--- id: CP-205 slug: scim-provisionnement-automatique-departs lang: fr title: SCIM et provisionnement automatique des comptes description: Comment SCIM crée, modifie et désactive les comptes des applications quand vous arrivez, changez de poste ou partez, et ce que vous devez faire. canonical_url: https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « SCIM et provisionnement automatique des comptes », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-028 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/ en: https://startbrain.io/cyberpedia/en/articles/scim-automated-provisioning-offboarding/ de: https://startbrain.io/cyberpedia/de/articles/scim-automatische-bereitstellung-austritte/ es: https://startbrain.io/cyberpedia/es/articles/scim-aprovisionamiento-automatico-bajas/ sources: - "n": 1 title: What is app provisioning in Microsoft Entra ID? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning accessed: "2026-11-03" - "n": 2 title: How Application Provisioning works in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works accessed: "2026-11-03" - "n": 3 title: Known issues for provisioning in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues accessed: "2026-11-03" - "n": 4 title: User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" - "n": 5 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 6 title: Session Management - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html accessed: "2026-11-03" - "n": 7 title: Require Multifactor Authentication | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication accessed: "2026-11-03" --- # SCIM et provisionnement automatique des comptes Dans une entreprise, chaque salarié a des comptes dans de nombreuses applications : messagerie, stockage de fichiers et autres outils. Quand quelqu'un arrive, change de poste ou part, il faut créer, modifier ou fermer ces comptes. Si la fermeture se fait à la main, elle peut être oubliée, et le compte d'une personne partie reste alors ouvert. SCIM (System for Cross-domain Identity Management) est une spécification qui donne aux applications une façon commune de recevoir ces opérations depuis l'annuaire de l'entreprise [1]. Cette fiche explique ce que SCIM automatise, ce qu'il ne couvre pas, et ce que le salarié et son responsable doivent faire pour que le circuit fonctionne. ## En 30 secondes - Où ça arrive : à chaque arrivée, mutation ou départ, dans toutes les applications liées à l'annuaire de l'entreprise. - Ce que veut l'attaquant : utiliser un compte oublié, que personne ne surveille, pour entrer dans les systèmes. - Le réflexe : prévenir à temps l'arrivée, la mutation ou le départ, ne créer aucun compte en dehors du circuit officiel et rendre tous vos accès. - Si c'est déjà fait : si vous avez ouvert un compte hors circuit ou gardé un accès après un changement de poste, signalez-le à l'équipe informatique pour qu'il soit rattaché ou fermé. ## Questions directes ### Qu'est-ce que SCIM, en pratique ? C'est un langage commun entre l'annuaire et les applications. Sans lui, chaque application a ses propres adresses d'accès, sa façon de décrire un utilisateur et son schéma de données. SCIM fournit un schéma d'utilisateur commun pour faire entrer, sortir et circuler les personnes entre les applications [1]. Le service de provisionnement de Microsoft Entra ID se connecte au point d'accès SCIM 2.0 fourni par l'éditeur de l'application pour créer, modifier et supprimer des utilisateurs [2]. ### Qu'est-ce que l'annuaire change pour un départ ? L'annuaire devient la source de vérité. Le provisionnement automatique comprend la création des comptes, mais aussi leur maintien et leur retrait quand le statut ou le rôle change [1]. Il peut désactiver automatiquement les comptes dans les bonnes applications quand les personnes quittent l'équipe ou l'organisation [1]. Il garde aussi à jour les comptes selon les changements de l'annuaire ou du système de ressources humaines [1]. ### Comment cela réduit-il les comptes fantômes ? Parce que la fermeture ne dépend plus de la mémoire de quelqu'un. Microsoft cite parmi les motivations le retrait immédiat des identités des applications SaaS clés au départ d'une personne [1]. Quand une personne sort du périmètre de provisionnement, y compris si elle est retirée de l'application, le service désactive son compte dans l'application cible [2]. Cela suppose toutefois que l'application soit connectée, ce que les pièges ci-dessous détaillent. ### Quel est mon rôle, si tout est automatique ? L'automatisme part de l'annuaire. Si l'annuaire ne sait pas que vous partez ou que vous changez de service, rien ne se déclenche. L'information doit y arriver à temps, et c'est le salarié et son responsable qui la déclenchent. ## Comment ça marche Le service de provisionnement travaille par cycles. Un premier cycle interroge tous les utilisateurs et groupes de la source, puis des cycles incrémentaux ne traitent que ce qui a changé depuis le dernier repère enregistré [2]. Si un utilisateur n'a pas de compte correspondant dans l'application, il est créé. S'il en a un, il est mis à jour [2]. Le départ suit plusieurs cas prévus. Un utilisateur désactivé ou supprimé en « corbeille » dans l'annuaire est désactivé dans l'application cible. Pour une application SCIM, désactiver revient à demander que la propriété « active » vaille faux [2]. Trente jours après la suppression