SSO prihlásenie vo firme: kedy dáva zmysel
SSO prihlásenie vo firme: čo to je, kedy dáva zmysel a aké sú možnosti
Váš tím sa ráno prihlasuje do e-mailu, potom do CRM, potom do projektového nástroja, potom do firemného intranetu. Každý systém zvlášť. Každý s iným heslom. A keď niekto odchádza z firmy, musíte ho z každého z nich vymazať ručne – ak si na to vôbec spomeniete.
SSO toto rieši jedným prihlásením. V článku vysvetlíme, ako to funguje, kedy sa to firme skutočne oplatí a aké máte možnosti výberu.
Čo je SSO
SSO (Single Sign-On) je spôsob prihlasovania, pri ktorom sa používateľ overí raz – a automaticky získa prístup ku všetkým povoleným aplikáciám bez toho, aby musel zadávať heslo znova.
Z pohľadu používateľa to vyzerá jednoducho: ráno sa prihlási do firemného systému a do e-mailu, CRM, projektového nástroja aj internej wiki má prístup bez ďalšieho zadávania hesiel. Z pohľadu IT ide o centralizované riadenie identít – jeden systém vie, kto je prihlásený, aké má práva a kedy mu prístup vyprší.
Technicky za tým stojí takzvaný poskytovateľ identity (IdP) – centrálny server, ktorý overuje identity používateľov a vydáva tokeny dôveryhodnosti pre ostatné aplikácie. Tie potom tomuto tokenu dôverujú namiesto toho, aby si prihlasovanie riešili samy.
Najrozšírenejším open-source poskytovateľom identity je Keycloak, medzi komerčnými potom Auth0, Okta alebo Microsoft Entra ID, predtým Azure AD.
Ako funguje SSO – bez technického žargónu
Predstavte si hotelovú recepciu. Pri príchode ukážete pas, recepcia vás overí a vydá vám kartu od izby. S touto kartou potom otvoríte svoju izbu, vstúpite do fitka alebo zaplatíte v reštaurácii. Nikto vás zakaždým znova nežiada o pas – stačí karta.
SSO funguje rovnako:
1. Používateľ sa prihlási na centrálnej prihlasovacej stránke poskytovateľa identity.
2. Poskytovateľ identity overí jeho identitu, napríklad menom, heslom a prípadne MFA, a vydá kryptograficky podpísaný token.
3. Používateľ pristúpi k aplikácii. Tá overí podpis tokenu pomocou verejného kľúča Keycloaku a pustí ho dovnútra – bez ďalšieho prihlasovania.
4. Ak sa používateľ odhlási z jedného miesta, poskytovateľ identity má možnosť zrušiť token a odhlásiť používateľa zo všetkých aplikácií naraz pomocou protokolu SLO (Single Logout).
Celý proces trvá zlomok sekundy a používateľ ho vôbec nevníma.
Kedy SSO dáva zmysel
SSO nie je nevyhnutnosťou pre každú firmu. Ale len čo spĺňate aspoň dva z nasledujúcich bodov, investícia sa typicky vráti rýchlo.
Máte 5 a viac aplikácií, do ktorých sa zamestnanci prihlasujú
Pod touto hranicou sa správa prihlasovania dá ešte zvládnuť ručne. Nad ňou rastie riziko slabých alebo zdieľaných hesiel a požiadaviek na helpdesk pre zabudnuté prístupy.
Pravidelne prijímate alebo prepúšťate zamestnancov – alebo pracujete s externými partnermi
Onboarding nového zamestnanca do 12 rôznych systémov zaberie hodiny. So SSO pridáte používateľa raz a priradíte mu skupinu – všetko ostatné sa nastaví automaticky.
Rovnako rýchly je offboarding: jedno kliknutie a prístupy zmiznú zo všetkých systémov naraz.
To isté platí pre externých spolupracovníkov, dodávateľov a partnerov, ktorí majú prístup do časti vášho prostredia. Tí sú z hľadiska správy prístupov často najväčším slepým miestom – prístupy sa pridajú pri začatí spolupráce a potom na ne nikto nemyslí.
SSO vám umožní aj týchto používateľov spravovať z jedného miesta, nastaviť im presne vymedzené oprávnenia a odobrať prístupy okamžite, len čo sa spolupráca skončí. Bez prechádzania desiatok systémov a bez rizika, že na niektorý zabudnete.
Prechádzate bezpečnostným auditom alebo musíte spĺňať požiadavky na súlad s predpismi
ISO 27001, SOC 2, GDPR – všetky tieto štandardy vyžadujú preukázateľnú kontrolu nad tým, kto má k čomu prístup.
SSO vám poskytne centrálny auditný záznam prihlásení naprieč systémami, ktorý inak skladáte z desiatok rôznych miest.
Vaši zamestnanci pracujú s citlivými dátami
Centralizované prihlasovanie umožňuje ľahko zaviesť viacfaktorové overenie (MFA) pre všetky aplikácie naraz namiesto toho, aby ste ho nastavovali v každom systéme zvlášť.
Používate kombináciu on-premise a cloudových aplikácií
SSO dokáže prepojiť interné firemné systémy, napríklad napojené na Active Directory, s cloudovými SaaS nástrojmi pod jedným prihlásením.
Čo SSO firme prinesie
Prínosy sú na strane bezpečnosti aj produktivity.
Menej požiadaviek na helpdesk
Podľa prieskumov tvoria zabudnuté heslá až 20 – 50 % všetkých IT požiadaviek. SSO tento zdroj požiadaviek z veľkej časti eliminuje.
Rýchlejší nástup nových zamestnancov
Namiesto ručnej konfigurácie prístupov v desiatkach systémov stačí priradiť používateľa do správnej skupiny u poskytovateľa identity.
