Enkel inloggning (SSO)

Så går överlämningen till

Applikationen skickar användaren vidare till identitetsleverantören – Entra ID, Okta, Google Workspace. Leverantören autentiserar användaren, ibland helt utan interaktion eftersom en session redan finns, och skickar tillbaka ett signerat intyg. Applikationen kontrollerar signaturen, läser ut identiteten och skapar sin egen lokala session.

Två protokoll dominerar. SAML är XML-baserat, äldre och fortfarande standard i företagsupphandlingar. OpenID Connect, byggt på OAuth 2.0 och med JWT-token, är vad de flesta nya integrationer använder och är betydligt enklare att implementera.

Varför organisationer kräver det

Värdet ligger inte i att bespara användarna några inloggningar. Det ligger i kontroll. När en anställd slutar stänger en avstängning i identitetsleverantören åtkomsten till varje ansluten applikation på en gång, i stället för att någon ska minnas varje enskilt verktyg. Lösenordspolicy, krav på flerfaktor och villkorsstyrd åtkomst upprätthålls på ett ställe. Och loggen över vem som kommit åt vad finns centralt.

Kontohantering ingår ofta via SCIM, som skapar och avaktiverar konton i applikationen automatiskt när de ändras i katalogen.

Skillnaderna som blandas ihop

"Logga in med Google" i en konsumentapp är social inloggning, inte företags-SSO. Mekaniken liknar varandra – ofta bokstavligen OpenID Connect – men det finns ingen organisationskatalog, ingen central avstängning och ingen administratörskontroll. Köpare som frågar efter SSO menar oftast det senare, och att svara med det förra tappar affärer.

SSO är inte samma sak som att använda samma lösenord överallt. Att återanvända ett lösenord i flera system är motsatsen till SSO: varje system lagrar fortfarande en uppgift. Med SSO är det bara identitetsleverantören som har en.

Att logga ut är svårare än det ser ut. Att avsluta den lokala sessionen avslutar inte sessionen hos identitetsleverantören, så ett nytt klick på inloggningsknappen kan logga in användaren direkt igen. Single logout finns i båda protokollen och är ojämnt implementerat.

Avvägningen är värd att säga rakt ut: SSO koncentrerar risken. Ett kapat konto hos identitetsleverantören öppnar varje ansluten applikation, vilket är precis därför starka andrafaktorer betyder mest just där.