Cas de transformation CIAM et SSO unifiés

Le défi

Des identifiants multiples sur plusieurs systèmes augmentaient la friction et l’exposition. Les systèmes hérités SEL et Medic émettaient chacun leurs comptes et jetons. Les identifiants étaient réutilisés et partagés. Le support traitait en volume des réinitialisations et des demandes d’accès. La direction voulait une identité unique sécurisée, un point d’entrée unique et une migration garantissant la continuité de service.

Notre approche

Nous avons unifié l’identité externe sur SAP Customer Data Cloud, anciennement Gigya, et positionné ServiceNow comme fournisseur de services principal et point d’entrée public. Les utilisateurs se connectent une fois, choisissent un rôle lié à un dossier, puis poursuivent avec une session sensible au rôle qui embarque l’ID SEL actif. L’accès aux systèmes hérités persiste via des jetons ADLDS dérivés de cet ID jusqu’à la migration de chaque service.

Pourquoi Gigya (SAP Customer Data Cloud)

• Screen‑Sets : Parcours d’inscription et de connexion hébergés et personnalisables, avec accessibilité et localisation intégrées.
• Accès basé sur le risque : Politiques déclenchant une MFA renforcée selon appareil ou pays nouveau, vitesse et signaux de réputation.
• Consentement et préférences : Collecte centralisée avec pistes d’audit et gestion en libre‑service.
• IdentitySync et webhooks : Mises à jour pilotées par événements vers ServiceNow et les annuaires pour une cohérence quasi temps réel.
• Schéma extensible : Profils structurés indexés par des identifiants durables plutôt que par l’email.

Ce que nous avons livré

• CIAM unifié : Un compte par personne, identifié par un email unique et un UID durable.
• SSO transparent : SAP CDC vers ServiceNow via SAML ou OIDC, avec déconnexion et délais d’expiration cohérents.
• Sessions sensibles au rôle : Un sélecteur de rôle dans ServiceNow régénère les jetons et véhicule l’ID SEL actif.
• Continuité pour l’héritage : ADLDS émet des jetons indexés sur l’ID SEL afin que SEL et Medic restent utilisables.
• Libre‑service : Vérification OTP par email, réinitialisation de mot de passe fluide et messages d’erreur clairs.
• Invitations et contacts : Les organisations invitent des collaborateurs ; les contacts reçoivent des ID SEL secondaires (suffixe -XX).
• Gouvernance : Audit centralisé entre l’IdP, ServiceNow et ADLDS, avec ID de corrélation pour la réponse aux incidents.

Architecture, en bref

• IdP : SAP CDC (Gigya) gère identités, politiques et consentements.
• SP principal : ServiceNow héberge le proxy, la connexion, la déconnexion et l’expérience de sélection du rôle.
• Passerelle héritée : ADLDS émet des jetons pour SEL et Medic à partir de l’ID SEL actif.
• Minimisation des données : Les services aval consomment l’ID SEL, pas l’email. Seules les déclarations nécessaires sont émises.
• Observabilité : Résultats d’authentification, défis RBA, changements de rôle et émissions de jetons sont journalisés et suivis dans le temps.

Parcours clés optimisés

1. S’inscrire une fois : Email unique et mot de passe fort. OTP par email. Les inscriptions incomplètes expirent après 72 heures.
2. Lier des dossiers : Utiliser un identifiant SEL hérité, des questions dynamiques ou un code d’invitation. Aucun doublon. Le lien d’un dossier bloqué signale le profil jusqu’à levée du blocage.
3. Choisir un rôle et poursuivre : La sélection du rôle déclenche un rafraîchissement de jeton avec l’ID SEL actif. Le changement de rôle ne requiert pas de réauthentification tant que la session est valide.
4. Parcours spéciaux : Medic mobile utilise ADLDS comme IdP avec un écran ServiceNow simplifié ; les outils comptables utilisent un flux de type code‑appareil avec authentification via navigateur et publication vers SAP BTP.

