Как работает единый вход SSO: меньше паролей у сотрудников и ниже риски для информационной безопасности

Чем больше учётных записей в компании, тем сложнее сотрудникам запоминать пароли — поэтому они используют их повторно. Это создаёт риски для бизнеса: если пароль попадёт в руки злоумышленников, есть вероятность, что они смогут получить доступ к корпоративным данным и выдавать себя за сотрудника компании. 

Один из способов контролировать доступ к конфиденциальным данным и защитить бизнес — технология единого входа SSO.

Что такое технология SSO

SSO — от английского Single Sign-On — технология единого входа, которая позволяет сотруднику один раз пройти аутентификацию и получить доступ сразу ко всем подключённым корпоративным сервисам.

Например, продакт-менеджер входит в корпоративную почту. Его автоматически перенаправляют на страницу единого входа, где он вводит логин и пароль. Если данные верны — сотрудник снова оказывается на странице почты. Затем он переходит в сервис для управления задачами и ищет нужные файлы в облачном хранилище — система автоматически узнаёт сотрудника и больше не запрашивает пароль. Доступ к сервисам сохраняется, пока действует активная сессия специалиста — точный срок зависит от настроек безопасности компании.

Технология единого входа решает сразу две задачи:

1. Делает удобнее рабочий процесс сотрудника. Не нужно запоминать и вводить отдельные данные для каждого сервиса — достаточно одного пароля.
2. Повышает безопасность данных компании. Появляется централизованное управление входом в корпоративные сервисы: вводятся единые требования к аутентификации, подозрительные попытки входа отслеживаются и могут оперативно блокироваться, если учётная запись сотрудника скомпрометирована. Кроме того, поскольку каждому сотруднику нужен только один пароль, снижается риск использования его повторно. 

Зачем бизнесу нужен единый вход и кому он подойдёт

Когда компания подключает технологию единого входа для своих корпоративных программ, она может решить несколько задач.

Снизить риски, связанные с паролями

Сотрудникам не нужно придумывать и хранить отдельные пароли для каждого корпоративного сервиса. Чем меньше учётных данных приходится использовать, тем ниже риск, что сотрудники используют их повторно и они могут быть скомпрометированы.

Управлять доступами в одном месте

В бизнесе за работу SSO отвечает ИТ-специалист — администратор. Он может централизованно выдавать, изменять и отзывать права сотрудников в одной системе, а не в каждой программе. К примеру, открывать доступ для новичков или закрывать учётные данные после увольнения сотрудников.

Контролировать попытки входа

Система фиксирует, когда сотрудники заходят в сервисы, и ограничивает число неудачных аутентификаций, если они несколько раз подряд вводят неверный пароль. Например, поставщик удостоверений после пяти неуспешных действий может ввести задержку между попытками или временно блокирует учётную запись. Информация сохраняется в журнале событий — и администратор может быстрее выявить подозрительную активность.

Добавлять дополнительную защиту

В некоторых системах SSO можно сочетать со вторым фактором аутентификации — дополнительной проверкой личности. Это может быть код из приложения, СМС, последние цифры номера, с которого поступит звонок. К примеру, проверку можно подключить для администраторов, потому что через их учётную запись можно управлять настройками компании.

Читайте также: Облачная безопасность: что учесть предпринимателям

Единый вход полезен средним и крупным компаниям, в которых сотрудники работают в сервисах одной экосистемы — например, Яндекс 360. В таком случае ИТ-специалист создаёт учётные записи, открывает доступы к программам, изменяет права при переходе в другой отдел и отзывает их после увольнения. Чем активнее растёт компания, тем сложнее делать это вручную — а SSO помогает автоматизировать процесс.

Читайте также: Как информационная безопасность помогает бизнесу сохранять конфиденциальность данных

Что включает в себя технология и как её настроить

В технологии единого входа участвуют три элемента.

Поставщик удостоверений (Identity Provider, IdP)

Хранит информацию о пользователях, проверяет личность сотрудника, передаёт подтверждение в подключённые сервисы.

Примеры IdP: корпоративный Active Directory — база данных о пользователях, Authentik, Keycloak, облачный сервис Yandex Identity Hub.

Поставщик услуг (Service Provider, SP)

Это любой корпоративный сервис, в который хочет войти сотрудник. Поставщик услуг получает подтверждение его личности от системы управления учётными записями (IdP).

Протоколы SSO

Связывают систему управления доступами (IdP) и сервисы — передают информацию о пользователе между элементами SSO в виде токенов или блоков данных. Один из самых популярных вариантов — SAML 2.0, но также используются OpenID Connect, Kerberos.

