В чем разница между SSO и федерацией удостоверений?

SSO предоставляет пользователю доступ к нескольким связанным приложениям после разовой аутентификации. Федерация удостоверений (Federated Identity) позволяет отдельным системам или доменам безопасности доверять информации об идентификации или аутентификации, выполненной сторонним поставщиком удостоверений (IdP). Федерация может обеспечивать работу SSO между различными приложениями и организациями, но эти концепции не взаимозаменяемы.

Безопасна ли технология Single Sign-On (SSO)?

SSO повышает безопасность аутентификации, сокращая количество раздельных паролей для приложений и поддерживая централизованные политики (MFA, контекстный доступ). При этом уровень защиты напрямую зависит от настроек IdP, конфигурации приложений, защиты сессий и управления доступом. Компрометация учетной записи или сессии SSO может поставить под угрозу сразу несколько подключенных систем.

Предоставляет ли SSO автоматический доступ ко всем подключенным приложениям?

Нет. SSO упрощает процесс аутентификации, но не наделяет правами доступа автоматически. Пользователи могут входить только в те сервисы и ресурсы, которые разрешены назначенными им ролями, правилами доступа в приложениях и действующими политиками авторизации.

Что такое единый вход (SSO)?

Как работает единый вход?

SSO позволяет приложениям доверять аутентификации, выполняемой центральным поставщиком удостоверений. В типичном федеративном потоке SSO приложение перенаправляет пользователя к IdP, который аутентифицирует пользователя и возвращает ответ об аутентификации, который проверяет приложение.

Запрос доступа

Пользователь открывает приложение с поддержкой SSO. Если у приложения нет действительной сессии, оно перенаправляет пользователя к поставщику удостоверений.

Проверка личности

IdP аутентифицирует пользователя с помощью учетных данных, многофакторной аутентификации (MFA) или другого настроенного метода. Если действительная сессия IdP уже существует, повторный вход может не потребоваться.

Ответ об аутентификации

IdP предоставляет утверждение об аутентификации или маркер (токен) с использованием поддерживаемого протокола, который приложение получает и проверяет.

Доступ к приложению

Перед установлением сессии приложение проверяет ответ об аутентификации и применимые разрешения на доступ.

Пройдя аутентификацию, пользователь может получить доступ к другим подключенным приложениям без повторного входа, при условии, что существующая сессия аутентификации и политики доступа это позволяют.

Поставщик удостоверений (IdP)

Аутентифицирует пользователей и предоставляет информацию о личности подключенным приложениям.

Поставщик услуг (SP)

Приложение или служба, которая полагается на ответ IdP об аутентификации для создания сессии пользователя. В OpenID Connect эта роль обычно называется проверяющей стороной (relying party).

Каталог пользователей

Хранит или предоставляет доступ к удостоверениям и атрибутам пользователей. Организации могут использовать каталоги, такие как Microsoft Active Directory.

Утверждение об аутентификации или маркер

Передает информацию об аутентификации или удостоверении, которую приложения проверяют перед созданием сессии.

Security Assertion Markup Language (SAML 2.0)

Стандарт на основе XML, который позволяет поставщикам удостоверений отправлять маркеры аутентификации поставщикам услуг. Он обычно используется для корпоративных веб-приложений.

OpenID Connect (OIDC)

Протокол аутентификации, созданный на основе OAuth 2.0, который позволяет приложениям проверять личность пользователя с использованием информации от поставщика удостоверений, включая ID-токены.

Kerberos

Сетевой протокол аутентификации, который использует билеты для аутентификации пользователей и служб без многократной передачи паролей. Обычно используется в доменных средах Windows.

OAuth 2.0 — это структура авторизации, а не отдельный протокол аутентификации. Он позволяет приложениям получать делегированный доступ к ресурсам, в то время как OIDC расширяет OAuth 2.0 для поддержки аутентификации пользователей.

Снижение «усталости от паролей»

Пользователям нужно хранить меньше учетных данных для конкретных приложений, что снижает необходимость запоминать несколько паролей.

Упрощенный доступ к приложениям

Сотрудники могут перемещаться между подключенными приложениями без постоянного ввода учетных данных, что не прерывает их рабочий процесс.

Централизованные политики аутентификации

ИТ-отделы могут применять единые требования к входу, включая MFA, через поставщика удостоверений для всех подключенных приложений.

