Gérer le cycle de vie des comptes dans Immersive

• Type non défini

Formation

Immersive permet de définir quand un utilisateur doit renouveler son mot de passe et ce qu'il advient de son compte après une longue période sans utilisation. Ce guide présente les réglages de l'administrateur, les exceptions possibles et les écrans rencontrés par l'utilisateur.

Les exemples utilisent un renouvellement tous les 90 jours, un changement au retour après 15 jours d'inactivité, une désactivation après 30 jours et une suppression logique après 90 jours. Ces valeurs illustrent une politique demandée par un client ; elles ne constituent pas des obligations imposées par Immersive.

1. Comprendre les quatre règles

1.1 Deux règles pour le mot de passe, deux pour le compte

Les règles sont indépendantes. Vous pouvez en activer une, plusieurs ou aucune. Toutes les durées sont exprimées en jours, y compris le renouvellement périodique du mot de passe.

Règle	Exemple	Effet pour l'utilisateur
Renouvellement périodique	Tous les 90 jours	Lorsque son mot de passe atteint cet âge, l'utilisateur doit en choisir un nouveau pour continuer.
Changement après inactivité	Après 15 jours	À son retour après cette période sans activité, l'utilisateur doit choisir un nouveau mot de passe.
Désactivation automatique	Après 30 jours	Le compte ne peut plus se connecter. Ses sessions sont révoquées et le compte reste présent.
Suppression logique automatique	Après 90 jours	Le compte est marqué comme supprimé et ses accès sont révoqués. Ses données et ses liens sont conservés.

Le renouvellement périodique dépend de l'âge du mot de passe. Les trois autres règles dépendent de l'inactivité de l'utilisateur. Se connecter chaque jour n'empêche donc pas un mot de passe d'atteindre son échéance de 90 jours.

À 15 jours d'inactivité, Immersive ne génère pas un nouveau mot de passe et n'en envoie pas par courriel. Il exige que l'utilisateur le change lorsqu'il revient, après vérification de son identité.

1.2 Qu'est-ce qu'une exemption ?

Une exemption dispense un utilisateur précis d'une règle précise. Par exemple, Camille peut être exemptée du renouvellement périodique tout en restant soumise au changement après inactivité et à la désactivation automatique.

Cette exemption ne change ni les droits du compte, ni son mot de passe, ni ses obligations de MFA. Les exemptions MFA et celles du cycle de vie sont deux réglages distincts.

1.3 Comment se lisent les seuils d'inactivité ?

Avec les trois règles d'inactivité activées à 15, 30 et 90 jours, et sans exemption ni protection particulière :

flowchart LR
    A["Dernière activité<br/>Jour 0"] --> B["Jour 15<br/>Mot de passe à changer<br/>si l'utilisateur revient"]
    B --> C["Jour 30<br/>Compte à désactiver<br/>au passage du serveur"]
    C --> D["Jour 90<br/>Compte à supprimer logiquement<br/>au passage du serveur"]

Les jours 15, 30 et 90 sont tous comptés depuis la même dernière activité. La suppression n'intervient pas 90 jours après la désactivation, mais 90 jours après la dernière activité.

Si l'utilisateur revient avant la désactivation, termine sa connexion et satisfait les vérifications demandées, cette nouvelle activité devient la référence pour les prochains délais d'inactivité.

2. Comprendre ce qui compte comme activité

2.1 Une utilisation réelle, même avec une session déjà ouverte

Une connexion utilisateur terminée avec succès constitue une activité. Cela comprend les connexions par mot de passe, avec MFA et par SSO. Une tentative refusée ou une connexion encore en attente du code MFA ne suffit pas.

Dans RestFrontage, les interactions sur une page visible, comme un clic, une saisie ou un défilement, actualisent également le suivi. Il n'est donc pas nécessaire de se déconnecter et de se reconnecter pour rester considéré comme actif.

En revanche, un onglet laissé ouvert sans interaction, un rafraîchissement automatique ou des notifications en arrière-plan ne suffisent pas. La lecture d'une page sans aucun mouvement ne permet pas, à elle seule, de distinguer une présence d'une absence.

2.2 Applications externes et automatisations

Une application Web ou binaire qui utilise Immersive doit signaler ses propres interactions utilisateur pour que leur suivi continue après la connexion. Ses appels automatiques ne sont pas assimilés à une présence humaine.

Les appels effectués avec une clé API ne constituent pas de l'activité utilisateur. Les comptes associés à une clé API bénéficient de protections spécifiques, présentées dans le chapitre sur les exemptions.

