Технология единого входа SSO.
Почему без нее сложно представить внедрение нового сервиса в крупной компании.

В современных компаниях Single Sign-On (SSO) — технология единого входа постепенно становится стандартом, не только упрощая жизнь сотрудникам, но и повышая безопасность данных. Если вы до сих пор вводите пароль каждый раз, когда заходите в корпоративную систему (притом уникальный для разных систем), то вы используете устаревший способ аутентификации.

Для нас, EmplDocs, в контексте личного кабинета сотрудника, технология SSO играет особенно важную роль, она обеспечивает удобство для пользователей и дополнительный инструмент безопасности для IT-отдела. В этой статье расскажем, почему SSO — это must-have для любой организации, как она работает и зачем EmplDocs рекомендует ее своим клиентам.

Представьте, что вы заходите в корпоративный портал, а затем без повторного ввода логина и пароля в свою почту, в HCM-систему или другой корпоративный сервис. Пример российской системы, похожей на SSO — это авторизация через Госуслуги, где кнопка «Войти с помощью…» — это и есть SSO в действии.

Технологии единого входа существуют давно. Еще в 80-х годах Microsoft Active Directory (далее — AD) использовалась для авторизации в Windows-приложениях. Но современные веб-приложения требуют гибких и безопасных решений. Несмотря на устаревание AD, многие компании продолжают использовать его. Microsoft предлагал свой сервис Active Directory Federation Services (ADFS), но из-за ухода компании с российского рынка решение потеряло свою актуальность и стало рискованным в использовании.

Традиционные монолитные ERP-системы (например, SAP All-in-One) постепенно заменяются гибкими и адаптивными решениями. Одним из факторов, облегчающих этот переход, стало повсеместное распространение ESB (Enterprise Service Bus) — технологии, которая упрощает интеграцию различных сервисов, чтобы легко обмениваться данными. Вместе с технологией SSO — это открыло двери к современным архитектурам рабочего пространства, в которых сотрудник работает во множестве специализированных систем, даже не ощущая этого. В этом контексте SSO — важный тренд: компании все чаще выбирают централизованное управление учетными записями как стандарт безопасности в корпоративной среде.

Мы в EmplDocs также следуем современным тенденциям и поддерживаем практически все варианты SSO, предоставляя легкий доступ для пользователей и повышенную защиту данных.

Корпоративное SSO объединяет бизнес-приложения в единую систему идентификации пользователей и обеспечивает бесшовный доступ к рабочим сервисам.

В рамках SSO внимание уделяется аутентификации — подтверждению, что пользователь действительно тот, за кого себя выдаёт. Однако современные SSO-решения обычно формируют токены, содержащие информацию о ролях и правах доступа, что позволяет системам-потребителям проводить авторизацию. То есть, SSO в первую очередь обеспечивает единоразовую аутентификацию, а затем сервисы используют эти данные для определения (авторизации), что именно пользователю разрешено делать.

SSO строится на взаимодействии двух ключевых компонентов:

Ниже схема работы обычной аутентификации для понимания отличий от SSO. В этом случае требуется вводить пароль в каждую информационную систему:

Теперь наглядный пример, как работает технология единого входа SSO. В процессе авторизации SSO участвует три стороны:

Как происходит процесс авторизации через SSO:

SSO выгоден как для IT-отдела, так и для сотрудников, использующих информационные системы. Одна из главных функций SSO — защита корпоративных данных без ущерба для удобства пользователей. За счет каких механизмов разберемся далее.

Для IT-специалистов - это:

Для конечных пользователей — это:

Для обеспечения безопасности и совместимости SSO использует современные протоколы, благодаря им технологиям SSO минимизирует риск фишинговых атак, снижает нагрузку на IT-службы.

Все эти протоколы обеспечивают высокий уровень безопасности и соответствуют международным стандартам (например, OWASP). Для специалистов HR и кадровых служб — это означает удобный и безопасный доступ ко всем необходимым системам, чтобы не запоминать десятки паролей и не опасаться, что их скомпрометируют, а данные сотрудников «утекут».

Мы понимаем, что удобство и безопасность авторизации важны для наших клиентов.

Но к нам пришло осознание, что не все российские компании успели внедрить у себя SSO-решения. Часто внедрение новых технологий затруднено в силу текущих потребностей бизнеса, которые едва успевают закрывать ИТ-подразделения заказчиков. Мы стремимся создавать сотрудникам наших клиентов и их IT-отделам только положительный пользовательский опыт и удовлетворение от сотрудничества с EmplDocs.

Поэтому мы приняли решение о предоставлении новой услуги в виде разворачивания SSO IdP (KeyCloak) для заказчиков, кому это требуется. Keycloak — известное open-source решение, которое поддерживает все вышеперечисленные протоколы.

SSO позволяет строить единую парольную политику, организации могут настроить свои правила безопасности (например, сложность пароля или двухфакторную аутентификацию) в одном месте — в IDP.

Это единый источник правды — SSO позволяет хранить все учетные записи в одном каталоге. Например, если сотрудник увольняется, его доступ ко всем системам блокируется моментально. И еще несколько преимуществ:

Часто пользователи путают SSO с менеджерами паролей, поскольку обе технологии упрощают процесс аутентификации. Однако их принципы работы различны.

SSO позволяет входить в несколько систем с одной учетной записью, обеспечивая централизованный контроль над доступами. Менеджеры паролей, напротив, хранят отдельные пароли для разных сервисов и автоматически подставляют их при необходимости. Хотя это удобнее, чем ручной ввод, такая система не устраняет проблему множества паролей и не обеспечивает централизованного контроля.

Выбирать между раздельными паролями и единым входом через SSO — это не просто вопрос удобства, а главный аспект безопасности. SSO значительно упрощает жизнь: один аккаунт вместо множества паролей и высокий уровень безопасности.

Менеджеры паролей тоже решают проблему запоминания, но если злоумышленник получит доступ к хранилищу, он получит все пароли. И сложно реализовать на практике: пароли забываются, теряются, а их постоянное восстановление превращается в рутину.

Выбор очевиден: в корпоративной среде без SSO не обойтись — это наилучший баланс между безопасностью и удобством, поэтому EmplDocs поддерживает SSO и рекомендует его.

Если у вас нет системы единого входа, мы поможем ее настроить. Напишите нам, расскажем подробнее.