créés par la personne sont supprimés.
• Le retrait d’accès doit être vérifié. Microsoft documente des cycles de synchronisation et des erreurs possibles. Les sessions déjà ouvertes doivent aussi être gérées par l’application : Entra ne peut pas révoquer directement le cookie qu’elle a émis.

À retenir pour la machine à café

Le SSO te permet de te connecter. SCIM automatise la gestion de ton compte, de sa création à sa désactivation.

Pour aller plus loin

• RFC 7643 : les données des utilisateurs et des groupes.
• RFC 7644 : les échanges entre logiciels.
• Le provisionnement chez Microsoft : un fonctionnement concret, avec ses règles et ses limites.