2.3 Un suivi limité

Immersive conserve un état par utilisateur, avec notamment sa dernière activité connue. Il ne crée pas une ligne pour chaque clic et ne conserve pas le contenu saisi dans les champs.

Dans RestFrontage, les signalements sont espacés d'au moins une minute par page. Les écritures du suivi sont limitées à une par minute et par compte, même avec plusieurs sessions. Une page sans nouvelle interaction cesse de signaler une activité.

3. Ouvrir le tableau de bord

Connectez-vous avec Cerebrate, puis ouvrez Sécurité → Cycle de vie des comptes. La page est également accessible à l'adresse relative /Security/AccountLifecycle.

Cette page d'administration est réservée à Cerebrate. Un utilisateur ordinaire n'a pas à y accéder pour renouveler son mot de passe : le formulaire nécessaire lui sera présenté pendant sa connexion.

Indicateur	Lecture
Règles actives	Nombre de règles actuellement enregistrées comme actives, sur quatre.
Utilisateurs actifs	Comptes activés et non expirés. Ce compteur ne représente pas les personnes connectées en cet instant.
Échéance atteinte	Comptes actifs pour lesquels un changement de mot de passe est requis lors d'une connexion par mot de passe Immersive.
Utilisateurs exemptés	Comptes ayant au moins une exemption manuelle enregistrée. Les protections automatiques ne sont pas, à elles seules, des exemptions manuelles.

Sous les règles d'inactivité, deux autres nombres indiquent les comptes à désactiver et à supprimer logiquement avec les réglages enregistrés, après prise en compte des exemptions et des protections. Ces nombres ne constituent pas l'historique des actions déjà réalisées.

4. Configurer la politique

4.1 Choisir les règles de mot de passe

Dans la partie Configuration → Mot de passe :

1. Pour Renouvellement périodique, choisissez Changement obligatoire.
2. Saisissez 90 dans Tous les (jours).
3. Pour Changement après inactivité, choisissez Changement obligatoire.
4. Saisissez 15 dans Après (jours).

Les durées sont des nombres entiers de jours, supérieurs ou égaux à 1. Un jour correspond à une durée écoulée de 24 heures. 90 jours ne signifie pas trois mois calendaires.

4.2 Choisir les actions après inactivité

Dans Actions après inactivité :

1. Pour Désactivation automatique, choisissez Désactiver le compte et saisissez 30 jours.
2. Pour Suppression logique automatique, choisissez Supprimer logiquement et saisissez 90 jours.
3. Vérifiez les exemptions et les protections nécessaires aux comptes concernés.
4. Cliquez sur Enregistrer les règles et attendez le message de confirmation.

Les seuils d'inactivité activés doivent être dans l'ordre croissant : changement du mot de passe, puis désactivation, puis suppression. Par exemple, 15, 30 et 90 jours. Le délai du renouvellement périodique est indépendant de cet ordre.

L'enregistrement applique les réglages. Les échéances de mot de passe sont contrôlées lors des connexions et des requêtes protégées suivantes. Les désactivations et suppressions attendent le prochain passage du traitement automatique du serveur.

4.3 Laisser une règle sans politique

Choisissez Aucune politique pour la règle que vous ne voulez pas appliquer, puis cliquez sur Enregistrer les règles. Les autres règles peuvent rester actives.

Par défaut, aucune des quatre règles n'est activée. Une durée préremplie dans un champ désactivé est seulement une suggestion, pas une politique en cours.

Désactiver une règle empêche ses prochaines actions. Cela ne réactive pas un compte déjà désactivé et ne restaure pas un compte déjà supprimé logiquement.

4.4 Enregistrer ou recharger : deux actions différentes

Enregistrer les règles sauvegarde les quatre choix affichés et les applique.

Recharger depuis le serveur relit les réglages déjà enregistrés. Les modifications non enregistrées du formulaire sont remplacées. Ce bouton ne sauvegarde rien et ne déclenche pas immédiatement le traitement des comptes inactifs.

5. Gérer les exemptions par utilisateur

5.1 Exempter un compte d'une règle

1. Cliquez sur Exemptions par utilisateur, sous la configuration.
2. Sélectionnez la règle concernée dans la liste de la fenêtre.
3. Recherchez l'utilisateur par son nom de compte, prénom, nom ou description. La recherche accepte également son nom complet d'annuaire, appelé DN.
4. Activez Exempté sur la ligne de cet utilisateur.
5. Attendez le message confirmant que l'exemption a été enregistrée et appliquée.

