Enseigner la sécurité des identités et l'IAM : modules, TP et certifications pour 2026

Pourquoi l'IAM est incontournable en 2026

La sécurité des infrastructures ne se résume plus à la protection du périmètre réseau. Les attaquants ont depuis longtemps compris que l'identité représente le vecteur d'entrée le plus rentable dans un système d'information : disposer d'un identifiant valide permet souvent de contourner l'ensemble des défenses périmétriques sans déclencher la moindre alerte.

Les identités comme nouveau périmètre de sécurité

L'adoption massive du cloud, du travail hybride et des architectures sans périmètre fixe a définitivement consacré l'identité comme le nouveau périmètre de sécurité. Les modèles fondés sur la confiance implicite accordée à un utilisateur parce qu'il se trouve sur le réseau interne sont désormais obsolètes. Le paradigme Zero Trust — « ne jamais faire confiance, toujours vérifier » — repose précisément sur la validation systématique de chaque identité, de chaque accès, et du contexte dans lequel ils s'exercent.

Pour un programme de formation en cybersécurité, cette réalité impose d'enseigner la gestion des identités et des accès (IAM) non comme un module optionnel, mais comme une compétence fondamentale transversale, aussi centrale que la sécurité réseau ou le durcissement des systèmes.

NIS2 et DORA : l'IAM comme obligation réglementaire

La directive NIS2 (Network and Information Security 2), applicable dans l'Union européenne depuis octobre 2024, impose aux entités essentielles et importantes de mettre en place des mesures de gestion du risque incluant explicitement la gestion des accès, le contrôle d'accès basé sur les besoins réels et la gestion des comptes à privilèges. L'article 21 de NIS2 cite directement ces éléments parmi les exigences minimales de cybersécurité.

DORA (Digital Operational Resilience Act), applicable au secteur financier depuis janvier 2025, impose des exigences similaires sur la gestion des droits d'accès et la traçabilité des actions sur les systèmes critiques. Les étudiants qui se destinent à des postes en entreprise ou dans des entités régulées seront confrontés à ces obligations dès leurs premières missions professionnelles.

Intégrer l'IAM dans un cursus, c'est donc aussi préparer les futurs professionnels à leur environnement réglementaire.

Les attaques basées sur l'identité : ce que les étudiants doivent comprendre

Les incidents de sécurité liés à la compromission d'identifiants figurent régulièrement parmi les vecteurs d'attaque les plus documentés dans les rapports annuels des éditeurs de cybersécurité. Trois techniques méritent d'être enseignées en mode défensif :

• Credential stuffing : utilisation de listes de couples identifiant/mot de passe issus de fuites de données publiques pour tenter des connexions sur d'autres services. La réutilisation des mots de passe côté utilisateur en fait une attaque efficace à faible coût pour l'attaquant.
• Pass-the-Hash : technique Windows permettant de s'authentifier auprès d'un service en utilisant le condensé (hash) NTLM d'un mot de passe plutôt que le mot de passe en clair. Particulièrement répandue dans les environnements Active Directory où les administrateurs partagent des comptes locaux identiques sur de nombreuses machines.
• Golden Ticket Kerberos : compromission de la clé secrète du compte KRBTGT dans un domaine Active Directory, permettant de forger des tickets d'authentification Kerberos arbitraires et d'accéder à n'importe quelle ressource du domaine sans limitation de durée. Cette attaque est l'une des plus dévastatrices en environnement Windows et illustre à quel point la protection des comptes à privilèges est critique.

Comprendre ces techniques en mode défensif permet aux futurs professionnels de concevoir des architectures IAM robustes, de détecter les signes précurseurs d'une compromission et de répondre efficacement lors d'un incident.

L'IAM dans les offres d'emploi

Les compétences en IAM sont très fréquemment mentionnées dans les offres d'emploi pour les postes de SOC analyst, RSSI, administrateur systèmes et ingénieur sécurité. La maîtrise d'Active Directory, l'administration d'un tenant Azure Entra ID ou la configuration de politiques de Conditional Access figurent parmi les attendus les plus courants dans la grande majorité des équipes de sécurité. Cet ancrage opérationnel justifie d'autant plus leur place centrale dans un cursus.

