SSO – single sign-on
SSO (single sign-on, jednokrotne logowanie) to mechanizm, w którym użytkownik loguje się raz do firmowego dostawcy tożsamości (np. Microsoft Entra ID lub Active Directory) i uzyskuje dostęp do wielu systemów bez kolejnych haseł. Systemy ufają potwierdzeniu tożsamości przekazanemu w standardach SAML lub OpenID Connect. W obiegu dokumentów SSO oznacza jedno konto, jedno hasło i jedno miejsce blokowania dostępu.
Jak działa single sign-on, czyli jednokrotne logowanie
W SSO występują dwie strony: dostawca tożsamości, który zna użytkowników i weryfikuje ich hasła oraz drugi składnik uwierzytelnienia, i systemy, które mu ufają. Gdy pracownik otwiera system obiegu dokumentów, ten nie pyta o hasło, tylko przekierowuje go do dostawcy tożsamości. Jeśli pracownik jest już zalogowany - bo rano uruchomił komputer w domenie albo zalogował się do poczty - dostawca odsyła podpisany cyfrowo dowód tożsamości, a system zakłada sesję. Dostawcą jest zwykle Microsoft Entra ID (dawniej Azure AD), Active Directory z usługą federacyjną, Google Workspace, Okta lub Keycloak. W sieci firmowej z domeną Windows tę rolę pełni protokół Kerberos: logowanie do komputera jest jednocześnie logowaniem do systemów, które obsługują uwierzytelnianie zintegrowane z Windows.
Standardy SSO: SAML, OpenID Connect i Kerberos
- SAML 2.0 - starszy standard oparty na XML, powszechny w systemach korporacyjnych.
- OpenID Connect (OIDC) - nowszy, oparty na OAuth 2.0 i JSON, wygodniejszy dla aplikacji mobilnych i webowych.
- Kerberos - uwierzytelnianie w domenie Windows bez ponownego podawania hasła.
- LDAP - protokół dostępu do katalogu użytkowników i grup, używany do synchronizacji kont, a nie do samego SSO.
- SCIM - automatyczne zakładanie, aktualizowanie i wyłączanie kont w systemach na podstawie katalogu.
Korzyści i ryzyka jednokrotnego logowania
Zyski są wymierne: mniej haseł, więc mniej resetów i mniej karteczek pod klawiaturą, uwierzytelnianie wieloskładnikowe włączone raz w jednym miejscu, szybkie odcięcie dostępu do wszystkich systemów po odejściu pracownika i jeden dziennik logowań do audytu. Ryzyko jest lustrzane: jedno konto otwiera wszystko, dlatego SSO bez MFA to krok wstecz, a nie naprzód. Awaria dostawcy tożsamości oznacza brak dostępu do wszystkich systemów, więc administratorzy utrzymują konta awaryjne. Błędne przypisanie użytkownika do grupy w katalogu daje mu od razu uprawnienia w wielu systemach naraz.
SSO w systemie obiegu dokumentów
W obiegu dokumentów SSO daje coś więcej niż wygodę. Grupy z katalogu stają się rolami w procesach: członek grupy „Akceptujący - Finanse” widzi faktury do akceptacji, a po przeniesieniu do innej grupy przestaje je widzieć bez interwencji administratora systemu. Onboarding i offboarding pracownika dzieją się w jednym miejscu, w katalogu, a system obiegu podąża za nimi. Dziennik logowań u dostawcy tożsamości razem z historią operacji w systemie obiegu pokazuje, kto i kiedy otwierał dokumenty, co ma znaczenie przy danych wrażliwych.
Platforma JobRouter®, na której e-MSI wdraża procesy, synchronizuje użytkowników i logowanie z Active Directory lub innym systemem katalogowym, co zapewnia pojedyncze logowanie - SSO. Po zalogowaniu system sprawdza role użytkownika i otwiera mu tylko te procesy i dane, do których ma uprawnienia, a każda operacja trafia do dziennika audytowego. Użytkownicy spoza firmy, na przykład kontrahenci w portalu, zwykle dostają osobne konta, oddzielone od katalogu pracowników. Więcej o tym podejściu na stronie bezpieczeństwo.