Chaque changement est enregistré immédiatement. Vous n'avez pas à revenir sur le bouton global Enregistrer les règles. Pour retirer une exemption, désactivez le même interrupteur.

Le filtre Afficher permet de consulter tous les utilisateurs, les exemptés ou les non-exemptés. Le DN reste accessible au survol d'un utilisateur, sans encombrer la liste.

Vous pouvez préparer des exemptions pendant qu'une règle est désactivée. Elles prendront effet si vous activez ensuite cette règle. Si les réglages ont changé dans une autre fenêtre entre-temps, utilisez Actualiser les exemptions lorsque l'interface vous le demande, puis recommencez votre choix.

5.2 Protections de Cerebrate et des comptes associés à une clé API

Cerebrate est toujours protégé de la désactivation et de la suppression automatiques. La fenêtre indique cette protection et ne permet pas de la retirer avec l'interrupteur.

Les comptes associés à au moins une clé API sont également protégés contre ces deux actions, que la clé provienne de la configuration du serveur ou de la gestion des clés API sur le site. Cette protection subsiste même si la clé est expirée ou désactivée.

Ces protections évitent de couper le compte administrateur principal ou un compte utilisé par une application simplement parce qu'il n'effectue pas de connexions humaines. Elles ne dispensent pas d'une MFA ni d'un renouvellement de mot de passe qui serait requis lors d'une connexion utilisateur.

La suppression de la dernière association à une clé API retire cette protection automatique. Si le compte doit continuer à être protégé, préparez ses exemptions avant de retirer cette association. Son ancienne date d'activité pourrait sinon le rendre immédiatement éligible au prochain passage du serveur.

6. Renouveler son mot de passe à la connexion

6.1 Commencer avec son mot de passe actuel

Ouvrez votre page de connexion habituelle. Saisissez votre identifiant et votre mot de passe actuel, puis cliquez sur Connexion.

Si la MFA est requise pour votre compte, terminez d'abord cette vérification avec votre application de codes. Le renouvellement du mot de passe intervient après la vérification de votre identité ; il ne remplace pas la MFA.

6.2 Choisir et confirmer le nouveau mot de passe

Lorsque la durée autorisée est atteinte, l'écran Changer votre mot de passe apparaît automatiquement. Il explique pourquoi le changement est nécessaire.

1. Saisissez votre nouveau mot de passe dans Nouveau mot de passe.
2. Ressaisissez exactement le même dans Confirmer le nouveau mot de passe.
3. Cliquez sur Enregistrer et continuer.

Le nouveau mot de passe doit être non vide, différent du précédent et identique à sa confirmation. Le parcours accepte au maximum 1 024 caractères ; il n'ajoute pas de règle de complexité particulière. Respectez également les consignes de choix de mot de passe données par votre organisation.

Après l'enregistrement, la connexion se poursuit avec le nouveau mot de passe. Vos anciennes sessions sont invalidées : une autre fenêtre ou une autre application peut vous demander de vous reconnecter.

6.3 Corriger une confirmation différente

Si les deux saisies ne correspondent pas, un message apparaît dans le formulaire. Le changement n'est pas enregistré.

Les champs sont vidés après l'erreur. Ressaisissez le nouveau mot de passe dans les deux champs, puis cliquez à nouveau sur Enregistrer et continuer. Si la vérification a expiré, recommencez la connexion avec votre mot de passe actuel.

Le bouton Retour permet de revenir à la première étape. Il ne supprime pas l'obligation de renouveler le mot de passe.

flowchart TD
    A["Identifiant et mot de passe actuel vérifiés"] --> B{"MFA requise ?"}
    B -->|Oui| C["Terminer la vérification MFA"]
    C -->|Vérification réussie| D{"Renouvellement requis ?"}
    B -->|Non| D
    D -->|Non| J["Connexion autorisée"]
    D -->|Oui| E["Saisir le nouveau mot de passe<br/>et sa confirmation"]
    E --> F["Cliquer sur Enregistrer et continuer"]
    F --> G{"Changement accepté ?"}
    G -->|Non| H["Lire le message<br/>et corriger les champs"]
    H --> F
    G -->|Oui| I["Nouveau mot de passe enregistré<br/>Anciennes sessions invalidées"]
    I --> J

6.4 Revenir après une période d'inactivité

Après une absence dépassant le seuil de changement de mot de passe, la procédure est la même. Le message précise cette fois que le renouvellement est demandé après une période d'inactivité.

Exemple : Camille revient après 20 jours sans utilisation. Avec des seuils de 15 jours pour le changement et de 30 jours pour la désactivation, elle peut encore se connecter, vérifier sa MFA si nécessaire et choisir un nouveau mot de passe.