Sécurité et conformité dès la conception

• Jetons de courte durée. Réémission au changement de rôle. Contrôles d’audience et d’émetteur appliqués à chaque SP.
• MFA progressive sur nouvel appareil ou nouveau pays. Limitation de compte et d’IP en cas d’échecs répétés. Notifications lors de nouvelles localisations.
• Alignement sur la Loi 25 et le RGPD : consentement, limitation des finalités et schémas de minimisation des données dans SAP CDC.
• Playbooks de rotation des clés et certificats. SAML et JWT signés avec publication et bascule des métadonnées.

Envergure et livraison du programme

• Durée : 4 ans. Feuille de route en plusieurs phases. Découverte → Fondations → Extension → Décommissionnement.
• Budget : Programme à huit chiffres. Gouvernance de portefeuille et comité de pilotage trimestriel.
• Équipe : Architectes CIAM, ingénieurs ServiceNow, spécialistes IdP (Gigya), sécurité, données, produit et gestion du changement.
• Modèle de livraison : Vagues agiles avec sprints de durcissement. Basculements blue‑green. Aucune interruption pour les services publics.

Résultats métier

• Une seule connexion pour tous les parcours externes. Moins d’abandon et exécution des tâches plus rapide.
• Charge de support réduite grâce à moins de réinitialisations et à un cycle de vie des comptes mieux maîtrisé.
• Contrôles renforcés avec accès basé sur le risque et revendications au moindre privilège.
• Souplesse de migration : les systèmes hérités continuent de fonctionner pendant la modernisation.

Ce que vous obtenez avec DataSqueeze

• CIAM de bout en bout sur SAP CDC (Gigya) : UX, politiques, schémas, webhooks, IdentitySync, consentement et reporting.
• Intégration ServiceNow : écrans d’entrée hébergés, sélecteur de rôle, cohérence de la déconnexion et prise en charge SAML/OIDC.
• Continuité pour SEL et Medic : passerelle de jetons ADLDS indexée sur l’ID SEL. Pas de bascule « big‑bang ».
• Opérations : tableaux de bord, alertes, runbooks et formation pour les centres de services et les administrateurs.

Temps forts de la feuille de route

Phase	Focus	Exemples
Découverte	Parcours et risques	Modélisation des menaces, inventaire des identités, bases de consentement
Fondations	Noyau CIAM & SSO	Screen‑Sets Gigya, RBA, SAML/OIDC vers ServiceNow, sélecteur de rôle
Extension	Continuité de l’héritage	Passerelle de jetons ADLDS, liaison de dossiers, invitations, Medic mobile
Décommissionnement	Extinction de l’authentification héritée	Alignement des jetons SP, renouvellement des certificats, fusion des comptes SEL

Indicateurs suivis

• Taux d’inscription finalisée et délai jusqu’à la première tâche.
• Taux de succès SSO et taux de défi 2FA par niveau de risque.
• Tickets de support pour 1 000 utilisateurs liés aux accès.
• Latence de changement de rôle et abandon au niveau du sélecteur.

FAQ

Gigya est-il différent de SAP Customer Data Cloud ? Gigya est l’ancienne marque. Aujourd’hui, c’est SAP Customer Data Cloud. Nous utilisons ses Screen‑Sets, l’accès basé sur le risque, le consentement et IdentitySync pour opérer un CIAM à l’échelle.

Qu’en est‑il de la résidence des données ? Nous déployons dans des centres de données régionaux et utilisons les fonctionnalités SAP CDC et des contrôles contractuels pour respecter les exigences de résidence et de conservation.

Les emails hérités comptent‑ils encore ? L’email sert aux notifications et à la connexion. Les services aval utilisent l’ID SEL comme clé durable pour éviter les collisions.

Comment les contacts sont‑ils gérés ? Les organisations invitent des collaborateurs. Nous approvisionnons des ID SEL secondaires avec suffixe et mettons à jour les rôles automatiquement.