Les 5 piliers de l'IAM à enseigner

Un curriculum IAM solide doit couvrir cinq dimensions complémentaires. Le tableau suivant propose une vue synthétique utilisable pour construire ou auditer un programme de formation :

Chacun de ces piliers peut faire l'objet d'une ou plusieurs séances de cours, selon le niveau du cursus et le temps disponible dans la maquette pédagogique.

Module 1 : Active Directory et gestion des identités on-prem

Active Directory (AD) reste l'annuaire d'identités le plus déployé dans les entreprises francophones. Malgré la montée en puissance du cloud, la majorité des environnements hybrides conservent un AD on-premise qui sert de référentiel d'identité principal. Enseigner l'IAM sans passer par Active Directory laisserait un angle mort majeur dans la formation.

Pour approfondir cette dimension, le cours sécurité Active Directory propose un cadre structuré pour aborder cette technologie en profondeur, de l'administration quotidienne aux scénarios d'attaque défensifs.

Les objets clés à maîtriser

Avant d'aborder la sécurité, les étudiants doivent être à l'aise avec les briques fondamentales d'Active Directory :

• Utilisateurs et groupes : les comptes d'utilisateurs et leurs appartenances aux groupes de sécurité ou de distribution constituent la base de tout contrôle d'accès.
• Unités d'organisation (OU) : conteneurs logiques permettant de structurer l'annuaire et de déléguer l'administration de manière granulaire.
• Stratégies de groupe (GPO) : mécanisme de configuration centralisée des postes de travail et des comptes utilisateurs. La mauvaise configuration des GPO est une source fréquente de vulnérabilités exploitées lors des audits.
• Relations d'approbation (Trusts) : liens de confiance entre domaines ou forêts Active Directory, qui élargissent le périmètre d'authentification possible et doivent être documentés et surveillés.

TP : arborescence d'OU et délégation d'administration

Un travail pratique efficace pour un premier module AD consiste à demander aux étudiants de :

1. Concevoir une arborescence d'OU reflétant l'organisation d'une entreprise fictive (Direction, RH, IT, Comptabilité, Prestataires).
2. Créer les comptes utilisateurs et groupes associés avec des attributs réalistes.
3. Déléguer les droits d'administration de l'OU « RH » à un compte dédié, en s'assurant que ce compte ne peut agir que sur les objets de sa délégation et non sur l'ensemble du domaine.
4. Vérifier la délégation en se connectant avec le compte délégué et en tentant des actions hors périmètre pour constater le refus.

Ce TP ancre concrètement le principe du moindre privilège — un fondement de tout modèle IAM solide — dans un contexte opérationnel que les étudiants rencontreront en entreprise.

Attaques à démontrer en mode défensif

Deux techniques méritent d'être abordées pour illustrer les conséquences d'une mauvaise configuration IAM :

• Kerberoasting : un attaquant disposant d'un simple compte de domaine peut demander des tickets de service (TGS) pour tous les comptes disposant d'un Service Principal Name (SPN), puis tenter de casser leur mot de passe hors ligne. La parade pédagogique : utiliser des mots de passe longs et aléatoires pour les comptes de service, ou adopter les Group Managed Service Accounts (gMSA) qui gèrent automatiquement la rotation des secrets.
• Pass-the-Hash : en récupérant le hash NTLM d'un compte administrateur local (via des outils comme Mimikatz sur un environnement de labo dédié), un attaquant peut se latéraliser sur d'autres machines partageant le même hash. La parade : activer la protection de LSASS, déployer Windows Defender Credential Guard et ne pas réutiliser les mots de passe d'administrateurs locaux grâce à l'outil LAPS (Local Administrator Password Solution) de Microsoft.

Outils pédagogiques recommandés

BloodHound est un outil d'analyse graphique des chemins d'attaque dans Active Directory. Utilisé en lecture seule sur un environnement AD fictif et isolé, il permet aux étudiants de visualiser comment un attaquant peut progresser depuis un compte sans privilège jusqu'aux comptes Domain Admins. Cette représentation graphique des chemins d'attaque est particulièrement efficace pour rendre concrets des concepts souvent abstraits lorsqu'ils sont présentés uniquement sous forme théorique.

Module 2 : IAM cloud et fédération

L'IAM ne se limite plus aux environnements on-premise. Les organisations adoptent massivement les solutions cloud, et les compétences sur les plateformes IAM cloud sont parmi les plus recherchées par les recruteurs.

