Administration
Utilisateurs, rôles et permissions, unités organisationnelles, fournisseurs d'identité et authentification.
Utilisateurs
Les utilisateurs sont les identités qui se connectent à un tenant. Chaque utilisateur porte un état d'authentification complet et peut se voir attribuer des rôles et des unités organisationnelles.
| Aspect | Détail |
|---|---|
| Mot de passe | Protégé par un hachage de mot de passe robuste et conforme aux standards du secteur |
| Deux facteurs | MFA TOTP avec codes de récupération |
| Verrouillage | Compteur d'échecs de connexion avec verrouillage automatique et déblocage temporisé |
| Approbation | Les utilisateurs en attente peuvent être approuvés / rejetés avant activation |
| Attribution | Rôles et unités organisationnelles attribués à la création ou ultérieurement |
Les actions administratives incluent approuver, rejeter, verrouiller / déverrouiller, suspendre / réactiver, réinitialiser le mot de passe, gérer le TOTP, et examiner ou révoquer les sessions actives et les journaux de connexion.
Rôles et permissions
L'autorisation est basée sur les rôles (RBAC). Un rôle est un ensemble nommé de permissions ; les utilisateurs se voient attribuer des rôles, et les permissions effectives de chaque utilisateur sont l'ensemble combiné développé à partir de tous ses rôles.
Permissions hiérarchiques
Les permissions sont organisées en hiérarchie, de sorte qu'accorder une permission large (par exemple « gérer les clés ») implique automatiquement les actions plus spécifiques qui en découlent.
Périmètre host vs tenant
Chaque permission est limitée au host, à un tenant, ou aux deux, de sorte que les actions réservées au host n'apparaissent jamais dans un tenant — un fondement pour la séparation des tâches.
Rôles intégrés & par défaut
Les rôles intégrés ne peuvent pas être supprimés et restent alignés avec l'ensemble actuel de capacités ; un rôle peut être marqué par défaut afin que les nouveaux utilisateurs le reçoivent automatiquement.
Les permissions sont regroupées par domaine — Administration (utilisateurs, rôles, paramètres), Opérations (les capacités cryptographiques telles que la gestion des clés, les coffres, la PKI et le PQC), Host, et des domaines transverses comme les politiques d'accès, les fournisseurs d'identité, les notifications et la facturation. Voir Fonctionnalités pour savoir comment les capacités que ces permissions régissent sont activées par édition.
La plateforme dispose d'un super-administrateur host dédié. Son autorité est gérée séparément des rôles de tenant ordinaires (voir Host).
Unités organisationnelles
Les unités organisationnelles (OU) ajoutent une seconde couche de périmétrage à l'intérieur d'un tenant. Elles forment une arborescence qui reflète les équipes ou les départements, et des ressources comme les apps peuvent être limitées à une OU spécifique (ou laissées visibles pour tout le tenant). Les rôles peuvent être attribués au niveau de l'OU, et l'appartenance est gérée par OU.
Fournisseurs d'identité et SSO
Les fournisseurs d'identité externes permettent aux utilisateurs de se connecter avec des identifiants d'entreprise. Les fournisseurs sont configurés avec leurs identifiants clients, leurs URL d'autorité/métadonnées, leurs scopes et leurs mappages de revendications, et peuvent auto-provisionner les utilisateurs dans des rôles par défaut.
| Fournisseur | Statut |
|---|---|
| Azure AD / Entra ID | Pris en charge |
| Okta | Pris en charge |
| Keycloak | Pris en charge |
Le single sign-on est régi par les droits d'accès du fournisseur d'identité : le fournisseur doit être activé pour l'édition du tenant — voir Fonctionnalités.
Mécanismes d'authentification
| Mécanisme | Détail |
|---|---|
| Mot de passe | Hachage de mot de passe robuste et conforme aux standards du secteur, avec une politique de mot de passe configurable (voir les paramètres Host) |
| MFA TOTP | Mots de passe à usage unique basés sur le temps avec codes de récupération |
| WebAuthn / FIDO2 | Passkeys, clés de sécurité et Windows Hello |
| SSO externe | Azure AD / Okta / Keycloak via le module fournisseur d'identité |
Les sessions peuvent être invalidées lors d'un changement de mot de passe, d'une révocation ou d'une déconnexion, de sorte que l'accès peut être coupé immédiatement si nécessaire.
Politiques d'accès (ABAC)
Au-delà du RBAC, l'administration inclut un moteur de politiques d'accès basé sur les attributs (ABAC) qui régit les opérations cryptographiques à l'exécution par utilisateur, IP, localisation, heure et groupe. Ce modèle est documenté intégralement sur la page Politiques d'accès.
Référence API
L'administration expose des opérations de gestion pour les utilisateurs, les rôles, les unités organisationnelles, les fournisseurs d'identité, les politiques d'accès et l'usurpation d'identité, chacune régie par les permissions d'administration correspondantes.