Чтобы настроить единый вход, компании нужно определить, какие корпоративные сервисы она хочет подключить к системе. Для этого стоит проконсультироваться с ИТ-специалистами: они объяснят, можно ли внедрить SSO именно в ваши программы.

В готовых корпоративных экосистемах SSO подключается проще: например, в Яндекс 360 с помощью единого входа сотрудники могут работать в Почте, Диске, Документах и других сервисах. Вы можете создать свою организацию в экосистеме, пригласить в неё сотрудников и организовать для них единый вход. Подробнее о настройке единого входа читайте в Справке.

Настроить SSO можно собственными силами: с помощью инструкций и технической поддержки вендора — разработчика ваших корпоративных ИТ-продуктов. Если в компании нет людей с нужными знаниями, можно привлечь сторонних специалистов из числа партнёров вендора.

Как работает SSO в цифровой экосистеме: на примере Яндекс 360 

В едином цифровом пространстве SSO использовать проще, чем с программами от разных вендоров. Сервисы, которые входят в одну экосистему, заранее рассчитаны на совместную работу. Компании не нужно отдельно настраивать взаимодействие каждого из них — достаточно подключить единый вход в общих настройках системы.

При этом SSO можно использовать не только для входа сотрудников, но и для управления учётными записями, синхронизации данных и дополнительной защиты. Например, вот что может сделать бизнес в экосистеме Яндекс 360.

Создавать учётную запись при первом входе

В Яндекс 360 можно создавать учётную запись, когда сотрудник впервые входит в сервис. Это позволяет заранее не регистрировать аккаунты для всех специалистов компании, если пользоваться сервисами будут только некоторые из них.

Использовать второй фактор для дополнительной защиты

В Яндекс 360 SSO можно дополнить двухфакторной аутентификацией. Например, в таком случае для входа сотрудник введёт одноразовый код из звонка или СМС.

Синхронизировать данные

Чтобы было проще управлять индивидуальными учётными записями в большой компании, можно настроить передачу данных о сотрудниках из корпоративной системы в Яндекс 360. Когда специалист устроится на работу, сменит отдел или уволится, изменения не нужно будет переносить вручную в каждый сервис. Для этого используют утилиту YandexADSCIM, которую устанавливают в инфраструктуре компании.

Отдельно можно синхронизировать группы пользователей. Например, если сотрудника добавили в группу «Отдел маркетинга» в системе управления доступами, Яндекс 360 запомнит это изменение для всех сервисов. Пользователь автоматически получит доступ к документам на Диске и сможет пообщаться с коллегами в Мессенджере. Подробнее о том, как настроить синхронизацию данных, читайте в Справке.

Сделать систему управления непубличной

Чтобы сервисы могли подтвердить логин и пароль сотрудника, часто компаниям приходится делать систему управления доступной и публиковать её в интернете. Так страница входа становится доступна извне — без должной защиты она может стать мишенью для злоумышленников.

Благодаря использованию SSO и другим возможностям платформы компании могут безопасно использовать модель SaaS, когда сервисы работают в облаке. При этом в Яндекс 360 есть и ещё более безопасное решение для бизнеса — on-premise, когда все данные хранятся в закрытом контуре. 

Контролировать действия сотрудников

Яндекс 360 фиксирует, что делают специалисты: кто и когда зашёл в систему, добавил, изменил или удалил файл. Если кто-то загрузил неверные данные или произошёл инцидент, администратор сможет восстановить историю действий и оперативно среагировать.

Чтобы начать управлять учётными записями и поддерживать порядок в данных, бизнес может подключиться к экосистеме Яндекс 360. Сервисы совместимы с большим количеством поставщиков удостоверений (IdP) — если у компании уже подключена определённая система управления доступами, её не придётся менять.

Главное о технологии единого входа

• SSO — это технология, которая позволяет сотруднику один раз провести аутентификацию и входить в корпоративные сервисы без пароля. Благодаря технологии единого входа бизнес может снизить риски, связанные с паролями, управлять доступами в одном месте, контролировать сессии и усиливать защиту данных.
• Технология состоит из трёх элементов: поставщик удостоверений (Identity Provider, IdP) проверяет личность сотрудника, а поставщик услуг (Service Provider, SP) получает от него подтверждение успешной аутентификации. Протокол определяет, как эти системы обмениваются данными.
• Яндекс 360 совместим с большим количеством поставщиков удостоверений (IdP), позволяет синхронизировать управление жизненным циклом учётных записей, их атрибуты и группы, предоставляет возможности по управлению вторым фактором, а также логирование событий аутентификации и действий с учётными записями.