Cyberpediapar Brain
FRDEEN

SCIM et provisionnement automatique des comptes

Comment SCIM crée, modifie et désactive les comptes des applications quand vous arrivez, changez de poste ou partez, et ce que vous devez faire.

En 30 secondes

Où ça arrive
À chaque arrivée, mutation ou départ, dans toutes les applications liées à l'annuaire de l'entreprise.
Ce que veut l'attaquant
Utiliser un compte oublié, que personne ne surveille, pour entrer dans les systèmes.
Le réflexe
Prévenir à temps l'arrivée, la mutation ou le départ, ne créer aucun compte en dehors du circuit officiel et rendre tous vos accès.
Si c'est déjà fait
Si vous avez ouvert un compte hors circuit ou gardé un accès après un changement de poste, signalez-le à l'équipe informatique pour qu'il soit rattaché ou fermé.

De quoi parle-t-on

Dans une entreprise, chaque salarié a des comptes dans de nombreuses applications : messagerie, stockage de fichiers et autres outils. Quand quelqu'un arrive, change de poste ou part, il faut créer, modifier ou fermer ces comptes. Si la fermeture se fait à la main, elle peut être oubliée, et le compte d'une personne partie reste alors ouvert.

SCIM (System for Cross-domain Identity Management) est une spécification qui donne aux applications une façon commune de recevoir ces opérations depuis l'annuaire de l'entreprise1. Cette fiche explique ce que SCIM automatise, ce qu'il ne couvre pas, et ce que le salarié et son responsable doivent faire pour que le circuit fonctionne.

Questions directes

Qu'est-ce que SCIM, en pratique ?

C'est un langage commun entre l'annuaire et les applications. Sans lui, chaque application a ses propres adresses d'accès, sa façon de décrire un utilisateur et son schéma de données. SCIM fournit un schéma d'utilisateur commun pour faire entrer, sortir et circuler les personnes entre les applications1. Le service de provisionnement de Microsoft Entra ID se connecte au point d'accès SCIM 2.0 fourni par l'éditeur de l'application pour créer, modifier et supprimer des utilisateurs2.

Qu'est-ce que l'annuaire change pour un départ ?

L'annuaire devient la source de vérité. Le provisionnement automatique comprend la création des comptes, mais aussi leur maintien et leur retrait quand le statut ou le rôle change1. Il peut désactiver automatiquement les comptes dans les bonnes applications quand les personnes quittent l'équipe ou l'organisation1. Il garde aussi à jour les comptes selon les changements de l'annuaire ou du système de ressources humaines1.

Comment cela réduit-il les comptes fantômes ?

Parce que la fermeture ne dépend plus de la mémoire de quelqu'un. Microsoft cite parmi les motivations le retrait immédiat des identités des applications SaaS clés au départ d'une personne1. Quand une personne sort du périmètre de provisionnement, y compris si elle est retirée de l'application, le service désactive son compte dans l'application cible2. Cela suppose toutefois que l'application soit connectée, ce que les pièges ci-dessous détaillent.

Quel est mon rôle, si tout est automatique ?

L'automatisme part de l'annuaire. Si l'annuaire ne sait pas que vous partez ou que vous changez de service, rien ne se déclenche. L'information doit y arriver à temps, et c'est le salarié et son responsable qui la déclenchent.

1Comment ça marche1 min

Le service de provisionnement travaille par cycles. Un premier cycle interroge tous les utilisateurs et groupes de la source, puis des cycles incrémentaux ne traitent que ce qui a changé depuis le dernier repère enregistré2. Si un utilisateur n'a pas de compte correspondant dans l'application, il est créé. S'il en a un, il est mis à jour2.

Le départ suit plusieurs cas prévus. Un utilisateur désactivé ou supprimé en « corbeille » dans l'annuaire est désactivé dans l'application cible. Pour une application SCIM, désactiver revient à demander que la propriété « active » vaille faux2. Trente jours après la suppression dans l'annuaire, l'utilisateur est supprimé définitivement, et le service envoie alors une demande de suppression à l'application2. Un utilisateur dont les groupes ou les droits changent peut aussi sortir du périmètre, ce qui compte comme un départ de l'application2. Avec des groupes dynamiques, la rapidité de retrait dépend de la vitesse à laquelle le groupe réévalue ses membres2.

Tout est enregistré dans les journaux de provisionnement, qui consignent les lectures et écritures faites sur les systèmes source et cible2.

