Enterprise SSO: Was es ist, wie es funktioniert und warum es wichtig ist

Was ist Enterprise SSO?#

Bevor wir uns der Definition widmen, ist es wichtig, den Unterschied zwischen SSO und Enterprise SSO zu klären, da dies oft Verwirrung stiftet.

• SSO (Single Sign-On) ist ein allgemeiner Begriff, der sich auf die Fähigkeit eines Benutzers bezieht, sich einmal anzumelden und auf mehrere Anwendungen oder Ressourcen zuzugreifen, ohne sich erneut anmelden zu müssen.
• Enterprise SSO ist eine bestimmte Art von SSO, die für Mitarbeiter innerhalb einer Organisation entwickelt wurde.

Immer noch unsicher? Schauen wir uns ein Beispiel an:

Eine Online-Shopping-Website namens Amazed hat zwei Webanwendungen: eine für Kunden und eine für Ladenbesitzer. Kunden melden sich in der Shopping-App an, um Produkte zu kaufen, während sich Ladenbesitzer in der Ladenbesitzer-App anmelden, um ihre Geschäfte zu verwalten. Beide Apps verwenden denselben Identitätsanbieter für die Authentifizierung. Folglich müssen sich Benutzer nur einmal anmelden, um auf beide Apps zuzugreifen, was ein Single Sign-On-Erlebnis bietet.

Intern nutzt Amazed mehrere Anwendungen für die Teamkommunikation, Projektmanagement und Kundensupport. Um die täglichen Arbeitsabläufe zu optimieren, implementiert Amazed Enterprise SSO für seine Mitarbeiter. Mit Enterprise SSO können Mitarbeiter alle internen Anwendungen mit einer einzigen Anmeldung nutzen.

Typischerweise bieten Enterprise SSO-Lösungen auch ein zentrales Dashboard, über das Mitarbeiter mit einem Klick auf alle Anwendungen zugreifen können. Dieses Dashboard wird oft als SSO-Dashboard bezeichnet.

Kurz gesagt, beide Szenarien sind Beispiele für Single Sign-On. Der Unterschied besteht darin, dass das erste Beispiel ein generisches SSO ist, während das zweite Enterprise SSO ist. Dies sind typische Anwendungsfälle für Customer IAM (Identity and Access Management) und Workforce IAM.

Wie funktioniert Enterprise SSO?#

Enterprise SSO funktioniert, indem mehrere Anwendungen mit einem zentralen Identitätsanbieter verbunden werden. Die Verbindung kann einseitig (von der Anwendung zum Identitätsanbieter) oder zweiseitig (zwischen der Anwendung und dem Identitätsanbieter) sein. Verschiedene Standards und Protokolle wie SAML, OpenID Connect und OAuth 2.0 werden für diese Verbindungen verwendet.

Unabhängig vom Protokoll ist der grundlegende Arbeitsablauf in der Regel ähnlich:

1. Der Benutzer greift auf eine Anwendung zu (z.B. Kommunikations-App), die eine Authentifizierung erfordert.
2. Die Anwendung leitet den Benutzer zur Authentifizierung an den Identitätsanbieter weiter.
3. Der Benutzer meldet sich beim Identitätsanbieter an.
4. Der Identitätsanbieter sendet eine Authentifizierungsantwort an die Anwendung zurück.
5. Die Anwendung überprüft die Antwort und gewährt dem Benutzer Zugriff.

Wenn der Benutzer auf eine andere Anwendung zugreift (z.B. Projektmanagement-App), die mit demselben Identitätsanbieter verbunden ist, wird er automatisch angemeldet, ohne dass er seine Anmeldedaten erneut eingeben muss. In diesem Fall wird Schritt 3 übersprungen, und da die Schritte 2, 4 und 5 im Hintergrund ablaufen, bemerkt der Benutzer den Authentifizierungsprozess möglicherweise nicht einmal.

Dieser Prozess wird als Service Provider (SP)-Initiiertes SSO bezeichnet, bei dem die Anwendung (SP) den Authentifizierungsprozess einleitet.

In einem anderen Szenario bietet der Identitätsanbieter ein zentrales Dashboard, über das Benutzer auf alle verbundenen Anwendungen zugreifen können. Ein vereinfachter Workflow ist:

1. Der Benutzer meldet sich beim Identitätsanbieter an.
2. Der Identitätsanbieter zeigt eine Liste der Anwendungen an, auf die der Benutzer zugreifen kann.
3. Der Benutzer klickt auf eine Anwendung (z.B. Kundensupport-App), um darauf zuzugreifen.
4. Der Identitätsanbieter leitet den Benutzer mit Authentifizierungsinformationen an die Anwendung weiter.
5. Die Anwendung überprüft die Informationen und gewährt dem Benutzer Zugriff.

Dieser Prozess wird als Identitätsanbieter (IdP)-Initiiertes SSO bezeichnet, bei dem der Identitätsanbieter (IdP) den Authentifizierungsprozess einleitet.

