Sur un CV, One Identity Manager apparaît aussi sous ses anciens noms, Quest One Identity Manager ou Dell One Identity Manager. Les missions se ressemblent d'une offre à l'autre : arrivées, mobilités et départs alimentés par le SIRH, connecteurs vers Active Directory, Entra ID, SAP ou CyberArk, workflows d'approbation, campagnes de recertification. Les questions d'entretien pour un ingénieur IAM One Identity doivent donc couvrir le Designer, le Synchronization Editor, le Job Service et le Web Portal, que les annonces citent nommément.
La difficulté tient à l'architecture. Tout passe par la base : un changement d'attribut génère un processus, le DBQueue Processor recalcule les héritages, le Job Service exécute les étapes vers les cibles. Un profil qui a seulement utilisé l'outil voit des comptes créés. Celui qui l'a administré sait lire la file des jobs, explique la colonne XOrigin et refuse de corriger un droit directement dans l'annuaire.
Le récit d'une panne réelle distingue les profils : une synchronisation qui a marqué des centaines d'objets en suspens, un import SIRH incomplet, une montée de version d'une plateforme personnalisée. Les scripts VB.NET et le préfixe CCC des personnalisations montrent si la personne a vraiment construit sur l'outil. Le PDF contient l'entretien complet sur six axes.
Les composants de One Identity Manager à connaître
Designer et Manager
Le Designer sert à configurer la plateforme : schéma de la base, processus, modèles de valeurs, paramètres. Le Manager sert à administrer les objets au quotidien, identités, rôles, comptes, affectations. Un ingénieur confirmé passe de l'un à l'autre sans hésiter et sait ce qui demande une compilation de la base.
Synchronization Editor
L'outil qui relie One Identity aux systèmes cibles : connexions, mappings, règles de correspondance, workflows et plannings. C'est la partie la plus citée dans les offres. Reste à savoir comment la personne traite les objets en suspens et comment elle teste une synchronisation avant d'écrire.
Job Service et DBQueue Processor
Le DBQueue Processor calcule dans la base les héritages et les tâches à faire. Le Job Service exécute les processus vers les cibles, sur un ou plusieurs serveurs. Quand une création de compte n'arrive pas, c'est là que tout se lit, avec l'outil Job Queue Info.
Scripts VB.NET et modèles de valeurs
Les règles métier s'écrivent en VB.NET : modèles de valeurs sur les colonnes, scripts de la bibliothèque, conditions de processus. Les personnalisations prennent le préfixe CCC pour survivre aux mises à jour. Les offres demandent aussi du PowerShell et du SQL pour l'exploitation.
IT Shop et Web Portal
L'IT Shop organise les demandes d'accès en boutiques, étagères et produits, avec des politiques d'approbation à plusieurs étapes. Le Web Portal, application Angular servie par l'API Server, est l'interface des utilisateurs et des managers. Certaines offres demandent de savoir le personnaliser.
Attestation et Identity Audit
L'attestation fait valider périodiquement les droits par les managers ou les propriétaires d'applications. Le module Identity Audit porte les règles de conformité, dont la séparation des tâches, contrôlées au moment de la demande et dans les rapports. C'est ce que regardent les auditeurs.
Connecteurs
Active Directory, Entra ID, Exchange, SAP, LDAP, Unix, bases de données, CSV, SCIM, PowerShell, et des connecteurs cloud proposés par l'éditeur (Starling Connect). Le choix du connecteur décide de l'effort de maintenance pour chaque application intégrée.
Active Roles et Identity Manager On Demand
Active Roles, autre produit One Identity, délègue l'administration d'Active Directory et d'Entra ID avec des règles. Identity Manager On Demand est l'offre en SaaS de l'éditeur. Les deux apparaissent parfois sur les CV à côté d'Identity Manager, sans s'y substituer.
Le poste existe chez des clients finaux qui ont choisi One Identity pour leur gouvernance des identités, et dans les cabinets et intégrateurs qui déploient ou maintiennent l'outil pour eux. Les offres françaises vues en novembre 2026 sont souvent des missions de maintenance et d'évolution : intégrer de nouvelles applications, faire tourner les campagnes de recertification, traiter les incidents de provisionnement. Le build complet d'une plateforme reste plus rare. L'éditeur distingue des versions LTS et des versions de fonctionnalités, ce qui pèse sur le calendrier des montées de version. Un ingénieur venu de SailPoint retrouve les mêmes notions IGA avec une mécanique très différente, centrée sur la base de données.
Six compétences à contrôler chez un ingénieur One Identity
- Modèle d'identités et héritage des droits
- Projets du Synchronization Editor
- Processus, Job Service et VB.NET
- IT Shop, attestation et SoD
- Intégration d'applications et API
- Exploitation et montées de version
Droits, synchronisation, jobs : les questions pour un ingénieur One Identity Manager
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · confirmé
Un groupe Active Directory sensible apparaît sur 40 comptes sans aucune demande dans l'IT Shop. Comment trouvez-vous d'où vient cette affectation dans One Identity Manager ?
