SSO — единый вход: что это, как работает, протоколы

SSO, Single Sign-On — технология единого входа: пользователь один раз проходит аутентификацию у центрального провайдера идентификации (Identity Provider, IdP) и после этого получает доступ к нескольким связанным приложениям без повторного ввода логина и пароля в каждом из них. В корпоративной среде «связанными приложениями» обычно выступают рабочие системы сотрудника — почта, CRM, внутренние порталы, бухгалтерские и учётные системы, — а не внешние потребительские сервисы.

Ключевая идея SSO — не в том, чтобы пароль стал проще или короче, а в том, чтобы сама процедура проверки личности выполнялась один раз в одном доверенном месте, а не заново в каждом приложении. Дальше приложения (в терминологии протоколов федерации — Service Provider, SP) доверяют результату этой проверки на основании заранее настроенных технических отношений с IdP, а не проверяют пароль пользователя самостоятельно.

SSO не стоит путать с тем, что пользователь просто помнит один и тот же пароль и вручную вводит его в разных системах, — это по-прежнему отдельные, независимые входы, просто с одинаковым паролем. В настоящем SSO приложения технически связаны через IdP и обмениваются подписанными токенами, а не одинаковыми паролями, которые пользователь вводит сам.

Технически SSO строится на доверии между IdP и каждым приложением, которое настраивается заранее, и на обмене подписанными токенами, которые подтверждают личность пользователя без передачи самого пароля. Для протокольного (SAML/OIDC) варианта единый вход обычно проходит так:

1. Пользователь пытается открыть приложение (в терминологии протоколов — Service Provider, SP).
2. Если у пользователя ещё нет действующей сессии у провайдера идентификации, приложение перенаправляет его на страницу входа IdP.
3. Пользователь один раз вводит логин и пароль — как правило, вместе с дополнительным фактором MFA. Это единственный момент во всей цепочке, где он аутентифицируется вручную.
4. IdP создаёт у себя сессию и выдаёт подписанный токен или ассертацию (SAML assertion либо ID-токен OIDC) — сообщение о том, что пользователь успешно прошёл проверку.
5. Приложение проверяет этот токен на основании заранее настроенного доверия с IdP (обмен сертификатами и метаданными при интеграции) и открывает собственную сессию для пользователя.
6. При переходе к следующему приложению из той же зоны доверия шаг с паролем не повторяется: приложение видит у IdP уже действующую сессию и получает новый токен без повторного запроса учётных данных.

Для устаревших десктоп-приложений и систем, которые не поддерживают протоколы федерации, используют другой технический приём — Enterprise SSO (ESSO): специальный агент перехватывает окно входа приложения и автоматически подставляет заранее сохранённые учётные данные. Результат для пользователя тот же — не нужно вводить пароль вручную, — но механизм принципиально другой: это подстановка сохранённого пароля, а не криптографический обмен токенами по протоколу.

За разными реализациями SSO стоят разные открытые протоколы — выбор зависит от того, какие приложения нужно объединить: облачные веб-сервисы, корпоративные системы внутри домена или устаревшие десктоп-программы.

↔ таблицу можно прокрутить вбок

SAML и OIDC решают одну и ту же задачу — федерацию идентификации между IdP и приложением, — но SAML старше, построен на XML и исторически распространён в корпоративных системах, тогда как OIDC компактнее (использует JSON-токены JWT) и чаще выбирается для новых облачных и мобильных приложений.

Kerberos стоит особняком: он решает задачу входа внутри одной доменной сети, а не федерации между организациями, и обычно не участвует в сценариях межорганизационного SSO.

SSO, MFA, IdM и PAM решают разные, дополняющие друг друга задачи управления доступом — это не конкурирующие технологии, и на практике их почти всегда внедряют вместе.

Подробнее о том, чем аутентификация отличается от идентификации и авторизации и как в это разделение встраивается SSO, — в материале об идентификации и аутентификации. Обзор конкретных российских продуктов класса SSO, включая совмещённые SSO+MFA и SSO+IdM-платформы, которые вендоры чаще продают как единый модуль, — на странице класса SSO.

SSO одновременно снижает трение при повседневной работе и создаёт одну точку, от защиты которой зависит доступ сразу ко всем связанным системам, — оба эффекта важно учитывать вместе.

• Меньше паролей у пользователя. Меньше причин их упрощать, записывать на бумаге или повторно использовать в разных системах — привычки, которые сами по себе создают риск компрометации.
• Меньше обращений в поддержку. Сброс забытого пароля — одна из самых частых заявок в IT-службу; единый вход снижает их количество за счёт единой точки аутентификации.
• Централизованный контроль доступа. Отключить одну учётную запись в IdP означает мгновенно закрыть доступ ко всем связанным приложениям разом — особенно ценно при увольнении сотрудника, когда важна скорость отзыва прав.
• Единая точка аудита входов. События аутентификации проходят через один узел, что упрощает мониторинг и расследование инцидентов, связанных с доступом.