Le verdict en trois phrases
Pour un groupe tunisien de plusieurs filiales, brancher les applications métier sur Microsoft Entra ID en SSO avec une gestion des droits par rôle (RBAC) coûte en ordre de grandeur 2026 entre 25 000 et 60 000 TND HT, selon le nombre d'applications, de rôles et d'intégrations héritées. Le projet se livre en 6 à 10 semaines et se rentabilise surtout par la baisse du support (jusqu'à 60 % de tickets « mot de passe oublié » en moins) et par la réduction du risque lié aux comptes orphelins. Le vrai piège n'est pas technique : c'est une matrice des rôles mal définie qui fait exploser le budget en cours de route.
Ce que recouvre vraiment un projet SSO et RBAC
Le SSO (Single Sign-On) permet à un collaborateur de se connecter une seule fois avec son compte Microsoft 365 pour accéder à toutes les applications internes : ERP maison, portail RH, outil de gestion des achats, tableau de bord commercial. La gestion des droits par rôle définit ensuite ce que chacun voit et modifie. Dans un groupe de 5 filiales, on retrouve typiquement 8 à 20 rôles : directeur de filiale, contrôleur de gestion, acheteur, magasinier, RH, auditeur interne, administrateur, lecteur.
Les briques à prévoir sont connues : connexion OpenID Connect ou SAML 2.0 avec Entra ID, MFA obligatoire via Microsoft Authenticator, mappage des groupes Entra vers les rôles applicatifs, cloisonnement des données par filiale, journal d'audit horodaté (qui a fait quoi, quand, depuis quelle IP) et procédure de révocation automatique au départ d'un salarié.
| Poste du projet | Charge estimée | Coût ordre de grandeur 2026 (TND HT) |
|---|---|---|
| Atelier de cadrage et matrice des rôles | 5 à 8 jours | 3 500 à 6 000 |
| Intégration Entra ID (OIDC/SAML) sur 1 application | 6 à 10 jours | 5 000 à 9 000 |
| Modèle RBAC, cloisonnement par filiale | 10 à 18 jours | 8 000 à 15 000 |
| Journal d'audit et exports pour l'audit interne | 5 à 10 jours | 4 000 à 8 000 |
| Branchement des applications existantes (par appli) | 4 à 8 jours | 3 000 à 7 000 |
| Tests de sécurité, recette, documentation | 5 à 10 jours | 3 500 à 8 000 |
| Total pour 3 à 5 applications | 6 à 10 semaines | 25 000 à 60 000 |
La licence Entra ID elle-même est souvent déjà payée : les plans Microsoft 365 Business Premium et E3/E5 incluent Entra ID P1 ou P2, ce qui débloque l'accès conditionnel et la MFA avancée sans surcoût.
Trois architectures possibles et leur coût
Tous les groupes ne partent pas du même point. Certains ont des applications développées en interne, d'autres des logiciels achetés qui supportent déjà SAML, d'autres un mélange avec des outils anciens sans aucune norme d'authentification.
| Option | Pour qui | Coût ordre de grandeur 2026 | Limite principale |
|---|---|---|---|
| SSO natif Entra ID sur applis compatibles SAML | Logiciels du marché récents | 5 000 à 12 000 TND HT | Droits restant gérés appli par appli |
| SSO + RBAC centralisé dans les applis maison | Applications développées sur mesure | 25 000 à 45 000 TND HT | Exige l'accès au code source |
| SSO + RBAC + passerelle pour applis anciennes | Parc hétérogène, outils sans SAML | 40 000 à 60 000 TND HT | Passerelle à maintenir |
| Solution IAM dédiée (Keycloak auto-hébergé) | Groupe voulant rester multi-fournisseurs | 30 000 à 55 000 TND HT | Compétences internes nécessaires |
| Statu quo : comptes locaux par application | Aucun projet | 0 TND en apparence | Comptes orphelins, support saturé |
Pour un groupe déjà sous Microsoft 365, la deuxième option est la plus fréquente : on garde Entra ID comme source d'identité, et la logique fine des droits vit dans les applications. Si votre parc applicatif doit être modernisé en même temps, une refonte en application web sur mesure peut intégrer le SSO dès la conception, ce qui coûte nettement moins cher qu'un branchement a posteriori.
Sécurité, conformité et points de vigilance en Tunisie
La loi organique tunisienne de 2004 sur la protection des données personnelles impose de limiter l'accès aux données RH et clients aux seules personnes habilitées : un RBAC documenté est votre meilleure preuve en cas de contrôle de l'INPDP. Si une filiale travaille avec des clients européens, le RGPD ajoute une exigence de traçabilité des accès. Côté cybersécurité, trois réglages font la différence : accès conditionnel (bloquer les connexions hors Tunisie ou depuis un appareil non géré), MFA sans SMS pour les rôles sensibles, et revue trimestrielle des habilitations.
Les dérapages budgétaires viennent presque toujours de trois sources : des rôles inventés en cours de projet, des applications anciennes découvertes tardivement, et l'absence d'un responsable métier pour valider la matrice. Un atelier de cadrage de 5 à 8 jours avant tout développement évite la majorité de ces surprises.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Sami, DSI d'un groupe industriel à Tunis avec 5 filiales et 420 utilisateurs, recevait environ 110 tickets « mot de passe oublié » ou « accès bloqué » par mois, chacun mobilisant en moyenne 20 minutes d'un technicien. Soit 110 × 20 = 2 200 minutes, environ 37 heures par mois. Avec un coût chargé de 25 TND de l'heure, cela représente 925 TND par mois, soit 11 100 TND par an, sans compter le temps perdu des collaborateurs bloqués.
Après un projet SSO + RBAC de 42 000 TND HT sur 4 applications, livré en 9 semaines, les tickets d'accès tombent à 44 par mois (moins 60 %). Gain support : 66 tickets × 20 minutes = 22 heures par mois, soit 6 600 TND par an. Le retour sur investissement direct est donc d'environ 6 ans sur le seul support, mais Sami a surtout supprimé 37 comptes orphelins d'anciens salariés découverts pendant l'audit, un risque qu'aucun tableur n'aurait chiffré.
FAQ
Combien de temps faut-il pour mettre en place un SSO Entra ID ?
Comptez 6 à 10 semaines pour 3 à 5 applications, cadrage compris. Une seule application compatible SAML peut être branchée en 1 à 2 semaines.
Faut-il acheter une licence supplémentaire Microsoft ?
Souvent non : Microsoft 365 Business Premium inclut Entra ID P1, qui suffit pour le SSO, la MFA et l'accès conditionnel. Entra ID P2 n'est utile que pour la détection de risques avancée et la gestion des accès privilégiés.
Combien de rôles prévoir pour un groupe de 5 filiales ?
Entre 8 et 20 rôles en général. Au-delà de 25, la matrice devient difficile à maintenir et il vaut mieux combiner rôles et périmètres (filiale, département).
Que doit contenir le journal d'audit ?
Au minimum l'identité, l'action, la date, l'adresse IP et l'objet modifié, conservés 12 mois ou plus. Un export CSV mensuel pour l'audit interne prend 2 à 3 jours de développement supplémentaires.
Peut-on brancher une application ancienne sans SAML ni OIDC ?
Oui, via une passerelle d'authentification ou un reverse proxy, mais cela ajoute 8 000 à 15 000 TND HT en ordre de grandeur. Si l'application est en fin de vie, sa refonte est souvent plus rentable.
Parlons de votre projet. Envoyez-nous la liste de vos applications, de vos filiales et des rôles actuels, nous cadrons le périmètre SSO et RBAC et le calendrier de déploiement. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