2Ce que vous faites1 min
  • Prévenez à l'avance. Signalez à votre responsable et aux ressources humaines votre arrivée, votre mutation ou votre départ avec la date exacte, car c'est la modification de l'annuaire qui déclenche tout le reste.
  • Responsable : déclarez les changements de poste comme les départs. Un changement de rôle peut exiger de retirer des accès, pas seulement d'en ajouter1.
  • Ne créez aucun compte en dehors du circuit officiel : pas d'inscription personnelle sur un service avec l'adresse professionnelle, pas de compte ouvert à la main dans l'interface d'administration d'une application sans en informer l'équipe informatique. Un tel compte n'est pas relié à l'annuaire, donc personne ne le fermera automatiquement.
  • Restituez vos accès avant de partir : badge, clés de sécurité, appareils, et tout accès que vous avez reçu par un autre canal que votre compte habituel.
  • Activez l'authentification à plusieurs facteurs sur les comptes qui restent ouverts. La CISA classe les clés de sécurité en tête des méthodes et le code par SMS ou courriel en dernier7.
3Les pièges2 min

Application non connectée

Une application du catalogue gère soit un provisionnement manuel, soit un provisionnement automatique. En mode manuel, il n'existe pas de connecteur automatique : les comptes se créent à la main, par exemple dans le portail d'administration de l'application ou par un fichier tableur1. Pour ces applications, le départ passe par une action humaine. Une application créée à partir d'un simple enregistrement OIDC n'est pas activée pour le provisionnement automatique3.

Changements faits directement dans l'application

Le service ignore les modifications faites dans les applications externes et ne les annule pas : il s'appuie sur ce qui change dans l'annuaire3. Un compte créé ou modifié localement échappe donc au circuit. Microsoft indique que le provisionnement peut aussi repérer les comptes existants dans une application, y compris locaux ou orphelins1. MITRE recommande de retirer les comptes orphelins, par exemple sans propriétaire, lors d'audits réguliers, et de désactiver automatiquement les comptes après une période d'inactivité, par exemple 30 jours4.

Comptes locaux, comptes partagés, mots de passe

Le provisionnement des mots de passe n'est pas pris en charge3. Certaines applications sur site ne sont pas fédérées avec l'annuaire et exigent des mots de passe locaux3. Un compte partagé ou un mot de passe local connu de quelqu'un qui part ne se ferme pas avec le départ de son titulaire : il faut le changer ou le supprimer à la main.

Délais et erreurs

L'intervalle entre deux cycles n'est pas configurable3. Quand une erreur empêche de modifier un utilisateur, l'opération est retentée au cycle suivant, et un administrateur doit consulter les journaux pour trouver la cause2. Si la plupart des appels échouent, par exemple à cause d'identifiants d'administration invalides, le travail passe en quarantaine, avec des cycles ralentis à un par jour, puis il est désactivé après plus de quatre semaines2. Un départ peut donc ne pas être répercuté à temps sans que personne ne s'en aperçoive.

Jetons et sessions qui survivent

Selon MITRE, un attaquant qui contrôle un compte cloud peut créer des identifiants supplémentaires durables pour s'y maintenir, et ces identifiants peuvent contourner des contrôles comme l'authentification à plusieurs facteurs5. Les sources citées ici ne disent pas si une session ouverte s'arrête dès la désactivation d'un compte SCIM. Côté application, l'OWASP indique que, lorsqu'une session prend fin, l'application doit l'invalider côté client et côté serveur, et que le côté serveur est le plus important et obligatoire du point de vue de la sécurité6. Elle recommande aussi un délai d'inactivité et un délai absolu pour toutes les sessions6. Au départ d'un salarié, l'équipe informatique doit donc vérifier les jetons d'accès, les mots de passe d'application et les sessions, en plus du compte lui-même.

Fiche

Identifiant
CP-205
Aile
3. Protocoles et défense
Compétence Brain
Contrôler les accès (control_access)
Réflexe Brain
cr-028
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
7 sources vérifiées le 3 novembre 2026
Sources7 sources
  1. Microsoft, « What is app provisioning in Microsoft Entra ID? ». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning (consulté le 3 novembre 2026)
  2. Microsoft, « How Application Provisioning works in Microsoft Entra ID ». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works (consulté le 3 novembre 2026)
  3. Microsoft, « Known issues for provisioning in Microsoft Entra ID ». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/mitigations/M1018/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/004/ (consulté le 3 novembre 2026)
  6. OWASP, « Session Management - OWASP Cheat Sheet Series ». https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (consulté le 3 novembre 2026)
  7. CISA, « Require Multifactor Authentication | CISA ». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (consulté le 3 novembre 2026)

Citer cet article

Brain, « SCIM et provisionnement automatique des comptes », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/

BibTeX 
@misc{brain_cp205_fr_2026,
  author = {Brain},
  title = {SCIM et provisionnement automatique des comptes},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0