Cos'è il Single Sign-On (SSO)?

Il Single Sign-On (SSO) è un meccanismo di autenticazione che consente agli utenti di accedere a più applicazioni connesse dopo essersi autenticati una sola volta, senza dover accedere separatamente a ciascuna applicazione. Un provider di identità (IdP) attendibile in genere autentica l'utente e consente alle applicazioni connesse di fare affidamento su tale autenticazione.

L'SSO riduce le richieste di accesso ripetute e consente alle organizzazioni di gestire le policy di autenticazione a livello centrale in tutte le applicazioni integrate.

Inizia Pianifica una demo

Come funziona il Single Sign-On?

L'SSO consente alle applicazioni di fidarsi dell'autenticazione eseguita da un provider di identità centrale. In un tipico flusso SSO federato, l'applicazione reindirizza l'utente all'IdP, che autentica l'utente e restituisce una risposta di autenticazione che l'applicazione convalida.

Richiesta di accesso

Un utente apre un'applicazione abilitata per SSO. Se l'applicazione non dispone di una sessione valida, reindirizza l'utente al provider di identità.

Verifica dell'identità

L'IdP autentica l'utente tramite credenziali, autenticazione a più fattori (MFA) o un altro metodo configurato. Se esiste già una sessione IdP valida, potrebbe non essere richiesto un altro accesso.

Risposta di autenticazione

L'IdP fornisce un'asserzione di autenticazione o un token utilizzando un protocollo supportato, che l'applicazione riceve e convalida.

Accesso all'applicazione

L'applicazione verifica la risposta di autenticazione e le autorizzazioni di accesso applicabili prima di stabilire una sessione.

Una volta autenticato, l'utente può accedere ad altre applicazioni connesse senza dover accedere nuovamente, a condizione che la sessione di autenticazione esistente e le policy di accesso lo consentano.

Quali sono i componenti chiave dell'SSO?

L'SSO si basa su diversi componenti che autenticano gli utenti e consentono alle applicazioni connesse di fidarsi di un provider di identità centrale.

Identity Provider (IdP)

Autentica gli utenti e fornisce informazioni sull'identità alle applicazioni connesse.

Service Provider (SP)

Un'applicazione o un servizio che si basa sulla risposta di autenticazione dell'IdP per stabilire una sessione utente. In OpenID Connect, questo ruolo è comunemente chiamato relying party.

Directory utente

Archivia o fornisce l'accesso a identità e attributi utente. Le organizzazioni possono utilizzare directory come Microsoft Active Directory.

Asserzione di autenticazione o token

Trasporta informazioni di autenticazione o identità che le applicazioni convalidano prima di stabilire una sessione.

Quali protocolli vengono utilizzati per il Single Sign-On?

L'SSO utilizza protocolli di autenticazione che consentono ai sistemi di identità e alle applicazioni di scambiare e convalidare le informazioni di autenticazione.

Security Assertion Markup Language (SAML 2.0)

Uno standard basato su XML che consente ai provider di identità di inviare token di autenticazione ai provider di servizi. Viene comunemente utilizzato per le applicazioni web aziendali.

OpenID Connect (OIDC)

Un protocollo di autenticazione basato su OAuth 2.0 che consente alle applicazioni di verificare l'identità di un utente utilizzando le informazioni provenienti da un provider di identità, inclusi i token ID.

Kerberos

Un protocollo di autenticazione di rete che utilizza ticket per autenticare utenti e servizi senza trasmettere ripetutamente password. Viene comunemente utilizzato in ambienti di dominio Windows.

OAuth 2.0 è un framework di autorizzazione, non un protocollo di autenticazione autonomo. Consente alle applicazioni di ottenere un accesso delegato alle risorse, mentre OIDC estende OAuth 2.0 per supportare l'autenticazione degli utenti.

Quali sono i vantaggi del Single Sign-On?

L'SSO semplifica l'autenticazione delle applicazioni per gli utenti, consentendo alle organizzazioni di gestire a livello centrale i requisiti di accesso.

Riduzione dell'affaticamento da password

Gli utenti mantengono meno credenziali specifiche per le applicazioni, riducendo la necessità di ricordare più password.

Accesso semplificato alle applicazioni

I dipendenti possono spostarsi tra le applicazioni connesse senza dover inserire ripetutamente le credenziali di accesso che interromperebbero il loro flusso di lavoro.

Policy di autenticazione centralizzate

I team IT possono applicare requisiti di accesso coerenti, tra cui l'MFA, tramite il provider di identità su tutte le applicazioni connesse.