Si son compte a déjà été désactivé ou supprimé logiquement, le changement de mot de passe ne suffit plus : elle doit contacter l'administrateur.

6.5 Si une session était déjà ouverte

Une session existante ne permet pas d'éviter une échéance atteinte. Immersive la contrôle également lors des demandes d'accès protégées. Reconnectez-vous lorsqu'il vous le demande, puis terminez le renouvellement.

Si vous avez oublié votre mot de passe actuel, il s'agit d'une récupération de compte, pas du renouvellement décrit ici. Utilisez le parcours de récupération disponible dans votre environnement ou contactez l'administrateur. Une perte du téléphone MFA relève également de la récupération MFA.

7. Comprendre le traitement automatique

7.1 Le rôle du moteur périodique

Le moteur périodique est le traitement en arrière-plan du serveur RestFrontage qui examine les comptes et applique les désactivations ou suppressions arrivées à échéance. Il ne nécessite pas qu'un administrateur garde la page ouverte.

Un passage est prévu au démarrage du serveur, puis au plus une fois par heure et par instance. Le serveur doit fonctionner et son domaine de sécurité être disponible. Un seuil atteint est donc traité au prochain passage, pas nécessairement à la minute exacte.

Si le serveur était arrêté, les comptes sont examinés au redémarrage. Un compte déjà inactif depuis 100 jours peut alors être directement supprimé logiquement avec un seuil de 90 jours : il n'attend pas un nouveau délai de 30 jours puis de 90 jours.

Le moteur tient compte des règles enregistrées, des exemptions et des protections automatiques. Il ne modifie pas les comptes qui n'ont pas atteint les conditions de traitement.

7.2 Désactivation et suppression logique

La désactivation bloque la connexion tout en conservant le compte. L'administrateur doit examiner la situation avant de rétablir son accès.

La suppression logique marque le compte comme supprimé et bloque ses accès. Elle conserve les données, les droits et les relations du compte ; elle ne les efface pas physiquement.

Dans les deux cas, les anciennes sessions ne permettent plus de continuer à utiliser Immersive. Le traitement ne constitue pas une purge des données ni une politique de conservation de tous les documents de l'utilisateur.

Un changement de mot de passe effectué par l'administrateur actualise l'âge de ce mot de passe. Il ne simule pas une activité humaine et ne repousse pas à lui seul les délais de désactivation ou de suppression.

8. Cas particuliers et questions fréquentes

Situation	Explication ou action
L'utilisateur se connecte par SSO	Le fournisseur SSO reste responsable de son mot de passe. Les deux règles de mot de passe Immersive ne s'appliquent pas à cette connexion. Les règles d'inactivité du compte Immersive restent applicables.
Une application utilise une clé API	Les appels par clé API ne demandent pas un renouvellement de mot de passe. Le compte associé est protégé de la désactivation et de la suppression automatiques.
Cerebrate voit le formulaire de renouvellement	Sa protection permanente concerne la désactivation et la suppression, pas les règles de mot de passe. Il doit renouveler celui-ci si une règle lui est applicable.
Une exemption a été ajoutée mais une autre action reste possible	Les quatre exemptions sont indépendantes. Vérifiez la règle sélectionnée dans la fenêtre.
J'ai sélectionné une règle mais rien ne change	Cliquez sur Enregistrer les règles. Les valeurs visibles dans le formulaire ne sont pas appliquées tant que la sauvegarde n'a pas abouti.
La désactivation n'arrive pas exactement au seuil	Elle dépend du prochain passage du serveur. Vérifiez aussi les exemptions, les associations aux clés API et que le serveur fonctionne.
J'ai choisi Aucune politique, mais un compte reste bloqué	Ce choix arrête les prochaines actions de cette règle. Il n'annule pas une désactivation ou une suppression déjà effectuée.
Le compteur Échéance atteinte inclut un utilisateur SSO	Il décrit ce qui serait exigé lors d'une connexion par mot de passe Immersive. Il ne signifie pas que la connexion SSO nécessite ce renouvellement.
Une application travaille mais son utilisateur semble inactif	Vérifiez avec l'intégrateur que l'application signale les interactions humaines. Les échanges automatiques ne prolongent pas l'activité utilisateur.

Avant d'appliquer cette politique à vos utilisateurs, vérifiez les seuils demandés par votre organisation, les comptes à exempter et le parcours de renouvellement sur un compte de démonstration. Prévenez les utilisateurs du changement et indiquez-leur qui contacter en cas de perte d'accès.