dans l'annuaire, l'utilisateur est supprimé définitivement, et le service envoie alors une demande de suppression à l'application [2]. Un utilisateur dont les groupes ou les droits changent peut aussi sortir du périmètre, ce qui compte comme un départ de l'application [2]. Avec des groupes dynamiques, la rapidité de retrait dépend de la vitesse à laquelle le groupe réévalue ses membres [2]. Tout est enregistré dans les journaux de provisionnement, qui consignent les lectures et écritures faites sur les systèmes source et cible [2]. ## Ce que vous faites - Prévenez à l'avance. Signalez à votre responsable et aux ressources humaines votre arrivée, votre mutation ou votre départ avec la date exacte, car c'est la modification de l'annuaire qui déclenche tout le reste. - Responsable : déclarez les changements de poste comme les départs. Un changement de rôle peut exiger de retirer des accès, pas seulement d'en ajouter [1]. - Ne créez aucun compte en dehors du circuit officiel : pas d'inscription personnelle sur un service avec l'adresse professionnelle, pas de compte ouvert à la main dans l'interface d'administration d'une application sans en informer l'équipe informatique. Un tel compte n'est pas relié à l'annuaire, donc personne ne le fermera automatiquement. - Restituez vos accès avant de partir : badge, clés de sécurité, appareils, et tout accès que vous avez reçu par un autre canal que votre compte habituel. - Activez l'authentification à plusieurs facteurs sur les comptes qui restent ouverts. La CISA classe les clés de sécurité en tête des méthodes et le code par SMS ou courriel en dernier [7]. ## Les pièges ### Application non connectée Une application du catalogue gère soit un provisionnement manuel, soit un provisionnement automatique. En mode manuel, il n'existe pas de connecteur automatique : les comptes se créent à la main, par exemple dans le portail d'administration de l'application ou par un fichier tableur [1]. Pour ces applications, le départ passe par une action humaine. Une application créée à partir d'un simple enregistrement OIDC n'est pas activée pour le provisionnement automatique [3]. ### Changements faits directement dans l'application Le service ignore les modifications faites dans les applications externes et ne les annule pas : il s'appuie sur ce qui change dans l'annuaire [3]. Un compte créé ou modifié localement échappe donc au circuit. Microsoft indique que le provisionnement peut aussi repérer les comptes existants dans une application, y compris locaux ou orphelins [1]. MITRE recommande de retirer les comptes orphelins, par exemple sans propriétaire, lors d'audits réguliers, et de désactiver automatiquement les comptes après une période d'inactivité, par exemple 30 jours [4]. ### Comptes locaux, comptes partagés, mots de passe Le provisionnement des mots de passe n'est pas pris en charge [3]. Certaines applications sur site ne sont pas fédérées avec l'annuaire et exigent des mots de passe locaux [3]. Un compte partagé ou un mot de passe local connu de quelqu'un qui part ne se ferme pas avec le départ de son titulaire : il faut le changer ou le supprimer à la main. ### Délais et erreurs L'intervalle entre deux cycles n'est pas configurable [3]. Quand une erreur empêche de modifier un utilisateur, l'opération est retentée au cycle suivant, et un administrateur doit consulter les journaux pour trouver la cause [2]. Si la plupart des appels échouent, par exemple à cause d'identifiants d'administration invalides, le travail passe en quarantaine, avec des cycles ralentis à un par jour, puis il est désactivé après plus de quatre semaines [2]. Un départ peut donc ne pas être répercuté à temps sans que personne ne s'en aperçoive. ### Jetons et sessions qui survivent Selon MITRE, un attaquant qui contrôle un compte cloud peut créer des identifiants supplémentaires durables pour s'y maintenir, et ces identifiants peuvent contourner des contrôles comme l'authentification à plusieurs facteurs [5]. Les sources citées ici ne disent pas si une session ouverte s'arrête dès la désactivation d'un compte SCIM. Côté application, l'OWASP indique que, lorsqu'une session prend fin, l'application doit l'invalider côté client et côté serveur, et que le côté serveur est le plus important et obligatoire du point de vue de la sécurité [6]. Elle recommande aussi un délai d'inactivité et un délai absolu pour toutes les sessions [6]. Au départ d'un salarié, l'équipe informatique doit donc vérifier les jetons d'accès, les mots de passe d'application et les sessions, en plus du compte lui-même. ## Sources 1. Microsoft, « What is app provisioning in Microsoft Entra ID? ». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning (consulté le 3 novembre 2026) 2. Microsoft, « How Application Provisioning works in Microsoft Entra ID ». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works (consulté le 3 novembre 2026) 3. Microsoft, « Known issues for provisioning in Microsoft Entra ID ». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/mitigations/M1018/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/004/ (consulté le 3 novembre 2026) 6. OWASP, « Session Management - OWASP Cheat Sheet Series ». https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (consulté le 3 novembre 2026) 7. CISA, « Require Multifactor Authentication | CISA ». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.