Migliore visibilità dell'autenticazione

I registri di accesso centralizzati aiutano gli amministratori IT a monitorare le attività di autenticazione nelle applicazioni integrate.

Minore carico di supporto IT

Un numero inferiore di credenziali specifiche per l'applicazione può ridurre le richieste di supporto relative alle password.

Quali sono i limiti e i rischi per la sicurezza dell'SSO?

Sebbene l'SSO semplifichi l'autenticazione, la centralizzazione dell'accesso introduce anche considerazioni operative e di sicurezza.

Disponibilità del provider di identità

Le applicazioni che dipendono da un IdP potrebbero subire interruzioni dell'autenticazione quando il servizio di identità non è disponibile.

Compatibilità dell'applicazione

Le applicazioni legacy che non supportano i moderni protocolli di federazione potrebbero richiedere integrazioni alternative o autenticazioni separate.

Furto di sessione e token

Gli aggressori che ottengono sessioni o token di autenticazione validi potrebbero essere in grado di accedere alle applicazioni connesse senza ripetere il processo di autenticazione iniziale.

Complessità di integrazione e configurazione

Configurazioni di attendibilità errate, provisioning degli utenti incoerente o comportamenti di disconnessione non supportati possono creare lacune nella gestione degli accessi.

Singolo punto di vulnerabilità (Single point of failure)

Una compromissione del provider di identità o di un account SSO può esporre più applicazioni connesse, a seconda delle identità, delle autorizzazioni e dei controlli di sicurezza interessati.

Le organizzazioni possono ridurre questi rischi applicando l'MFA, proteggendo le sessioni di autenticazione, monitorando gli accessi sospetti, mantenendo un'infrastruttura di identità affidabile e applicando controlli di accesso appropriati.

SSO vs. Autenticazione tradizionale: Qual è la differenza?

Con l'autenticazione tradizionale, gli utenti in genere accedono a ogni applicazione separatamente. L'SSO consente alle applicazioni connesse di fare affidamento sull'autenticazione eseguita da un provider di identità attendibile.

Aspetto Autenticazione tradizionale Single Sign-On (SSO)
Processo di accesso Gli utenti accedono a ogni applicazione separatamente Gli utenti si autenticano una volta per accedere a varie applicazioni e siti web
Credenziali Le applicazioni possono richiedere credenziali separate Le applicazioni possono fare affidamento su una sessione di autenticazione condivisa o su un'integrazione di credenziali supportata
Gestione dell'autenticazione Gestito in modo indipendente dalle applicazioni Centralizzato tramite un IdP
Policy di sicurezza Possono differire da un'applicazione all'altra Possono essere applicate a livello centrale tramite l'IdP
Esperienza utente Richieste di accesso ripetute Meno accessi

Come si inserisce l'SSO nell'Identity and Access Management?

Il Single Sign-On è una funzionalità di autenticazione all'interno dell'Identity and Access Management (IAM).

Mentre l'SSO consente agli utenti di autenticarsi su applicazioni connesse, l'IAM copre la gestione più ampia delle identità digitali, delle autorizzazioni delle applicazioni, del provisioning degli utenti e dell'accesso durante l'intero ciclo di vita dell'identità.

L'SSO funziona insieme ad altre funzionalità IAM, tra cui MFA, controllo degli accessi basato sui ruoli (RBAC), provisioning delle identità e revisioni degli accessi. Insieme, queste funzionalità aiutano le organizzazioni a gestire chi può accedere alle risorse e a quali condizioni.

Casi d'uso comuni del Single Sign-On

L'SSO è utile quando gli utenti devono accedere a più applicazioni connesse senza dover accedere separatamente a ciascuna di esse.

Accesso all'applicazione aziendale

I dipendenti si autenticano tramite il provider di identità della propria organizzazione per accedere ad applicazioni di e-mail, CRM, risorse umane e collaborazione approvate.

Istruzione

Studenti, insegnanti e personale amministrativo utilizzano un sistema di identità centrale per accedere a piattaforme di apprendimento, portali studenteschi e applicazioni istituzionali.

Portali per clienti e partner

Le aziende consentono a clienti e partner autenticati di spostarsi tra i servizi connessi senza mantenere login separati per le applicazioni.

Cosa dovrebbero cercare le organizzazioni in una soluzione SSO?

Una soluzione SSO dovrebbe supportare le applicazioni, l'infrastruttura di identità e i requisiti di autenticazione di un'organizzazione.

Compatibilità dell'applicazione

Supporto per applicazioni SaaS, on-premise e legacy comunemente utilizzate.