Jedno miesto na odobratie prístupov
Zamestnanec odchádza alebo je prepustený? Deaktivácia jedného účtu u poskytovateľa identity odoberie prístupy ku všetkým integrovaným systémom – s krátkymi access tokenmi prakticky okamžite.
Žiadne zabudnuté účty v legacy systémoch.
Silnejšie bezpečnostné pravidlá s menšími prekážkami
MFA, podmienky prihlásenia len z firemnej siete, len v pracovnom čase alebo automatická expirácia relácií – to všetko nastavíte raz pre všetky aplikácie.
Prehľad o prihlasovaní v reálnom čase
Centrálny auditný záznam ukáže, kto sa kedy odkiaľ prihlásil a do ktorých aplikácií vstupoval. Pri bezpečnostnom incidente alebo audite je to na nezaplatenie.
Prehľad protokolov – čo stojí za SSO
SSO systémy komunikujú prostredníctvom štandardizovaných protokolov. Nemusíte poznať detaily, ale je dobré vedieť, čo sa skrýva za skratkami.
SAML 2.0
SAML je starší, ale stále rozšírený štandard. Nájdete ho hlavne v podnikovom prostredí a starších korporátnych aplikáciách, napríklad pri Microsofte, SAPe alebo Oracle. Komunikuje cez XML.
OpenID Connect a OAuth 2.0
OpenID Connect (OIDC) a OAuth2 sú moderné štandardy, ktoré dnes používa väčšina nových aplikácií, SaaS nástrojov a mobilných aplikácií.
OIDC používa JSON tokeny (JWT), zatiaľ čo SAML prenáša XML dokumenty. Integrácia OIDC je jednoduchšia a diagnostika problémov priamočiarejšia.
Dobrý poskytovateľ identity, ako je Keycloak, podporuje oba svety – takže ak máte kombináciu starých a nových aplikácií, neprekáža to.
Podrobnejšie sme o protokoloch písali v článku Keycloak SSO: OpenID Connect, OAuth2 a SAML jednoducho vysvetlené.
Aké sú možnosti riešenia
Existuje niekoľko kategórií nástrojov, z ktorých si firmy vyberajú.
Open-source riešenia vo vlastnej prevádzke
Typicky Keycloak alebo Authentik. Nasadíte si vlastný server, plne pod kontrolou.
Neplatíte licenčné poplatky za používateľa, dáta zostávajú vo vašej infraštruktúre a riešenie môžete ľubovoľne prispôsobiť.
Vyžaduje technický tím na prevádzku a údržbu. Táto cesta dáva zmysel hlavne firmám, ktoré majú on-premise infraštruktúru, prísne požiadavky GDPR alebo nechcú platiť za každého používateľa zvlášť.
Spravované SaaS riešenia
Napríklad Auth0 alebo Okta. Platíte za službu a nemusíte nič prevádzkovať sami.
Výhodou je rýchly štart, rozsiahly ekosystém integrácií a profesionálna podpora.
Cena však rastie s počtom používateľov a pri väčšom počte zamestnancov môže byť výrazná. Dáta zároveň odchádzajú k poskytovateľovi – pre regulované odvetvia to môže byť problém.
Microsoft Entra ID
Microsoft Entra ID, predtým Azure AD, je prirodzená voľba, ak vaša firma stojí na Microsoft 365 a Azure.
Dobre sa integruje s Teams, SharePointom a ďalšími produktmi Microsoftu. Pre prostredie mimo ekosystému Microsoftu však môže byť menej flexibilný.
Google Workspace
Podobne ako Microsoft Entra ID je Google Workspace prirodzenou voľbou pre firmy fungujúce v ekosystéme Googlu.
Mimo neho však môže byť flexibilita obmedzenejšia.
Podrobnejšie porovnanie nájdete v článku Keycloak vs Auth0: porovnanie SSO riešení.
Kontrolný zoznam: 6 otázok pred výberom SSO riešenia
Než sa rozhodnete, prejdite si týchto šesť otázok.
1. Koľko používateľov a aplikácií SSO pokryje?
Veľké počty používateľov zdražujú SaaS riešenia, malý počet aplikácií nemusí ospravedlniť infraštruktúru vo vlastnej prevádzke.
2. Kde musia dáta fyzicky zostať?
GDPR, odvetvová regulácia alebo interná politika môžu vyžadovať, aby dáta o identitách zostali vo vašom dátovom centre.
3. On-premise, cloud alebo hybrid?
Budete SSO prepájať s Active Directory? Máte on-premise aplikácie alebo fungujete čisto v cloude?
4. Aký je váš rozpočet?
SaaS riešenia majú nízky vstupný náklad, ale rastúce prevádzkové náklady. Keycloak má nulové licenčné náklady, ale vyžaduje infraštruktúru a odbornosť.
5. Má váš IT tím kapacitu prevádzkovať vlastný server?
Vlastná prevádzka prináša kontrolu, ale aj zodpovednosť za prevádzku, zálohy a aktualizácie.
6. Aké aplikácie potrebujete integrovať?
Staršie systémy môžu vyžadovať SAML, moderné API OAuth 2.0. Potrebujete podporu oboch?
Záver
SSO nie je len technická vymoženosť – je to bezpečnostný a prevádzkový základ pre firmy, ktoré pracujú s viacerými aplikáciami a ľuďmi.
Znižuje riziko straty prihlasovacích údajov, zrýchľuje onboarding, zjednodušuje súlad s predpismi a šetrí čas IT oddelenia.
Keycloak je najčastejšie nasadzovaným open-source riešením pre firmy, ktoré chcú plnú kontrolu bez licenčných poplatkov. Ak neviete, či je to správna voľba pre vaše prostredie, radi vám to pomôžeme posúdiť.
