Qui es-tu, et qu'est-ce que tu fais là ?

Il y a une question que tout système informatique doit poser, des millions de fois par jour, à chaque utilisateur, chaque application, chaque service qui tente d’accéder à une ressource.

Qui es-tu ? Et qu’est-ce que tu as le droit de faire ici ?

Une question trompeusement simple. Mais derrière elle se cache toute une discipline, qui sous-tend la sécurité, la scalabilité et la fiabilité de presque toutes les applications modernes : l’Identity & Access Management, ou IAM.

Le problème, en clair

Imaginez une grande entreprise. Des centaines d’employés. Des dizaines d’applications — comptabilité, RH, CRM, outils de dev, serveurs de production. Chaque matin, les gens se connectent. Chaque soir, ils se déconnectent. Entre-temps, ils accèdent à des données, déclenchent des processus, lisent des documents.

Quelques questions simples :

• Comment s’assurer que le comptable ne peut pas accéder aux serveurs de production ?
• Comment garantir qu’un développeur qui quitte l’entreprise perd instantanément tous ses accès ?
• Comment autoriser un partenaire externe à atteindre une seule API sans toucher au reste ?
• Comment savoir, six mois plus tard, qui a changé quoi et quand ?

L’IAM est la réponse structurée à ce chaos.

---

Ce que fait concrètement un système IAM

Un système IAM est le gardien centralisé de votre infrastructure. Il joue plusieurs rôles à la fois.

---

Pourquoi c’est si difficile à bien faire

L’IAM paraît simple. C’est juste une table users avec un password_hash, non ?

C’est pourquoi les grandes entreprises paient des fortunes pour des solutions comme Okta, Auth0 ou Azure AD. Côté open source, Keycloak existe depuis longtemps et fait le travail, mais il embarque une complexité de configuration significative et une empreinte JVM qui ne convient pas à tout le monde.

FerrisKey ne prétend pas être la solution définitive. C’est une alternative, avec des compromis différents : Rust plutôt que Java, une architecture hexagonale conçue pour la clarté et la maintenabilité, et l’ambition de rester simple à opérer.

---

Bienvenue dans FerrisKey

FerrisKey est un système IAM open source, construit en Rust, avec une architecture hexagonale.

L’architecture hexagonale garantit que la logique métier reste pure et découplée de l’infrastructure. La base de données peut changer, le framework HTTP peut évoluer — le cœur du domaine reste stable et testable.

Voici à quoi ressemble un ID token OIDC décodé émis par FerrisKey :

{
  "sub": "user_01HZ93BKGZ7Y3QPFMJ4E5RW0X",
  "iss": "https://auth.example.com/realms/acme",
  "aud": "my-app",
  "exp": 1718100000,
  "iat": 1718096400,
  "email": "alice@example.com",
  "realm_access": {
    "roles": ["developer", "read:billing"]
  }
}

En pratique, FerrisKey vous offre :

---

Pour qui ?

FerrisKey n’est pas encore Okta. Mais il est sérieux, activement développé, et construit sur les bonnes fondations pour y arriver.

---

La suite

Dans les prochains articles, on ira plus loin : comment fonctionnent OAuth2 et OIDC sous le capot, comment modéliser les permissions avec un système de rôles, comment déployer FerrisKey sur Kubernetes, et bien plus encore.

L’IAM est un problème résolu mille fois, dans mille silos propriétaires. Il était temps de le résoudre correctement, une bonne fois pour toutes, dans l’open source.

C’est ce que FerrisKey est venu faire.