Options SSO pour les plateformes d’apprentissage

Choisissez le SSO en fonction de la sortie, pas seulement de la connexion

La plupart des décisions SSO se focalisent sur la connexion et oublient les deux moments qui provoquent vraiment les incidents : attribuer le bon rôle à une personne et lui retirer proprement ses accès quand elle part. La connexion est la partie facile. Si votre histoire SSO s’arrête à « les utilisateurs peuvent se connecter », elle n’est racontée qu’à moitié.

Pour une plateforme d’apprentissage, le SSO repose généralement sur deux protocoles de connexion et un protocole de comptes. SAML et OIDC répondent à « qui est cette personne et peut-elle se connecter ? ». SCIM répond à « créer, mettre à jour et désactiver le compte ». Les équipes choisissent soigneusement le protocole de connexion puis bricolent le provisionnement à la main. C’est ainsi qu’un ancien salarié garde l’accès aux cours pendant trois mois.

Les trois questions qui tranchent

• Provisionnement : comment le compte est-il créé ? Le provisionnement juste-à-temps crée le compte à la première connexion : c’est simple, mais peu détaillé. SCIM synchronise à l’avance les comptes et les attributs depuis le fournisseur d’identité, rôles compris. Si la précision des rôles compte, SCIM justifie sa mise en place. (SCIM est défini par la RFC 7644)
• Reprise : que se passe-t-il si le SSO tombe ou si un utilisateur est bloqué ? Il faut un accès de secours pour les administrateurs, sans fragiliser tout le modèle. Décidez-le avant le lancement, pas pendant une panne.
• Déprovisionnement : comment l’accès prend-il fin ? C’est le point le plus souvent oublié. Quand quelqu’un part, ses accès doivent disparaître automatiquement, partout. Le départ géré à la main est la raison pour laquelle d’anciens employés consultent encore des dossiers de formation qu’on croyait fermés.

Le compromis honnête

SAML a fait ses preuves et les équipes IT d’entreprise le connaissent très bien ; il reste verbeux et daté. OIDC est plus propre, plus simple à intégrer et devient le choix par défaut pour les nouveaux projets. Aucun n’est meilleur dans l’absolu : choisissez celui que le fournisseur d’identité de vos utilisateurs maîtrise déjà. SCIM demande davantage de travail au départ, et je le recommande tout de même pour toute plateforme où un mauvais rôle ou un compte qui persiste représente un risque réel, donc presque toutes.

Pour l’identité transmise au lancement des outils LTI, consultez LTI 1.3 Advantage expliqué. Pour ce que ces mécanismes protègent, lisez la liste de sécurité des données étudiantes. Déployer une formation auprès d’équipes et de rôles variés est précisément l’endroit où le SSO et le provisionnement deviennent indispensables : c’est le cœur du développement de plateformes de formation en entreprise.