Logiciel de gestion des identités et des accès IAM

Fourniture d’une suite logicielle de gestion des identités et des accès, installation, paramétrage, intégration au système d’information, transfert de compétences, formations complémentaires et maintenance logicielle. Une installation on-premise est privilégiée par rapport à une solution SaaS.

Cycle de vie et gouvernance des identités

La solution doit gérer la création, la modification, la suspension et la suppression des comptes à partir des référentiels RH ou du méta-annuaire, avec workflows de validation paramétrables. Elle doit permettre la gestion en masse, via interface graphique ou import CSV, des utilisateurs, groupes, ordinateurs, contacts et unités d’organisation, sans scripts. Sont également attendus la gestion des attributs Active Directory, Exchange et personnalisés, des modèles de comptes, du multi-domaine et une administration déléguée selon les unités d’organisation.

La gouvernance comprend la gestion des rôles, les revues périodiques d’habilitations, la séparation des tâches, les workflows multi-niveaux et la traçabilité des actions. Les fonctions de provisionnement et de déprovisionnement doivent pouvoir être automatisées, planifiées ou déclenchées par des événements tels que l’arrivée, le départ ou la mobilité d’un utilisateur.

Intégrations, sécurité et audit

Les connecteurs doivent couvrir Active Directory, LDAP, applications métiers et SaaS, en s’appuyant sur les API disponibles ou l’accès aux bases Oracle, PostgreSQL et SQL Server. La création de tickets dans EasyVista doit être configurable par courriel ou API REST.

Le périmètre initial prévoit la connexion aux deux logiciels RH (EKSAE RH et ASTRE RH), au méta-annuaire et à trois applications pilotes : une avec connecteur existant, une disposant d’une API de gestion des droits et une intégration à développer avec un éditeur partenaire. Les livrables comprennent la connexion aux annuaires techniques et aux deux tenants Microsoft 365 / Entra ID, ainsi qu’à une application intégrée et une application personnalisée hors catalogue.

La solution doit chiffrer les données en transit et au repos, gérer les secrets de façon sécurisée, journaliser les actions et détecter les comportements inhabituels. Elle doit prendre en charge les exigences RGPD applicables et, le cas échéant, NIS2. Les fonctionnalités de sécurité et d’audit comprennent notamment l’analyse des permissions et comptes inactifs, les alertes par courriel ou SMS, les campagnes de revue d’accès et plus de 200 rapports prêts à l’emploi, planifiables et exportables, avec des actions possibles depuis les rapports.

Fonctionnalités optionnelles

Les options décrites comprennent un portail libre-service sécurisé accessible 24/7 pour la modification d’attributs, la réinitialisation des mots de passe et le déverrouillage des comptes ; un portail SSO multi-protocole (SAML 2.0, OAuth 2.0, OIDC 1.0), avec déconnexion coordonnée et fonctions passwordless ; ainsi qu’un MFA adaptatif. Les méthodes envisagées incluent TOTP, notifications push, SMS et courriel OTP, biométrie, carte à puce et FIDO2/WebAuthn. Les contextes cités incluent les postes Windows/macOS/Linux, le VPN via RADIUS, le libre-service et les applications cloud. La solution doit aussi permettre des règles d’accès conditionnel fondées sur le risque et des fonctions d’enrôlement, de mémorisation d’appareil fiable et de MFA hors ligne.

La stratégie de mots de passe comprend un minimum de 12 caractères, l’interdiction de réutiliser les 10 derniers mots de passe, un filtre contre les mots de passe courants ou compromis, et des notifications d’expiration par courriel 7 et 3 jours avant échéance, ainsi que par SMS et notification mobile.

Installation, formation et maintenance

L’installation couvre les scénarios retenus, testés sur des machines pilotes avant la mise en production par les équipes de la Direction du Numérique, avec accompagnement si nécessaire. Le transfert de compétences concerne les administrateurs systèmes et les équipes de l’e-transformation ; des journées supplémentaires de formation et de paramétrage sont prévues au bordereau.

La maintenance comprend les corrections d’anomalies reproductibles et de failles CVSS supérieures à 5, les adaptations aux évolutions des systèmes d’exploitation, logiciels de base et SGBD, les évolutions réglementaires et fonctionnelles, ainsi que la maintenance préventive, avec un audit de fonctionnement pouvant être réalisé une fois par an. Un rapport d’intervention décrit la méthodologie, les tests et leurs résultats.

Les délais minimaux de rétablissement annoncés sont d’un jour ouvré pour une solution de contournement en cas d’incident bloquant, de cinq jours ouvrés pour sa correction (à ramener à 24 h suivant les incidences techniques ou financières) et de dix jours ouvrés pour un incident non bloquant. Les incidents ne sont clôturés qu’après validation de la collectivité. La télé-intervention requiert l’accord du correspondant technique, utilise l’outil de la collectivité et fait l’objet d’une information à la fin de l’intervention ; en cas d’échec à distance, l’intervention sur site est à la charge du titulaire. Le support téléphonique est joignable les jours ouvrés, du lundi au vendredi de 8 h 30 à 18 h ; l’assistance utilisateurs est prévue sans limite de jours. Chaque incident et chaque intervention donnent lieu à un compte rendu ou une fiche de suivi.

Environnement technique et livrables

Le contexte comprend Active Directory avec trois domaines : administratif (3 400 comptes utilisateurs, dont environ 2 500 utilisateurs nommés), groupes scolaires (1 200 utilisateurs) et visiteurs (200 utilisateurs). Les domaines sont synchronisés vers un tenant Microsoft 365 / Entra ID ; un tenant éducation est également utilisé sans synchronisation. Les deux logiciels RH s’appuient sur Oracle 19C, avec webservices, environnements de test et de production, exports et fichiers de correspondance. Le méta-annuaire interne expose des API REST et des flux JSON.

Les serveurs sont hébergés dans une salle sécurisée de la collectivité. L’environnement existant comprend VMware vSphere 8.0.3, un PCA avec deux salles actives-actives et des sauvegardes centralisées Veeam quotidiennes. Les livrables attendus comprennent la plateforme opérationnelle, les connexions aux sources RH, au méta-annuaire, aux annuaires et aux applications prévues, ainsi que la documentation technique d’architecture, d’administration et de maintenance et un plan de déploiement détaillé.