Azure Entra ID : concepts fondamentaux pour les étudiants

Microsoft Entra ID (anciennement Azure Active Directory) est le service IAM cloud de Microsoft, utilisé par des millions d'organisations à travers le monde. Trois concepts sont indispensables à couvrir en cours :

• Tenant : l'instance Azure Entra ID d'une organisation, qui regroupe l'ensemble de ses utilisateurs, groupes, appareils et applications enregistrées.
• User Principal Name (UPN) : l'identifiant unique d'un utilisateur dans le tenant, au format utilisateur@domaine.onmicrosoft.com ou sur un domaine personnalisé vérifié.
• Conditional Access : mécanisme de contrôle d'accès conditionnel permettant d'appliquer des politiques différenciées en fonction du contexte de la connexion (localisation géographique, conformité de l'appareil, niveau de risque évalué par l'IA, appartenance à un groupe). C'est l'implémentation concrète et opérationnelle du Zero Trust dans Entra ID.

SSO et SAML : le flux simplifié pour les étudiants

Le SSO (Single Sign-On) permet à un utilisateur de s'authentifier une seule fois pour accéder à plusieurs applications sans ressaisir ses identifiants. SAML 2.0 (Security Assertion Markup Language) est le protocole le plus répandu en entreprise pour le SSO B2B et l'accès aux applications SaaS.

Le flux simplifié à présenter en cours, intelligible y compris pour des profils non purement techniques :

1. L'utilisateur tente d'accéder à une application (Service Provider, SP).
2. Le SP redirige l'utilisateur vers le fournisseur d'identité (Identity Provider, IdP — par exemple Azure Entra ID ou Okta).
3. L'IdP authentifie l'utilisateur (avec MFA si la politique l'exige) et génère une assertion SAML signée cryptographiquement.
4. L'IdP renvoie l'assertion au SP via le navigateur de l'utilisateur ; le SP valide la signature et accorde l'accès.

Ce flux peut être représenté sous forme de diagramme de séquence en cours, puis expérimenté lors d'un TP avec un IdP de test.

OAuth2 et OIDC : distinguer les flows

OAuth2 est un framework d'autorisation (délégation d'accès à une ressource pour le compte d'un utilisateur ou d'une application), tandis qu'OpenID Connect (OIDC) est une couche d'authentification standardisée construite par-dessus OAuth2. Cette distinction est fréquemment source de confusion chez les étudiants et mérite un temps de cours dédié.

Deux flows principaux permettent de couvrir les cas d'usage les plus courants en entreprise :

• Authorization Code Flow : utilisé pour les applications web avec un serveur backend. Le navigateur reçoit un code d'autorisation éphémère, que le serveur échange contre un token d'accès et un token d'identité (ID token) via un canal sécurisé. C'est le flow recommandé pour toute application interagissant avec des utilisateurs humains.
• Client Credentials Flow : utilisé pour les communications machine-à-machine (M2M) sans interaction humaine. L'application s'authentifie directement auprès du serveur d'autorisation avec ses propres identifiants (client_id + client_secret ou certificat) pour obtenir un token d'accès.

TP : application Entra ID sandbox et Conditional Access

Un travail pratique pertinent consiste à utiliser un tenant Azure gratuit (Azure Free Tier ou abonnement étudiant Microsoft) pour :

1. Enregistrer une application dans Entra ID et configurer les autorisations (scopes) nécessaires.
2. Tester le flux Authorization Code Flow avec un client simple (Postman ou un script Python minimaliste utilisant MSAL).
3. Créer une politique de Conditional Access imposant l'authentification multi-facteur (MFA) pour les connexions depuis un pays non autorisé ou un appareil non conforme aux exigences Intune.
4. Vérifier le comportement de la politique depuis un compte de test pour observer le blocage ou l'invite MFA selon le contexte simulé.

Microsoft Learn propose des environnements sandbox gratuits spécifiquement conçus pour ces exercices, sans nécessiter de carte bancaire.