Улучшенная видимость аутентификации

Централизованные записи о входе в систему помогают ИТ-администраторам отслеживать активность аутентификации в интегрированных приложениях.

Снижение нагрузки на ИТ-поддержку

Меньшее количество учетных данных для конкретных приложений может сократить количество запросов в службу поддержки, связанных с паролями.

Доступность поставщика удостоверений

Приложения, зависящие от IdP, могут столкнуться со сбоями аутентификации, если служба идентификации недоступна.

Совместимость приложений

Устаревшим приложениям, которые не поддерживают современные протоколы федерации, могут потребоваться альтернативные интеграции или отдельная аутентификация.

Кража сессий и маркеров

Злоумышленники, получившие действительные сессии или маркеры аутентификации, могут получить доступ к подключенным приложениям без повторения первоначального процесса аутентификации.

Сложность интеграции и настройки

Неправильные конфигурации доверия, непоследовательная подготовка пользователей или неподдерживаемое поведение при выходе из системы могут создать пробелы в управлении доступом.

Единая точка отказа

Компрометация поставщика удостоверений или учетной записи SSO может поставить под угрозу несколько подключенных приложений, в зависимости от затронутых удостоверений, разрешений и средств управления безопасностью.

Организации могут снизить эти риски за счет внедрения MFA, защиты сессий аутентификации, мониторинга подозрительных попыток входа, поддержания надежной инфраструктуры идентификации и применения соответствующих средств контроля доступа.

Аспект	Традиционная аутентификация	Единый вход (SSO)
Процесс входа	Пользователи входят в каждое приложение отдельно	Пользователи проходят аутентификацию один раз для доступа к различным приложениям и веб-сайтам
Учетные данные	Приложениям могут потребоваться отдельные учетные данные	Приложения могут полагаться на общую сессию аутентификации или поддерживаемую интеграцию учетных данных
Управление аутентификацией	Управляется приложениями независимо	Централизовано через IdP
Политики безопасности	Могут различаться для разных приложений	Могут применяться централизованно через IdP
Пользовательский опыт	Повторяющиеся запросы на вход	Меньше входов в систему

Какое место занимает SSO в управлении идентификацией и доступом (IAM)?

Единый вход — это возможность аутентификации в рамках управления идентификацией и доступом (IAM).

В то время как SSO позволяет пользователям проходить аутентификацию в подключенных приложениях, IAM охватывает более широкое управление цифровыми удостоверениями, разрешениями приложений, подготовкой пользователей и доступом на протяжении всего жизненного цикла удостоверения.

SSO работает вместе с другими возможностями IAM, включая MFA, управление доступом на основе ролей (RBAC), подготовку удостоверений и проверки доступа. Вместе эти возможности помогают организациям управлять тем, кто и на каких условиях может получать доступ к ресурсам.

Доступ к корпоративным приложениям

Сотрудники проходят аутентификацию через поставщика удостоверений своей организации для доступа к одобренной электронной почте, CRM, HR и приложениям для совместной работы.

Образование

Студенты, преподаватели и административный персонал используют центральную систему идентификации для доступа к учебным платформам, студенческим порталам и институциональным приложениям.

Порталы для клиентов и партнеров

Компании позволяют аутентифицированным клиентам и партнерам перемещаться между подключенными сервисами без сохранения отдельных логинов для приложений.

Совместимость приложений

Поддержка часто используемых SaaS, локальных и устаревших приложений.

Поддержка протоколов аутентификации

Совместимость со стандартами, такими как SAML 2.0 и OIDC.

Интеграция MFA

Поддержка дополнительных факторов аутентификации и условий для входа в систему.

Интеграция с каталогами и IAM

Совместимость с существующими каталогами идентификации, процессами подготовки пользователей и системами управления доступом.

Управление сессиями и мониторинг

Видимость активности аутентификации и средства управления пользовательскими сессиями.

Надежность и доступность

Инфраструктура, способная поддерживать службы аутентификации и поддерживать восстановление во время сбоев.

Организации, управляющие конечными устройствами сотрудников, также могут рассмотреть решения SSO, которые поддерживают условия доступа на основе устройств.

Единый вход с помощью Scalefusion OneIdP

Scalefusion OneIdP обеспечивает единый вход для интегрированных бизнес-приложений, что позволяет организациям централизовать аутентификацию пользователей и управлять политиками доступа.

