Czym jest Single Sign-On (SSO)?

Single Sign-On (SSO) to mechanizm uwierzytelniania, który pozwala użytkownikom na dostęp do wielu połączonych aplikacji po jednokrotnym uwierzytelnieniu, bez konieczności osobnego logowania się do każdej z nich. Zaufany dostawca tożsamości (IdP) zazwyczaj uwierzytelnia użytkownika i pozwala połączonym aplikacjom polegać na tym uwierzytelnieniu.

SSO redukuje powtarzające się monity o logowanie i pozwala organizacjom centralnie zarządzać politykami uwierzytelniania w zintegrowanych aplikacjach.

Rozpocznij Zaplanuj demo

Jak działa Single Sign-On?

SSO pozwala aplikacjom ufać uwierzytelnieniu przeprowadzonemu przez centralnego dostawcę tożsamości. W typowym przepływie federacyjnym SSO, aplikacja przekierowuje użytkownika do IdP, który uwierzytelnia użytkownika i zwraca odpowiedź uwierzytelniającą, którą aplikacja weryfikuje.

Żądanie dostępu

Użytkownik otwiera aplikację obsługującą SSO. Jeśli aplikacja nie ma ważnej sesji, przekierowuje użytkownika do dostawcy tożsamości.

Weryfikacja tożsamości

IdP uwierzytelnia użytkownika za pomocą poświadczeń, uwierzytelniania wieloskładnikowego (MFA) lub innej skonfigurowanej metody. Jeśli ważna sesja IdP już istnieje, ponowne logowanie może nie być wymagane.

Odpowiedź uwierzytelniająca

IdP dostarcza asercję uwierzytelniającą lub token przy użyciu obsługiwanego protokołu, który aplikacja odbiera i weryfikuje.

Dostęp do aplikacji

Aplikacja sprawdza odpowiedź uwierzytelniającą i obowiązujące uprawnienia dostępu przed ustanowieniem sesji.

Po uwierzytelnieniu użytkownik może uzyskać dostęp do innych połączonych aplikacji bez ponownego logowania, pod warunkiem, że pozwala na to istniejąca sesja uwierzytelniania i polityki dostępu.

Jakie są kluczowe komponenty SSO?

SSO opiera się na kilku komponentach, które uwierzytelniają użytkowników i pozwalają połączonym aplikacjom ufać centralnemu dostawcy tożsamości.

Dostawca Tożsamości (IdP)

Uwierzytelnia użytkowników i dostarcza informacje o tożsamości do połączonych aplikacji.

Dostawca Usług (SP)

Aplikacja lub usługa, która polega na odpowiedzi uwierzytelniającej IdP w celu ustanowienia sesji użytkownika. W OpenID Connect ta rola jest powszechnie nazywana stroną polegającą (relying party).

Katalog użytkowników

Przechowuje tożsamości i atrybuty użytkowników lub zapewnia do nich dostęp. Organizacje mogą używać katalogów takich jak Microsoft Active Directory.

Asercja uwierzytelniająca lub token

Przenosi informacje uwierzytelniające lub informacje o tożsamości, które aplikacje weryfikują przed ustanowieniem sesji.

Jakie protokoły są używane do Single Sign-On?

SSO wykorzystuje protokoły uwierzytelniania, które umożliwiają systemom tożsamości i aplikacjom wymianę i weryfikację informacji uwierzytelniających.

Security Assertion Markup Language (SAML 2.0)

Oparty na XML standard, który umożliwia dostawcom tożsamości wysyłanie tokenów uwierzytelniających do dostawców usług. Jest powszechnie używany w korporacyjnych aplikacjach internetowych.

OpenID Connect (OIDC)

Protokół uwierzytelniania zbudowany na bazie OAuth 2.0, który pozwala aplikacjom zweryfikować tożsamość użytkownika na podstawie informacji od dostawcy tożsamości, w tym ID tokenów.

