Hvad er Single Sign-On (SSO)?
Single Sign-On (SSO) betyder, at medarbejderne logger ind én gang og derefter har adgang til alle deres systemer uden at skulle indtaste nye adgangskoder. Ét SSO login om morgenen åbner mail, Teams, økonomisystem, CRM og resten af værktøjskassen.
Gevinsten er dobbelt. For medarbejderne: en hverdag uden tyve forskellige kodeord. For sikkerheden: færre adgangskoder betyder færre svage og genbrugte kodeord, færre "glemt adgangskode"-sager i helpdesk og en markant mindre angrebsflade. Og når en medarbejder stopper, lukkes al adgang ét sted, i stedet for i tyve systemer, hvor man typisk glemmer tre.
Hvordan virker Single Sign-On teknisk?
Bag SSO står en identity provider, i de fleste danske virksomheder Microsoft Entra ID. Når en medarbejder åbner en app, sender appen brugeren til identity provideren, som bekræfter identiteten (og kræver MFA, hvis politikken siger det). Derefter udsteder identity provideren et signeret "adgangsbevis" (et token), som appen stoler på.
Sproget mellem app og identity provider er åbne standarder: SAML (udbredt i ældre og enterprise-systemer) og OpenID Connect/OIDC (standarden i moderne cloud-apps). Man kan tænke på det som et pas: appen behøver ikke selv kende brugeren, for den stoler på udstederens signatur, ligesom paskontrollen stoler på pasmyndigheden. Protokollerne er dokumenteret i detaljer på learn.microsoft.com.
SSO og MFA: sikkerhed uden bøvl
SSO uden MFA er farligt: Så er ét stjålet kodeord pludselig nøglen til alt. Men kombinationen er stærk: Fordi der kun er ét login, kan man gøre netop dét login meget stærkt (MFA med number matching eller passkeys, Conditional Access-regler om enhed og lokation) uden at genere brugerne tyve gange om dagen. Ét stærkt beskyttet login slår tyve svage. Det er også den praktiske vej ind i en Zero Trust-arkitektur: al adgang går gennem ét kontrolpunkt, hvor politikken håndhæves.
Hvilke systemer understøtter SSO?
Flere end de fleste tror. Entra ID har et galleri med tusindvis af færdigintegrerede apps, bl.a. Salesforce, Zoom, Adobe, Slack og de fleste danske HR- og økonomisystemer i cloududgave. Apps uden for galleriet kan typisk kobles på via SAML eller OIDC, og selv ældre interne webapps kan ofte komme med via application proxy. Vær opmærksom på, at nogle SaaS-leverandører kræver en højere licensplan for SSO. Det bør indgå, når I vælger nye systemer. Certifikater spiller en rolle i SAML-opsætninger og skal fornys i tide, hvilket hænger sammen med PKI-management.
Sådan hjælper MI Support IT
Vi opsætter SSO via Entra ID i jeres Microsoft 365-miljø, kobler tredjepartsapps på via SAML/OIDC og sørger for, at MFA og Conditional Access følger med, så det ene login også er det sikre login. Vil I have færre kodeord og mere kontrol, så kontakt os.