Благодаря интеграции со Scalefusion Unified Endpoint Management (UEM) OneIdP поддерживает политики условного доступа, которые могут учитывать, управляется ли устройство с помощью Scalefusion, в то время как поддерживаемые конфигурации также могут использовать условия, связанные с устройствами, при оценке доступа к интегрированным бизнес-приложениям.

С помощью управления идентификацией и устройствами, подключенного через централизованную панель управления, ИТ-администраторы могут централизованно настраивать политики SSO и условия доступа к управляемым устройствам путем подключения аутентификации приложений к управлению конечными устройствами.

Запланировать демо Начать

SSO — это то же самое, что и MFA?

Нет. SSO позволяет пользователям получать доступ к нескольким подключенным приложениям после однократной аутентификации, в то время как многофакторная аутентификация (MFA) требует от пользователей подтверждения своей личности с помощью двух или более факторов аутентификации.

Оба метода могут работать вместе: MFA применяется во время первоначальной аутентификации SSO или когда требуется дополнительная проверка.

2. В чем разница между SSO и федеративной идентификацией?

SSO позволяет пользователям получать доступ к нескольким подключенным приложениям после единой аутентификации. Федеративная идентификация позволяет отдельным системам или доменам безопасности доверять информации об удостоверении или аутентификации, выполненной другим поставщиком удостоверений.

Федерация может поддерживать SSO в различных приложениях и организациях, но эти два понятия не взаимозаменяемы.

3. Безопасен ли единый вход?

SSO может повысить безопасность аутентификации за счет сокращения количества паролей для конкретных приложений и поддержки централизованных политик, таких как MFA и условный доступ.

Однако его безопасность зависит от поставщика удостоверений, конфигурации приложения, защиты сессий и средств управления доступом. Скомпрометированная учетная запись или сессия SSO может подвергнуть риску несколько подключенных приложений.

4. Предоставляет ли SSO пользователям автоматический доступ ко всем подключенным приложениям?

Нет. SSO упрощает аутентификацию, но не предоставляет автоматически разрешения для каждого подключенного приложения.

Пользователи могут получить доступ только к тем приложениям и ресурсам, которые разрешены назначенными им ролями, настройками доступа к приложениям и применимыми политиками авторизации.

Что такое единый вход (SSO)?

Как работает единый вход?

Запрос доступа

Проверка личности

Ответ об аутентификации

Доступ к приложению

Каковы ключевые компоненты SSO?

Поставщик удостоверений (IdP)

Поставщик услуг (SP)

Каталог пользователей

Утверждение об аутентификации или маркер

Какие протоколы используются для единого входа?

Security Assertion Markup Language (SAML 2.0)

OpenID Connect (OIDC)

Kerberos

Каковы преимущества единого входа?

Снижение «усталости от паролей»

Упрощенный доступ к приложениям

Централизованные политики аутентификации

Улучшенная видимость аутентификации

Снижение нагрузки на ИТ-поддержку

Каковы ограничения и риски безопасности SSO?

Доступность поставщика удостоверений

Совместимость приложений

Кража сессий и маркеров

Сложность интеграции и настройки

Единая точка отказа

SSO или традиционная аутентификация: в чем разница?

Какое место занимает SSO в управлении идентификацией и доступом (IAM)?

Общие сценарии использования единого входа

Доступ к корпоративным приложениям

Образование

Порталы для клиентов и партнеров

На что организациям следует обратить внимание при выборе решения SSO?

Совместимость приложений

Поддержка протоколов аутентификации

Интеграция MFA

Интеграция с каталогами и IAM

Управление сессиями и мониторинг

Надежность и доступность

Единый вход с помощью Scalefusion OneIdP

Часто задаваемые вопросы

SSO — это то же самое, что и MFA?

2. В чем разница между SSO и федеративной идентификацией?

3. Безопасен ли единый вход?

4. Предоставляет ли SSO пользователям автоматический доступ ко всем подключенным приложениям?

Получите доступ к рабочим приложениям с условным единым входом для большей безопасности.

Explore more glossary entries

IAM

Access Management

Conditional Access

Manage your enterprise. Secure every touchpoint.

ENDPOINT MANAGEMENT

Every device, under control.

ENDPOINT SECURITY

Threats stopped at the endpoint.

SECURE USER ACCESS

Access that trusts the device.