Entra ID

L'éditeur est Microsoft, dont le siège social se situe à Redmond (États-Unis). À ce titre, Microsoft est intégralement soumis aux lois extraterritoriales américaines (Cloud Act, FISA Section 702), ce qui l'oblige, sur injonction judiciaire ou de renseignement, à fournir des données y compris si elles sont stockées en Europe, sans garanties de protection équivalentes au droit européen.

Bien que Microsoft propose la localisation des données en Europe et ait déployé la Microsoft EU Data Boundary pour garantir que le traitement et le stockage des données d'Entra ID restent dans l'UE/AELE, l'hébergement est assuré par un hyperscaler non souverain (Microsoft Azure). La solution n'est pas qualifiée SecNumCloud en France et ne protège pas contre les saisies juridiques extraterritoriales.

Les données d'Entra ID sont chiffrées au repos et en transit. Cependant, s'agissant d'un service de gestion d'identités intégré (SaaS), les clés de chiffrement de l'annuaire principal sont générées, détenues et gérées par Microsoft. La confidentialité repose principalement sur un engagement contractuel.

Microsoft dispose d'un cadre de conformité. Il intègre le RGPD, l'ex-Data Privacy Framework, et propose des outils de surveillance active de la conformité (Microsoft Purview / Compliance Manager). Les équipes de Microsoft suivent les évolutions réglementaires mondiales et fournissent des rapports détaillés de conformité tiers (SOC, ISO 27001, etc.).

Le service Entra ID peut être opéré au sein de centres de données situés en Europe par les équipes de Microsoft (et sa filiale irlandaise). Néanmoins, ces entités restent soumises aux directives directes de la maison mère états-unienne, elle-même assujettie à l'extraterritorialité du droit.

Microsoft est une entreprise privée multinationale à but lucratif, cotée au NASDAQ (MSFT). Sa priorité est la création de valeur et la rentabilité financière pour ses actionnaires institutionnels et privés.

Microsoft maintient une feuille de route publique et actualisée (Microsoft 365 Roadmap), et propose des portails d'écoute (comme Microsoft Entra Feedback Forum via l'outil Product Feedback). Les utilisateur·rices peuvent proposer des fonctionnalités et voter, mais l'arbitrage final et les priorités stratégiques restent fermés et exclusivement aux mains de l'éditeur.

Le capital de Microsoft est majoritairement détenu par des fonds d'investissement et des institutions financières basés hors de l'Union européenne.

La gouvernance d'Entra ID est opaque et entièrement verticale. Le développement, l'architecture et l'abandon potentiel de certaines fonctionnalités sont pilotés exclusivement par Microsoft. Il n'existe aucune structure communautaire ou de consortium externe ayant un droit de veto ou de co-direction sur le produit.

Microsoft détient un monopole sur le développement du cœur d'Entra ID. Les mises à jour et le code source de l'infrastructure cloud d'identité sont exclusivement produits par Microsoft. Aucune contribution externe au cœur du service n'est possible.

L'import et l'export des données s'appuient sur des formats ouverts, structurés et standardisés, notamment via des payloads JSON pour la majorité des requêtes, ou des exports de rapports au format CSV. Toutefois, certaines structures d'objets ou configurations de politiques d'accès (comme le Conditional Access) restent spécifiques au schéma de Microsoft.

L'API Microsoft Graph, qui est une API REST, est robuste et bien documentée. Elle couvre l'intégralité des besoins de gestion des utilisateurs, des groupes, des applications et des métadonnées de sécurité, permettant une intégration et une extraction industrielles des données.

Bien que ce soit un produit Microsoft, Entra ID est agnostique vis-à-vis des environnements de destination. L'authentification utilise des protocoles standard universels (OIDC, OAuth 2.0, SAML 2.0, WS-Fed). Les utilisateur·rices et administrateur·rices peuvent interagir avec le service depuis n'importe quel système d'exploitation via un navigateur web, des applications mobiles multi-plateformes (Microsoft Authenticator).

