Běžné implementace používají poskytovatele identity, který uživatele autentizuje a odesílá chráněné assertions či tokeny aplikacím, které mu důvěřují.
SSO může snížit expozici hesel a uživatelské tření při centralizaci autentizační politiky, MFA, kontrol relací, logování a deaktivace účtů. Každá aplikace musí stále činit vlastní autorizační rozhodnutí: úspěšné SSO vytváří či předává kontext identity a autentizace, ale neznamená, že uživatel by měl všude dostat stejná oprávnění.
Klíčové body
Návrh důvěryDefinujte, kterým poskytovatelům identity, aplikacím, podpisovým klíčům, přesměrováním, atributům a signálům jistoty je důvěřováno.
Hodnota životního cykluCentrální provisioning a deprovisioning mohou učinit změny přístupu rychlejšími, za předpokladu, že aplikační účty a relace jsou skutečně odstraněny či zrušeny.
Bezpečnost relacíChraňte relace poskytovatele identity i aplikací před krádeží, fixací, přehráním, nadměrnou délkou a nebezpečným obnovením.
OdolnostPlánujte na výpadky poskytovatele identity, rotaci klíčů, chyby konfigurace, kompromitované administrátory, pohotovostní přístup a kontrolovanou zálohu.
Důležité omezeníSSO koncentruje závislost i oprávnění. Kompromitace poskytovatele identity, konfigurace federace či aktivní relace může zasáhnout mnoho aplikací najednou.