Warum ist Enterprise SSO wichtig?#

Enterprise SSO im Workforce IAM#

Zentrales Management#

Der Hauptvorteil von Enterprise SSO ist nicht nur die Bequemlichkeit für Mitarbeiter, sondern auch die erhöhte Sicherheit und Compliance für Organisationen. Anstelle von multiplen Anmeldedaten für verschiedene Anwendungen und der separaten Konfiguration von Authentifizierung und Autorisierung kann die Verwaltung von Benutzeridentitäten, Zugriffskontrollrichtlinien und Audit-Logs zentralisiert werden.

Zum Beispiel, wenn ein Mitarbeiter das Unternehmen verlässt, kann die IT-Abteilung das Konto des Mitarbeiters beim Identitätsanbieter deaktivieren und sofort den Zugriff auf alle Anwendungen entziehen. Dies ist entscheidend, um unbefugten Zugriff und Datenverstöße zu verhindern, ein Prozess, der als Lifecycle-Management bekannt ist.

Zugriffskontrolle#

Enterprise SSO-Lösungen enthalten oft Zugriffskontrollfunktionen, wie die rollenbasierte Zugriffskontrolle (RBAC) und attributbasierte Zugriffskontrolle (ABAC). Diese Funktionen ermöglichen es Organisationen, detaillierte Zugriffsrichtlinien basierend auf Benutzerrollen, Attributen und anderen kontextuellen Informationen zu definieren, um sicherzustellen, dass Mitarbeiter das richtige Maß an Zugriff auf die richtigen Ressourcen haben.

Für einen detaillierten Vergleich zwischen RBAC und ABAC werfen Sie einen Blick auf RBAC und ABAC: Die Zugriffskontrollmodelle, die Sie kennen sollten.

Verbesserte Sicherheit#

Ein weiterer Vorteil ist die Möglichkeit, starke Authentifizierungsmethoden durchzusetzen, wie z.B. Multi-Faktor-Authentifizierung (MFA), kennwortlose Authentifizierung und adaptive Authentifizierung für alle Anwendungen. Diese Methoden helfen, sensible Daten zu schützen und den Branchenvorschriften zu entsprechen.

Für weitere Informationen zur MFA siehe Exploring MFA: Looking at authentication from a product perspective.

Enterprise SSO im Customer IAM#

Der Begriff "Enterprise SSO" erscheint auch in Customer IAM-Lösungen. Was bedeutet es in diesem Kontext? Lassen Sie uns das Beispiel von Amazed noch einmal ansehen: Einige Ladenbesitzer sind als Unternehmen eingetragen. Ein Ladenbesitzer, Banana Inc., implementiert Enterprise SSO für seine Mitarbeiter. Teil der Vereinbarung ist, dass Banana Inc. von Amazed verlangt, Enterprise SSO für alle E-Mail-Adressen von Banana Inc. (z.B. *@banana.com) zu erzwingen, wenn sie auf die Ladenbesitzer-App zugreifen.

In diesem Fall muss Amazed seinen Identitätsanbieter mit dem Identitätsanbieter von Banana Inc. integrieren, um Enterprise SSO für die Mitarbeiter von Banana Inc. zu ermöglichen. Diese Integration, die oft über Standardprotokolle wie SAML, OpenID Connect oder OAuth erfolgt, wird häufig als Enterprise SSO-Verbindung, Enterprise SSO-Connector oder SSO-Föderation bezeichnet.

Für eine ausführliche Erklärung von Customer IAM, sehen Sie sich unsere CIAM-Serie an:

• CIAM 101: Authentifizierung, Identität, SSO
• CIAM 102: Autorisierung & Rollenbasierte Zugriffskontrolle

Bereit für das Unternehmen sein#

In B2B (Business-to-Business)-Szenarien ist Enterprise SSO ein Muss für SaaS-Anbieter wie Amazed, um ihre Unternehmenskunden zu unterstützen. Es geht nicht nur um Bequemlichkeit; es geht um Sicherheit und Compliance für beide Parteien. Enterprise SSO kann alle vom Unternehmenskunden verwalteten Identitäten dazu zwingen, sich über den unternehmenseigenen Identitätsanbieter zu authentifizieren, wodurch das Unternehmen die Kontrolle über seine Benutzer, Daten, Zugriffs- und Sicherheitsrichtlinien behält.

Enterprise SSO ist ein entscheidender Faktor, um enterprise readiness zu erreichen, also die Fähigkeit, die Bedürfnisse der Unternehmenskunden zu erfüllen. Allerdings ist Identitäts- und Zugangsmanagement, besonders im Kontext von Unternehmenskunden, komplex und erfordert erhebliche Investitionen an Zeit, Ressourcen und Fachwissen. Moderne SaaS-Anbieter wählen oft IAM-Plattformen, um diese Komplexitäten zu bewältigen.

Abschließende Bemerkungen#

Enterprise SSO ist mächtig. Es bietet Vorteile für alle Beteiligten: Mitarbeiter, Organisationen und Kunden. Die IT-Abteilung freut sich über reduzierte Arbeitsbelastungen, Mitarbeiter vermeiden Passwortmüdigkeit durch kennwortlose Authentifizierung, und Kunden schätzen das verbesserte Benutzererlebnis. Wenn Sie ein SaaS-Produkt für Unternehmenskunden entwickeln oder planen, ziehen Sie Logto für eine sofort einsetzbare, entwicklerfreundliche Lösung in Betracht.