Что такое SSO: простыми словами о технологии единого входа

У типичного офисного сотрудника больше десятка рабочих аккаунтов: почта, мессенджер, задачи, корпоративный портал, облачное хранилище. Для каждого нужен отдельный пароль — и в теории все они должны быть сложными и разными. На практике запомнить 10–15 надежных комбинаций невозможно, поэтому пароли повторяются: у среднего сотрудника только половина паролей от рабочих сервисов — уникальные.

Проблема не в безответственности сотрудников, а в количестве сервисов. SSO решает ее на уровне инфраструктуры: один вход — и все корпоративные сервисы доступны. Разбираемся, как устроена технология единого входа, какие протоколы за ней стоят и зачем она бизнесу.

SSO: что это такое и как переводится

SSO (Single Sign-On) дословно переводится как «единый вход». Это технология, при которой пользователь входит в систему один раз — и получает доступ ко всем связанным сервисам без повторного ввода логина и пароля.

Прежде чем разбирать механизм работы, разделим два термина, которые часто путают.

• Аутентификация — подтверждение личности. Система проверяет, что вы — это вы: по логину и паролю, по отпечатку или токену.
• Авторизация — предоставление прав. После того как личность подтверждена, система определяет, к каким ресурсам у вас есть доступ. SSO отвечает за аутентификацию: вы подтверждаете личность один раз, а система передает это подтверждение во все подключенные сервисы. А вот что именно вам доступно в каждом из них — почта, редактирование документов, панель администратора — определяется отдельно.

Какие проблемы создают пароли — и при чем тут SSO

Когда каждый сотрудник работает с десятком сервисов и у каждого свой пароль, проблемы копятся сразу на трех уровнях: у самих сотрудников, у ИТ-отдела и у службы безопасности.

Нагрузка на поддержку. Сотрудники регулярно забывают пароли и обращаются за сбросом — это рутина, которая отвлекает ИТ-отдел от более важных задач.

Сложное администрирование. Доступ к каждому сервису приходится настраивать отдельно: при найме — подключать сотрудника ко всем системам, при увольнении — отключать в каждой. Чем больше точек входа, тем выше шанс, что где-то аккаунт забудут заблокировать.

Уязвимость данных. Каждый повторяющийся пароль — потенциальная брешь в защите. Если злоумышленник получает доступ к одному сервису, он пробует те же учетные данные в остальных. По данным «Лаборатории Касперского», большинство паролей из утекших баз хакеры могут подобрать менее чем за час.

SSO снимает эту нагрузку сразу с трех сторон. Сотрудник запоминает один пароль — и может сделать его действительно сложным. Администратор подключает и отключает доступ ко всем сервисам в одном месте, а не в каждом по отдельности. А ИТ-отдел получает прозрачную картину: кто, когда и куда входил — и может быстро отреагировать на подозрительную активность.

Как работает SSO: механизм сквозной аутентификации

В механизме SSO участвуют три стороны:

• Пользователь — сотрудник, который хочет получить доступ к корпоративному сервису.
• Сервис-провайдер — приложение, в которое нужно войти: почта, мессенджер, система задач.
• Провайдер идентификации — центральный сервер аутентификации, который хранит учетные данные и подтверждает личность пользователя.

Пошаговый процесс сквозной аутентификации (SSO) выглядит так:

1. Пользователь открывает корпоративный сервис — например, почту.
2. Сервис обнаруживает, что пользователь не аутентифицирован, и перенаправляет запрос к провайдеру идентификации.
3. Провайдер проверяет: есть ли у пользователя активная сессия? Если нет — запрашивает логин, пароль и при необходимости второй фактор.
4. После успешной проверки провайдер формирует токен безопасности — зашифрованное подтверждение, что пользователь прошел аутентификацию.
5. Токен передается сервис-провайдеру. Пользователь получает доступ.
6. Пользователь открывает другой сервис — например, мессенджер или календарь. Шаги 1–2 повторяются, но провайдер обнаруживает активную сессию и сразу выдает токен. Повторный ввод пароля не нужен.

Для реализации этого процесса используются стандартизированные протоколы:

Например, платформа VK WorkSpace для совместной работы команд поддерживает SSO по протоколам OpenID Connect, SAML и Kerberos. В облачной версии подключение работает по OpenID Connect. В серверной версии доступны все три протокола через Keycloak. Интеграция с Active Directory для управления учетными записями поддерживается в обеих версиях — начиная с тарифа «Расширенный».

Где применяется SSO

Сквозная аутентификация полезна везде, где сотрудник за день работает в нескольких системах:

• Корпоративная почта и календарь. Вход в почту автоматически открывает доступ к расписанию встреч и бронированию переговорных — без отдельного логина.
• Мессенджер и видеоконференции. Переход из чата в звонок без повторной аутентификации.
• Управление проектами и задачами. Открыл доску или задачу — система уже знает, кто вы и какие у вас права.
• Файловые хранилища и документы. Совместная работа над файлами без дополнительных паролей.

Например, в VK WorkSpace технология единого входа встроена в платформу. Сотрудник проходит аутентификацию один раз — через суперапп VK WorkSpace или веб-интерфейс — и получает доступ ко всем сервисам без повторного ввода пароля.

Администратор подключает корпоративный провайдер идентификации — и сотрудники входят под своими доменными учетными записями. Настраивать SSO для каждого сервиса отдельно не нужно — единый вход работает сразу на всю платформу. В облачной версии SSO доступен начиная с тарифа «Расширенный», а в серверной — на всех конфигурациях.

Зачем бизнесу единый вход в корпоративные сервисы

Быстрый старт для новых сотрудников. Администратор создает одну учетную запись в провайдере идентификации — и сотрудник сразу проходит аутентификацию во всех подключенных сервисах. Не нужно выдавать отдельные логины для почты, мессенджера, диска и задач. По оценкам Gartner, до 40% обращений в ИТ-поддержку связаны со сбросом паролей. SSO сокращает этот поток и освобождает ресурсы для более важных задач.

Прозрачный аудит и соответствие требованиям. Все входы фиксируются в одном журнале: кто, когда и к какому сервису получил доступ. Это упрощает расследование инцидентов и подготовку к проверкам. Для компаний, работающих с персональными данными по 152-ФЗ, централизованный контроль доступа — не бонус, а необходимость.

Масштабирование без хаоса. Когда компания растет и подключает новые сервисы, SSO встраивает их в единую точку входа. Сотрудникам не нужно запоминать дополнительные пароли, а администратору — разворачивать отдельную систему управления учетными записями.

Защита на уровне архитектуры. SSO передает между системами не пароли, а зашифрованные токены. Даже если один из сервисов скомпрометирован, злоумышленник не получает учетные данные пользователя. А двухфакторная аутентификация, настроенная на уровне провайдера идентификации, защищает доступ сразу ко всей инфраструктуре.

Частые вопросы

Заключение

SSO — это не просто удобная альтернатива традиционному входу. Это важный элемент корпоративной безопасности: меньше паролей — меньше рисков утечек, меньше нагрузки на ИТ-отдел и меньше рутины для сотрудников.

SSO в VK WorkSpace доступен в облачной и серверной версии. Для подключения достаточно настроить провайдер идентификации в панели администратора — без доработки отдельных сервисов. Оставьте заявку на демо — покажем, как единый вход работает для вашей команды.