Intégrer MFA et Zero Trust dans le cursus

MFA : comprendre les différentes modalités

L'authentification multi-facteur (MFA) est aujourd'hui considérée comme l'un des contrôles de sécurité les plus efficaces contre la compromission de comptes. Plusieurs technologies coexistent, avec des niveaux de sécurité très variables :

Un point clé à enseigner : les attaques de type MFA fatigue (bombardement répété de notifications push pour pousser l'utilisateur à accepter par erreur ou lassitude) ont conduit plusieurs grandes entreprises à migrer vers des méthodes phishing-resistant, notamment FIDO2. Microsoft, Google et Apple poussent activement vers les Passkeys comme successeur standard du mot de passe.

Zero Trust et IAM : le principe appliqué concrètement

Le Zero Trust n'est pas un produit commercialisable mais un modèle architectural. Son principe fondamental se décline concrètement dans l'IAM de la façon suivante :

• Chaque demande d'accès est évaluée indépendamment, même si l'utilisateur provient du réseau interne de l'entreprise.
• L'authentification est systématiquement enrichie par le contexte : type d'appareil, localisation, heure de connexion, comportement habituel de l'utilisateur.
• Les privilèges sont accordés au strict minimum nécessaire pour accomplir la tâche en cours (principe du moindre privilège).
• Les sessions sont limitées dans le temps et les droits réévalués régulièrement, y compris pour les comptes à privilèges.

Intégration transversale dans le cursus

Il n'est pas nécessaire de créer un module entièrement dédié au MFA ou au Zero Trust. Ces concepts s'intègrent naturellement dans des séances existantes : la configuration d'une politique d'accès VPN conditionnelle lors d'un TP réseau, l'audit des membres des groupes à privilèges lors d'un TP Active Directory, ou la mise en place du Conditional Access lors d'un TP cloud. Cette intégration transversale est pédagogiquement plus efficace qu'une présentation purement théorique, car elle ancre les concepts dans des contextes opérationnels variés.

Ressources et outils pédagogiques

Plusieurs ressources accessibles permettent de construire un module IAM de qualité sans budget important :

• Microsoft Learn : plateforme de formation gratuite proposant des parcours dédiés à Entra ID, au Conditional Access, à la gouvernance des identités et à la préparation de la SC-300. Les labs sandbox Azure permettent de pratiquer sur un tenant réel sans déployer d'infrastructure ni fournir de carte bancaire.
• Hack The Box — machines Active Directory : plusieurs machines et pro labs simulent des environnements AD vulnérables. Utilisés dans un cadre académique encadré, ils permettent d'analyser défensivement les chemins d'attaque et de pratiquer les techniques de détection.
• OWASP Top 10 — A07:2021 Identification and Authentication Failures : cette catégorie recense les vulnérabilités d'authentification les plus communes dans les applications web. Un complément utile pour contextualiser l'IAM côté développement sécurisé et montrer que la problématique déborde largement le périmètre de l'infrastructure.
• Guide de l'hygiène informatique de l'ANSSI : référentiel français accessible et pédagogique, qui consacre plusieurs règles à la gestion des comptes, des privilèges et des mots de passe. Sa légitimité institutionnelle en fait une référence pertinente à citer en cours.
• NIS2 article 21 : le texte officiel de la directive, disponible sur EUR-Lex, détaille les exigences minimales incluant la gestion des accès et des comptes à privilèges. Le citer directement renforce la dimension réglementaire de l'enseignement et aide les étudiants à comprendre pourquoi ces compétences sont exigées dans les appels d'offres et les recrutements.

Certifications qui valident l'IAM

Plusieurs certifications reconnues couvrent l'IAM à des niveaux variés. Ce tableau peut servir de guide d'orientation pour les étudiants qui souhaitent valoriser leurs compétences IAM auprès des employeurs :

Le CISSP est particulièrement pertinent pour les étudiants qui visent des postes de responsable sécurité, d'architecte ou de consultant. Son domaine 5 — Identity and Access Management — est l'un des plus exhaustifs parmi les certifications généralistes de haut niveau : il couvre les modèles de contrôle d'accès (RBAC, ABAC, MAC, DAC), la fédération des identités, la PKI, la biométrie et les principes d'audit.

La SC-300 (Microsoft Identity and Access Administrator) est recommandée pour les étudiants qui se destinent à des environnements Microsoft. Elle valide des compétences très opérationnelles sur Entra ID et se prépare efficacement avec les parcours Microsoft Learn, dont une partie est accessible gratuitement via les labs sandbox.