Kerberos

Sieciowy protokół uwierzytelniania, który wykorzystuje bilety do uwierzytelniania użytkowników i usług bez wielokrotnego przesyłania haseł. Jest powszechnie używany w środowiskach domenowych Windows.

OAuth 2.0 to framework autoryzacji, a nie samodzielny protokół uwierzytelniania. Umożliwia aplikacjom uzyskanie delegowanego dostępu do zasobów, podczas gdy OIDC rozszerza OAuth 2.0 o obsługę uwierzytelniania użytkowników.

Jakie są korzyści z Single Sign-On?

SSO upraszcza uwierzytelnianie aplikacji dla użytkowników, jednocześnie pozwalając organizacjom na centralne zarządzanie wymaganiami logowania.

Zmniejszenie zmęczenia hasłami

Użytkownicy utrzymują mniej poświadczeń dla konkretnych aplikacji, co zmniejsza konieczność pamiętania wielu haseł.

Uproszczony dostęp do aplikacji

Pracownicy mogą przemieszczać się między połączonymi aplikacjami bez konieczności ciągłego wpisywania poświadczeń, co mogłoby przerwać ich pracę.

Scentralizowane polityki uwierzytelniania

Zespoły IT mogą egzekwować spójne wymagania logowania, w tym MFA, za pośrednictwem dostawcy tożsamości we wszystkich połączonych aplikacjach.

Lepsza widoczność uwierzytelniania

Scentralizowane rejestry logowań pomagają administratorom IT w monitorowaniu aktywności uwierzytelniania w zintegrowanych aplikacjach.

Niższe koszty wsparcia IT

Mniejsza liczba poświadczeń przypisanych do aplikacji może zmniejszyć liczbę zgłoszeń do pomocy technicznej związanych z hasłami.

Jakie są ograniczenia i ryzyka bezpieczeństwa SSO?

Mimo że SSO upraszcza uwierzytelnianie, centralizacja dostępu wprowadza również pewne kwestie związane z bezpieczeństwem i operacyjnością.

Dostępność dostawcy tożsamości

Aplikacje zależne od IdP mogą doświadczać przerw w uwierzytelnianiu, gdy usługa tożsamości jest niedostępna.

Kompatybilność aplikacji

Starsze aplikacje, które nie obsługują nowoczesnych protokołów federacyjnych, mogą wymagać alternatywnych integracji lub osobnego uwierzytelniania.

Kradzież sesji i tokenów

Atakujący, którzy uzyskają ważne sesje uwierzytelniania lub tokeny, mogą uzyskać dostęp do połączonych aplikacji bez powtarzania początkowego procesu uwierzytelniania.

Złożoność integracji i konfiguracji

Błędne konfiguracje zaufania, niespójne zarządzanie użytkownikami lub nieobsługiwane zachowania wylogowania mogą tworzyć luki w zarządzaniu dostępem.

Pojedynczy punkt awarii

Naruszenie bezpieczeństwa dostawcy tożsamości lub konta SSO może narazić wiele połączonych aplikacji, w zależności od tego, jakich tożsamości, uprawnień i kontroli bezpieczeństwa to dotyczy.

Organizacje mogą zmniejszyć to ryzyko, egzekwując MFA, chroniąc sesje uwierzytelniania, monitorując podejrzane logowania, utrzymując niezawodną infrastrukturę tożsamości i stosując odpowiednie kontrole dostępu.

SSO a tradycyjne uwierzytelnianie: Jaka jest różnica?

W przypadku tradycyjnego uwierzytelniania użytkownicy zazwyczaj logują się do każdej aplikacji z osobna. SSO pozwala połączonym aplikacjom polegać na uwierzytelnieniu przeprowadzonym przez zaufanego dostawcę tożsamości.