Une bonne réponseIl ouvre l'identité dans le Manager et regarde l'affectation du groupe : la colonne XOrigin dit si elle est directe, héritée d'un rôle ou d'une structure, ou venue d'une demande IT Shop. Si elle est héritée, il remonte au rôle métier, au département ou au rôle dynamique qui la porte. Il vérifie ensuite qu'un rôle dynamique ou une condition d'héritage n'a pas été élargi récemment, et que le DBQueue Processor a fini ses calculs, car une file en retard brouille le diagnostic.
Signal d'alerteSupprimer l'affectation à la main dans AD ou dans la table, sans chercher l'origine. Le droit revient à la synchronisation suivante, ou disparaît sans trace pour l'audit.
Question 2 · confirmé
Après une synchronisation AD, 400 comptes sont marqués comme objets en suspens. Que faites-vous ?
Une bonne réponseIl ne traite rien en masse avant de comprendre. Un objet en suspens est présent dans la base One Identity mais absent du système cible : la synchronisation le marque au lieu de le supprimer, il n'est plus modifiable dans le Manager et les synchronisations suivantes l'ignorent. Il regarde le journal de synchronisation, vérifie la portée (une OU sortie du périmètre, un filtre modifié, un compte de connexion qui a perdu ses droits de lecture), puis traite les objets dans le Manager : publier, supprimer ou réinitialiser, avec la validation du propriétaire du système.
Signal d'alerteSupprimer les 400 objets parce que l'outil le propose, ou republier tous les comptes dans AD sans savoir pourquoi ils ont disparu.
Question 3 · confirmé
Une création de compte AD reste bloquée depuis ce matin. Comment suivez-vous le job jusqu'à la cause ?
Une bonne réponseIl ouvre Job Queue Info, retrouve le processus et l'étape en erreur ou en attente, lit le message et vérifie le Job Service qui doit l'exécuter : serveur arrêté, file saturée, compte de connexion sans droits sur l'OU. Il relance l'étape une fois la cause corrigée, sans recréer le processus à la main, et regarde si d'autres jobs attendent derrière.
Signal d'alerteSupprimer le job et créer le compte directement dans AD, ce qui laisse la base et la cible désalignées.
Question 4 · senior
Sur les droits SAP de 3 000 comptes, les attestateurs valident 70 % des dossiers en lot sans rien ouvrir. Que changez-vous dans la politique d'attestation ?
Une bonne réponseIl resserre la condition de la politique d'attestation sur ce qui porte du risque (droits sensibles, comptes sans propriétaire, droits non utilisés), choisit la procédure et les attestateurs adaptés, donne aux attestateurs le contexte de chaque droit (description métier, date d'attribution, origine), répartit les dossiers par responsable et non par application, et fixe une règle sur le refus : retrait automatique de l'affectation ou ticket. Il mesure ensuite les refus et les retards par attestateur.
Signal d'alerteRelancer les managers par mail ou rendre la campagne plus fréquente avec le même contenu.
Question 5 · confirmé
Le SIRH envoie un fichier chaque nuit. Comment protégez-vous l'annuaire si le fichier arrive à moitié vide ?
Une bonne réponseUn seuil de suppression ou de désactivation au-delà duquel la synchronisation s'arrête et alerte, un contrôle du volume avant import et l'archivage du fichier reçu. Les départs passent par une date de fin dans le SIRH, jamais par l'absence d'une ligne. Il prévoit la reprise sur le fichier de la veille.
Signal d'alerteFaire confiance au fichier et découvrir le lendemain que 2 000 comptes sont désactivés.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
One Identity Manager : les questions qui reviennent
Un ingénieur SailPoint peut-il prendre un poste One Identity Manager ?
Oui pour les notions : cycle de vie, rôles, certifications, séparation des tâches et connecteurs se retrouvent. La mécanique change beaucoup. One Identity repose sur une base SQL Server où chaque modification déclenche des processus, avec des scripts en VB.NET au lieu des rules Java ou BeanShell de SailPoint. Il lui faut quelques semaines de prise en main, et l'entretien vérifie qu'il comprend déjà la file des jobs et la synchronisation.
Faut-il savoir coder pour administrer One Identity Manager ?
Un peu. Les modèles de valeurs, les conditions et beaucoup de règles métier s'écrivent en VB.NET, et l'exploitation demande du SQL pour interroger la base. Les offres citent aussi PowerShell, et Angular quand le Web Portal est personnalisé. Un profil qui configure sans jamais lire un script sera limité dès que les règles d'arrivée ou de nommage deviennent compliquées.
Comment se déroule le test technique d'un ingénieur One Identity ?
Le support type réunit une identité avec un droit hérité indésirable, un job en erreur et un extrait de journal de synchronisation avec des objets en suspens. La personne commente à voix haute son diagnostic et l'ordre des actions. Quand un environnement de test est disponible, un modèle de valeur VB.NET à corriger complète bien l'exercice. Une heure suffit pour séparer l'utilisateur de l'outil de celui qui l'administre.
IAM, IAG, IGA : de quel poste parle-t-on ?
Les offres françaises emploient IAG (gestion des identités et des accès) là où l'anglais dit IGA, et IAM pour l'ensemble, authentification comprise. One Identity Manager est un outil de gouvernance : il gère les comptes et les droits, pas la connexion des utilisateurs aux applications. Pour le SSO et la MFA, l'entreprise utilise un autre produit, et le candidat doit savoir où passe la frontière.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