Il existe des connecteurs pour synchroniser et importer l'existant depuis un Active Directory sur site (via Entra Cloud Sync / Connect) ainsi que des procédures documentées pour ingérer des fichiers ou se connecter à des SIRH tierces. Néanmoins, migrer depuis une solution IAM cloud concurrente (Okta, Ping Identity) nécessite des scripts de conversion d'API sur mesure pour recréer les relations complexes et les politiques d'accès.

L'extraction des données brutes (utilisateurs, logs, configurations) est réalisable par l'API Graph ou par des scripts PowerShell d'exportation. Cependant, la réversibilité fonctionnelle est complexe et chronophage : les politiques de sécurité (Accès Conditionnel) et les configurations d'authentification MFA ne peuvent pas être exportées pour être injectées directement dans une autre solution concurrente ; elles doivent être rebâties.

Il n'y a pas de possibilité d'ajouter ou de personnaliser les modules.

Le code source d'Entra ID est propriétaire et n'est pas accessible au public.

La solution est sous licence commerciale, propriétaire et fermée (SaaS). L'usage est conditionné au paiement de redevances par utilisateur·rice/mois. L'organisation dépend entièrement de l'éditeur pour le maintien opérationnel de la solution.

Le cycle de développement d'Entra ID est entièrement privé et interne à Microsoft. Seuls des cabinets d'audit tiers mandatés par Microsoft évaluent ponctuellement la sécurité (rapports SOC), mais l'utilisateur·rice final·e n'a aucune visibilité sur les correctifs en cours de préparation avant leur déploiement en production.

C'est un modèle SaaS basé sur des abonnements par utilisateur·rice. Microsoft a un historique documenté de hausses tarifaires unilatérales. Les frais de sortie de données ne s'appliquent pas directement sur l'identité, mais la captivité technique induit des coûts de migration élevés si l'on souhaite quitter l'écosystème.

Si le coût direct des licences est prédictible à court terme via la grille tarifaire, la modélisation autonome du TCO réel à long terme reste complexe. Les coûts indirects rendent l'estimation budgétaire globale sujette à des variations.

Le marché des prestataires (ESN, intégrateurs certifiés Microsoft) est large et concurrentiel. N'importe quelle entreprise peut changer de partenaire pour le déploiement ou le support de niveau 1 et 2. En revanche, pour la maintenance corrective de bas niveau (bugs de la plateforme cloud, pannes d'authentification), l'accès au support officiel de l'éditeur Microsoft reste un passage obligatoire.

Microsoft propose une bonne base documentaire. Elle couvre les architectures, les API et l'administration.

Les compétences sur Entra ID / Azure AD sont répandues. Il existe tout un parcours de professionnalisation, de certifications et d'ESN.

Le portail d'administration est moderne, fonctionnel. Un·e administrateur·rice système y retrouve rapidement ses marques. Quelques ajustements d'accessibilité sont présents, mais l'arborescence des menus d'administration est souvent réorganisée, ce qui peut s'avérer déroutant.

Le rythme de publication des correctifs de sécurité et des nouvelles fonctionnalités est cyclique. Néanmoins, le projet étant intégralement détenu par Microsoft, le projet ne dispose pas d'une gouvernance décentralisée qui assurerait sa survie si l'éditeur décidait de restructurer son offre.

Le modèle économique repose sur de nombreux clients et entreprises à travers le monde, assurant une stabilité financière. Elle n'obtient pas la note de 5 car le flux financier alimente une seule et unique entité privée (Microsoft) plutôt qu'un écosystème distribué indépendant ou une fondation.

Microsoft s'engage à respecter les standards mondiaux d'accessibilité (WCAG 2.1, EN 301 549) et publie régulièrement des rapports d'accessibilité (VPAT - Voluntary Product Accessibility Templates) pour ses produits, y compris les portails Entra.