Aspekt Tradycyjne uwierzytelnianie Single Sign-On (SSO)
Proces logowania Użytkownicy logują się do każdej aplikacji oddzielnie Użytkownicy uwierzytelniają się raz, aby uzyskać dostęp do wielu aplikacji i stron
Poświadczenia Aplikacje mogą wymagać osobnych poświadczeń Aplikacje mogą korzystać ze współdzielonej sesji uwierzytelniania lub wspieranej integracji poświadczeń
Zarządzanie uwierzytelnianiem Zarządzane niezależnie przez aplikacje Scentralizowane przez IdP
Polityki bezpieczeństwa Mogą się różnić w poszczególnych aplikacjach Mogą być wymuszane centralnie przez IdP
Doświadczenie użytkownika Powtarzające się prośby o logowanie Mniej logowań

Jak SSO wpisuje się w Zarządzanie Tożsamością i Dostępem?

Single Sign-On to funkcja uwierzytelniania w ramach Zarządzania Tożsamością i Dostępem (IAM).

Podczas gdy SSO pozwala użytkownikom na uwierzytelnianie w połączonych aplikacjach, IAM obejmuje szersze zarządzanie cyfrowymi tożsamościami, uprawnieniami aplikacji, dodawaniem użytkowników (provisioning) i dostępem w całym cyklu życia tożsamości.

SSO współpracuje z innymi funkcjami IAM, w tym z MFA, kontrolą dostępu opartą na rolach (RBAC), provisioningu tożsamości i przeglądami dostępu. Razem te funkcje pomagają organizacjom w zarządzaniu tym, kto może uzyskiwać dostęp do zasobów i na jakich warunkach.

Najczęściej spotykane przykłady zastosowania technologii Single Sign-On

SSO jest przydatne, gdy użytkownicy potrzebują dostępu do wielu połączonych aplikacji bez konieczności logowania się do każdej z nich z osobna.

Dostęp do aplikacji firmowych

Pracownicy uwierzytelniają się za pośrednictwem dostawcy tożsamości swojej organizacji, aby uzyskać dostęp do zatwierdzonych aplikacji poczty e-mail, CRM, HR i narzędzi współpracy.

Edukacja

Uczniowie, nauczyciele i pracownicy administracyjni korzystają z centralnego systemu tożsamości, aby uzyskać dostęp do platform edukacyjnych, portali dla studentów i aplikacji instytucjonalnych.

Portale dla klientów i partnerów

Firmy pozwalają uwierzytelnionym klientom i partnerom poruszać się między połączonymi usługami bez konieczności prowadzenia oddzielnych logowań do aplikacji.

Na co zwrócić uwagę, wybierając rozwiązanie SSO?

Rozwiązanie SSO powinno obsługiwać aplikacje organizacji, infrastrukturę tożsamości i wymagania dotyczące uwierzytelniania.

Kompatybilność aplikacji

Obsługa powszechnie używanych aplikacji SaaS, lokalnych i starszych systemów.

Obsługa protokołów uwierzytelniania

Zgodność ze standardami takimi jak SAML 2.0 i OIDC.

Integracja MFA

Obsługa dodatkowych czynników uwierzytelniania i warunkowych wymogów logowania.

Integracja z katalogiem i IAM

Zgodność z istniejącymi katalogami tożsamości, procesami udostępniania użytkowników i systemami zarządzania dostępem.

Zarządzanie sesją i monitorowanie

Widoczność aktywności uwierzytelniania i kontrole umożliwiające zarządzanie sesjami użytkowników.

Niezawodność i dostępność

Infrastruktura zdolna do utrzymania usług uwierzytelniania i wspierania odzyskiwania po awariach.

Organizacje zarządzające punktami końcowymi pracowników mogą również rozważyć rozwiązania SSO, które obsługują warunki dostępu oparte na urządzeniach.

Single Sign-On dzięki Scalefusion OneIdP

Scalefusion OneIdP zapewnia Single Sign-On dla zintegrowanych aplikacji biznesowych, umożliwiając organizacjom centralizację uwierzytelniania użytkowników i zarządzanie zasadami dostępu.