Na co uważać przy wdrożeniu SSO
- Uwierzytelnianie wieloskładnikowe u dostawcy tożsamości jest obowiązkowe, nie opcjonalne.
- Konto awaryjne administratora z hasłem lokalnym, na wypadek awarii dostawcy tożsamości.
- Mapowanie grup katalogu na role w systemie sprawdzone przed uruchomieniem, nie po pierwszej pomyłce.
- Osobna ścieżka dla użytkowników bez konta w domenie: pracowników produkcji, kontrahentów, audytorów.
- Czas życia sesji dopasowany do ryzyka - krótszy na urządzeniach mobilnych.
- Test odcięcia: zablokowanie konta w katalogu ma zamykać dostęp do systemu obiegu w ciągu minut.
Przykłady zastosowania
Pracownik loguje się rano do komputera w domenie firmowej i otwiera system obiegu dokumentów bez podawania hasła - tożsamość potwierdza Kerberos.
Dział HR zgłasza odejście pracownika. Administrator blokuje konto w Entra ID i od tej chwili pracownik nie zaloguje się już do poczty, obiegu faktur ani e-teczki, a otwarte sesje wygasają.
Kontrahent składa reklamację przez portal klienta. Nie ma konta w firmowym katalogu, więc loguje się osobnym loginem, a jego uprawnienia kończą się na własnych zgłoszeniach.
Dostawca tożsamości ma awarię. Administrator systemu obiegu loguje się kontem awaryjnym z hasłem lokalnym, żeby przywrócić krytyczny proces płatności.
Kierownik działu zostaje przeniesiony do innego pionu. Zmiana grupy w Active Directory automatycznie zmienia jego rolę w procesach akceptacji - bez zgłoszenia do IT.
Najczęstsze pytania
Co to jest system SSO?
To system jednokrotnego logowania: jedno logowanie zamiast wielu. Logujesz się raz do firmowego konta, a poczta, obieg dokumentów, system kadrowy i inne aplikacje ufają temu logowaniu i nie pytają o hasło ponownie. Tożsamość potwierdza jeden dostawca, na przykład Microsoft Entra ID.
Jak działa SSO?
Aplikacja nie pyta o hasło, tylko przekierowuje pracownika do dostawcy tożsamości. Jeśli pracownik jest już zalogowany, na przykład rano do komputera w domenie, dostawca od razu odsyła podpisane cyfrowo potwierdzenie tożsamości w standardzie SAML lub OpenID Connect. Jeśli nie, pracownik loguje się raz u dostawcy, a kolejne aplikacje przyjmują go już bez hasła.
Czym różni się SSO od menedżera haseł?
Menedżer haseł przechowuje osobne hasła do każdego systemu i wpisuje je za Ciebie - haseł nadal jest wiele. SSO usuwa je całkiem: systemy nie mają własnych haseł, tylko ufają dostawcy tożsamości. Odejście pracownika wymaga wtedy zablokowania jednego konta, a nie kilkunastu.
Czy SSO jest bezpieczne?
Tak, pod warunkiem włączenia uwierzytelniania wieloskładnikowego u dostawcy tożsamości. SSO ogranicza liczbę haseł, centralizuje audyt i pozwala szybko odciąć dostęp, ale jedno przejęte konto otwiera wszystkie systemy - dlatego MFA i krótkie sesje są warunkiem, nie dodatkiem.
SAML czy OpenID Connect - co wybrać?
To, co obsługuje dostawca tożsamości i system. SAML jest starszy i powszechny w systemach korporacyjnych, OpenID Connect nowszy, lżejszy i lepszy dla aplikacji mobilnych. Z punktu widzenia użytkownika oba działają tak samo - różnica dotyczy administratorów i integracji.
Co się dzieje, gdy dostawca tożsamości nie działa?
Użytkownicy nie mogą się zalogować do żadnego systemu objętego SSO, dlatego administratorzy utrzymują konta awaryjne z hasłami lokalnymi i procedurę ich użycia. Dostawcy chmurowi mają wysoką dostępność, ale plan awaryjny trzeba mieć i testować niezależnie od tego.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