Positionnement dans la maquette pédagogique

Quand enseigner l'IAM

L'IAM s'appuie sur des prérequis concrets. Il est fortement conseillé de le placer après :

• Un cours sur les systèmes d'exploitation Windows (et idéalement Linux), incluant la gestion des utilisateurs locaux, des permissions de fichiers et des services.
• Un module réseau couvrant au minimum DNS, LDAP, Kerberos et les protocoles d'authentification réseau (RADIUS, NTLM).

L'IAM précède naturellement les modules avancés : le SOC (Security Operations Center) exploite directement les logs IAM pour détecter des comportements suspects sur les comptes ; le pentest s'appuie sur les techniques d'escalade de privilèges liées à l'AD et à la fédération d'identités ; la GRC utilise les rapports d'audit IAM pour documenter la conformité NIS2 ou DORA.

Volume horaire recommandé

Pour un module couvrant les deux volets (on-premise et cloud) de manière opérationnelle, un volume de 15 à 20 heures est recommandé :

• 4 à 5 heures sur Active Directory : concepts fondamentaux et TP arborescence avec délégation.
• 4 à 5 heures sur les attaques AD en mode défensif : Kerberoasting, Pass-the-Hash, analyse BloodHound.
• 3 à 4 heures sur l'IAM cloud : Azure Entra ID, Conditional Access, gouvernance des identités.
• 2 à 3 heures sur les protocoles de fédération : SAML 2.0, OAuth2, OIDC.
• 2 à 3 heures sur le MFA et le Zero Trust : panorama des méthodes, intégration dans les TP.

Ce volume peut être étalé sur plusieurs semaines dans un cursus de formation initiale ou condensé en une semaine intensive dans un bootcamp ou une formation continue.

Liens avec les autres modules

L'IAM ne fonctionne pas en silo. Plusieurs connexions avec d'autres modules enrichissent la compréhension et renforcent la cohérence du cursus :

• Sécurité réseau : les protocoles d'authentification réseau (802.1X, RADIUS, Kerberos over TCP/UDP) illustrent concrètement les flux IAM dans un contexte d'infrastructure physique.
• Réponse à incident : la compromission d'un compte à privilèges est l'un des scénarios les plus fréquents traités par les équipes IR. Former les étudiants à l'IAM en amont facilite la compréhension des schémas d'attaque, des indicateurs de compromission et des mesures de confinement.
• GRC (Gouvernance, Risque, Conformité) : NIS2 et DORA imposent des exigences documentées et auditables sur la gestion des accès. Les étudiants formés à l'IAM peuvent directement contribuer aux audits internes, aux plans de remédiation et à la rédaction des politiques de contrôle d'accès.

Ce qu'il faut retenir

La gestion des identités et des accès (IAM) est aujourd'hui au cœur des stratégies de sécurité, des obligations réglementaires et des attentes du marché de l'emploi. Un cursus cyber complet ne peut plus faire l'impasse sur cette discipline, ni la traiter comme un simple chapitre annexe.

Les points essentiels à retenir pour construire ou améliorer un module IAM :

• L'identité est le nouveau périmètre : enseigner l'IAM, c'est enseigner concrètement le modèle Zero Trust dans sa dimension la plus opérationnelle.
• Les deux volets sont indispensables : Active Directory on-premise et IAM cloud (Azure Entra ID) doivent tous deux être couverts pour coller aux réalités des environnements hybrides en entreprise.
• La pratique prime sur la théorie : les TP sur Active Directory, les labs Entra ID sandbox et l'usage défensif de BloodHound ancrent efficacement les concepts abstraits dans des situations concrètes.
• La dimension réglementaire renforce la pertinence : citer NIS2 article 21 et DORA en cours contextualise l'IAM dans les obligations professionnelles réelles que les étudiants rencontreront dès leur premier poste.
• Les certifications jalonnent le parcours : CompTIA Security+, SC-300 et CISSP offrent des objectifs concrets aux apprenants et des repères reconnus aux recruteurs.

Vous cherchez un intervenant spécialisé pour animer un module IAM, Active Directory ou Zero Trust dans votre établissement ou votre bootcamp ? Cyberteachers met en relation les écoles et les bootcamps avec des experts cybersécurité opérationnels, disponibles pour des interventions ponctuelles ou des modules complets sur mesure.