Supporto protocollo di autenticazione

Compatibilità con standard quali SAML 2.0 e OIDC.

Integrazione MFA

Supporto per ulteriori fattori di autenticazione e requisiti di accesso condizionali.

Directory e integrazione IAM

Compatibilità con le directory di identità esistenti, i processi di provisioning degli utenti e i sistemi di gestione degli accessi.

Gestione e monitoraggio delle sessioni

Visibilità sull'attività di autenticazione e controlli per la gestione delle sessioni utente.

Affidabilità e disponibilità

Infrastruttura in grado di mantenere i servizi di autenticazione e supportare il ripristino in caso di interruzioni.

Le organizzazioni che gestiscono gli endpoint dei dipendenti possono anche prendere in considerazione soluzioni SSO che supportano condizioni di accesso basate sul dispositivo.

Single Sign-On con Scalefusion OneIdP

Scalefusion OneIdP fornisce Single Sign-On per applicazioni aziendali integrate, consentendo alle organizzazioni di centralizzare l'autenticazione degli utenti e gestire le policy di accesso.

Attraverso l'integrazione con Scalefusion Unified Endpoint Management (UEM), OneIdP supporta policy di accesso condizionale che possono considerare se un dispositivo è gestito da Scalefusion, mentre le configurazioni supportate possono anche utilizzare condizioni relative al dispositivo per valutare l'accesso ad applicazioni aziendali integrate.

Con la gestione dell'identità e dei dispositivi connessa tramite un dashboard centralizzato, gli amministratori IT possono configurare a livello centrale le policy SSO e le condizioni di accesso per i dispositivi gestiti collegando l'autenticazione delle applicazioni con la gestione degli endpoint.

Pianifica una demo Inizia

Domande frequenti

L'SSO è la stessa cosa dell'MFA?

No. L'SSO consente agli utenti di accedere a più applicazioni connesse dopo essersi autenticati una sola volta, mentre l'autenticazione a più fattori (MFA) richiede agli utenti di verificare la propria identità utilizzando due o più fattori di autenticazione.

Le due funzioni possono lavorare insieme, con l'MFA applicato durante l'autenticazione SSO iniziale o quando è necessaria un'ulteriore verifica.

2. Qual è la differenza tra SSO e identità federata?

L'SSO consente agli utenti di accedere a più applicazioni connesse dopo una singola autenticazione. L'identità federata consente a sistemi separati o domini di sicurezza di fidarsi delle informazioni sull'identità o dell'autenticazione eseguita da un altro provider di identità.

La federazione può supportare l'SSO in diverse applicazioni e organizzazioni, ma i due concetti non sono intercambiabili.

3. Il Single Sign-On è sicuro?

L'SSO può migliorare la sicurezza dell'autenticazione riducendo le password specifiche dell'applicazione e supportando policy centralizzate come l'MFA e l'accesso condizionale.

Tuttavia, la sua sicurezza dipende dal provider di identità, dalla configurazione dell'applicazione, dalla protezione della sessione e dai controlli degli accessi. Un account o una sessione SSO compromessi potrebbero esporre più applicazioni connesse.

4. L'SSO concede automaticamente agli utenti l'accesso a ogni applicazione connessa?

No. L'SSO semplifica l'autenticazione ma non concede automaticamente i permessi per ogni applicazione connessa.

Gli utenti possono accedere solo alle applicazioni e alle risorse consentite dai ruoli assegnati, dalle impostazioni di accesso all'applicazione e dalle policy di autorizzazione applicabili.

Accedi alle applicazioni di lavoro con il Single Sign-On condizionale per una maggiore sicurezza.

Inizia la prova gratuita Prenota una demo

Explore more glossary entries

IAM

Empower your organization's security at every endpoint — manage digital identities and control user access to critica...

Leggi di più

Access Management

Access Management streamlines operations by unifying authentication, authorization, and auditing in a single solution...

Leggi di più

Conditional Access

Conditional access is a modern security approach that integrates user and device identity into access control decisio...

Leggi di più
Explore more

Manage your enterprise. Secure every touchpoint.

One platform for endpoint management, endpoint security, and secure user access.

Prenota una demo
ENDPOINT MANAGEMENT
Scalefusion
Every device, under control.

Manage every device from one console.

Explore UEM
ENDPOINT SECURITY
Veltar
Threats stopped at the endpoint.

Protect data, web & apps — on the same agent.

Explore Veltar
SECURE USER ACCESS
OneIdP
Access that trusts the device.

Federated SSO & passwordless, on device posture.

Explore OneIdP
Ottieni una demo