Dzięki integracji ze Scalefusion Unified Endpoint Management (UEM), OneIdP obsługuje zasady dostępu warunkowego, które mogą uwzględniać to, czy urządzenie jest zarządzane przez Scalefusion, podczas gdy obsługiwane konfiguracje mogą również wykorzystywać warunki związane z urządzeniem przy ocenie dostępu do zintegrowanych aplikacji biznesowych.

Dzięki połączeniu tożsamości i zarządzania urządzeniami za pośrednictwem scentralizowanego pulpitu nawigacyjnego administratorzy IT mogą centralnie konfigurować zasady SSO i warunki dostępu zarządzanego urządzenia, łącząc uwierzytelnianie aplikacji z zarządzaniem punktami końcowymi.

Zaplanuj demo Rozpocznij

Często zadawane pytania

Czy SSO to to samo co MFA?

Nie. SSO pozwala użytkownikom na dostęp do wielu połączonych aplikacji po jednokrotnym uwierzytelnieniu, podczas gdy uwierzytelnianie wieloskładnikowe (MFA) wymaga od użytkowników zweryfikowania swojej tożsamości przy użyciu dwóch lub więcej czynników uwierzytelniania.

Obie te metody mogą współpracować, przy czym MFA jest stosowane podczas początkowego uwierzytelniania SSO lub w sytuacji, gdy wymagana jest dodatkowa weryfikacja.

2. Jaka jest różnica między SSO a tożsamością stowarzyszoną (federated identity)?

SSO pozwala użytkownikom na dostęp do wielu połączonych aplikacji po jednorazowym uwierzytelnieniu. Tożsamość stowarzyszona pozwala oddzielnym systemom lub domenom bezpieczeństwa ufać informacjom o tożsamości lub uwierzytelnieniu wykonanemu przez innego dostawcę tożsamości.

Federacja może obsługiwać SSO w różnych aplikacjach i organizacjach, ale tych dwóch pojęć nie można stosować zamiennie.

3. Czy Single Sign-On jest bezpieczne?

SSO może poprawić bezpieczeństwo uwierzytelniania poprzez redukcję haseł specyficznych dla poszczególnych aplikacji i wspieranie scentralizowanych polityk, takich jak MFA i dostęp warunkowy.

Jednak jego bezpieczeństwo zależy od dostawcy tożsamości, konfiguracji aplikacji, ochrony sesji i kontroli dostępu. Skompromitowane konto SSO lub sesja może narazić wiele połączonych aplikacji na niebezpieczeństwo.

4. Czy SSO automatycznie przyznaje użytkownikom dostęp do każdej połączonej aplikacji?

Nie. SSO upraszcza uwierzytelnianie, ale nie przyznaje automatycznie uprawnień do każdej połączonej aplikacji.

Użytkownicy mogą uzyskać dostęp tylko do tych aplikacji i zasobów, na które pozwalają ich przypisane role, ustawienia dostępu do aplikacji i obowiązujące zasady autoryzacji.

Uzyskaj dostęp do aplikacji roboczych dzięki warunkowemu logowaniu jednokrotnemu, aby zwiększyć bezpieczeństwo.

Rozpocznij bezpłatny okres próbny Zarezerwuj demo

Explore more glossary entries

IAM

Empower your organization's security at every endpoint — manage digital identities and control user access to critica...

Czytaj dalej

Access Management

Access Management streamlines operations by unifying authentication, authorization, and auditing in a single solution...

Czytaj dalej

Conditional Access

Conditional access is a modern security approach that integrates user and device identity into access control decisio...

Czytaj dalej
Explore more

Manage your enterprise. Secure every touchpoint.

One platform for endpoint management, endpoint security, and secure user access.

Zarezerwuj demo
ENDPOINT MANAGEMENT
Scalefusion
Every device, under control.

Manage every device from one console.

Explore UEM
ENDPOINT SECURITY
Veltar
Threats stopped at the endpoint.

Protect data, web & apps — on the same agent.

Explore Veltar
SECURE USER ACCESS
OneIdP
Access that trusts the device.

Federated SSO & passwordless, on device posture.

Explore OneIdP
Uzyskaj demo