Zéro mot de passe sur 2 000 tablettes :
build d'une chaîne PKI automatisée
pour l'authentification mobile industrielle

Dans les environnements industriels, les tablettes Android des opérateurs et prestataires terrain recourent souvent à des comptes de service partagés (login/mot de passe générique) pour s'authentifier sur le réseau. Cette pratique accumule deux non-conformités majeures qui ont déclenché l'ouverture de deux Security Exception Requests (SER) distinctes.

L'objectif est de basculer 2 000 tablettes vers une authentification forte par certificat numérique individuel (802.1X / EAP-TLS), sans rupture de service, sans geste supplémentaire pour les utilisateurs terrain, et avec un renouvellement automatique géré par le MDM.

La solution articule deux flux techniques complémentaires. Le flux de provisioning génère et distribue automatiquement les certificats depuis la PKI jusqu'aux tablettes. Le flux d'authentification est initié par la tablette via le Radius — qui est le premier point de contrôle lors de toute tentative de connexion Wi-Fi.

Le Radius Microsoft NPS est le point d'entrée du flux d'authentification : il reçoit en premier la demande EAP-TLS de la tablette, interroge l'Active Directory pour vérifier le compte et les groupes, valide le certificat présenté contre la CA Root de la PKI, puis accorde ou refuse l'accès au réseau Wi-Fi Corporate.

Le projet a mobilisé simultanément huit domaines d'expertise, chacun propriétaire d'une brique critique — avec ses propres contraintes de gouvernance, de disponibilité et d'escalade.

La chaîne de confiance, un contrat multi-acteurs. Chaque maillon a son propriétaire. La CA Root appartient à la sécurité, le MDM à l'équipe workplace, le Radius au NOC. Le chef de projet joue un rôle d'intégrateur : s'assurer que les templates IDNOMIC correspondent exactement aux attentes NPS, et que le Radius accepte cette CA spécifique.

NPS, un écosystème exigeant. Le protocole EAP-TLS sur Microsoft NPS comporte des subtilités (mapping SAN, gestion des CRL, politiques réseau) qui ont nécessité une escalade support. Cette étape, anticipée mais sous-estimée en durée, a allongé le POC de plusieurs semaines — un enseignement direct pour tout projet de ce type.

Le POC incomplet, le piège classique. Un POC PKI/MDM peut sembler validé alors qu'il ne l'est qu'à moitié : certificat bien poussé, mais renouvellement automatique non testé. Sur 2 000 tablettes, une expiration massive non gérée constitue un incident majeur. Le critère d'acceptation incluait explicitement la validation du renouvellement automatique.

Les 2 SER, moteur et jalon. Les deux Security Exception Requests étaient à la fois la pression déclenchante et le critère de succès final. Leur levée formelle, co-signée par le RSSI, a constitué le jalonnement ultime — transformant une contrainte compliance en indicateur de valeur livrable concret.