Enterprise SSO: Wat het is, hoe het werkt en waarom het belangrijk is

Wat is Enterprise SSO?#

Voordat we ingaan op de definitie, is het belangrijk om het verschil tussen SSO en Enterprise SSO duidelijk te maken, want dit kan vaak verwarring veroorzaken.

• SSO (Single Sign-On) is een algemene term die verwijst naar het vermogen van een gebruiker om eenmalig in te loggen en toegang te krijgen tot meerdere applicaties of bronnen zonder opnieuw in te loggen.
• Enterprise SSO is een specifieke vorm van SSO die is ontworpen voor werknemers binnen een organisatie.

Nog steeds niet zeker? Laten we een voorbeeld bekijken:

Een online winkelwebsite genaamd Amazed heeft twee webapplicaties: één voor klanten en één voor winkeleigenaren. Klanten loggen in op de winkel-app om producten te kopen, terwijl winkeleigenaren inloggen op de winkeleigenaren-app om hun winkels te beheren. Beide apps gebruiken dezelfde identiteitsprovider voor authenticatie. Hierdoor hoeven gebruikers slechts één keer in te loggen om toegang te krijgen tot beide apps, wat een Single Sign-On-ervaring biedt.

Intern gebruikt Amazed meerdere applicaties voor teamcommunicatie, projectmanagement en klantenondersteuning. Om dagelijkse workflows te stroomlijnen, implementeert Amazed Enterprise SSO voor zijn werknemers. Met Enterprise SSO kunnen werknemers met een enkele inlog toegang krijgen tot alle interne applicaties.

Typisch bieden Enterprise SSO-oplossingen ook een gecentraliseerd dashboard voor werknemers om toegang te krijgen tot alle applicaties met één klik. Dit dashboard wordt vaak het SSO-dashboard genoemd.

Kortom, beide scenario's zijn voorbeelden van Single Sign-On. Het verschil is dat het eerste voorbeeld een generieke vorm van SSO is, terwijl het tweede voorbeeld Enterprise SSO is. Dit zijn typische gebruiksscenario's voor Customer IAM (Identity and Access Management) en Workforce IAM, respectievelijk.

Hoe werkt enterprise SSO?#

Enterprise SSO werkt door meerdere applicaties te verbinden met een gecentraliseerde identiteitsprovider. De verbinding kan eenrichtingsverkeer zijn (van de applicatie naar de identiteitsprovider) of tweerichtingsverkeer (tussen de applicatie en de identiteitsprovider). Verschillende standaarden en protocollen, zoals SAML, OpenID Connect en OAuth 2.0, worden gebruikt voor deze verbindingen.

Ongeacht het protocol is de basisworkflow meestal vergelijkbaar:

1. De gebruiker benadert een applicatie (bijv. communicatie-app) die authenticatie vereist.
2. De applicatie leidt de gebruiker om naar de identiteitsprovider voor authenticatie.
3. De gebruiker logt in bij de identiteitsprovider.
4. De identiteitsprovider stuurt een authenticatierespons terug naar de applicatie.
5. De applicatie verifieert de respons en verleent de gebruiker toegang.

Wanneer de gebruiker toegang krijgt tot een andere applicatie (bijv. projectmanagement-app) die is verbonden met dezelfde identiteitsprovider, wordt hij automatisch ingelogd zonder opnieuw zijn inloggegevens in te voeren. In dit geval wordt stap 3 overgeslagen, en aangezien stappen 2, 4 en 5 op de achtergrond plaatsvinden, merkt de gebruiker het authenticatieproces mogelijk niet eens op.

Dit proces wordt Service Provider (SP)-Initiated SSO genoemd, waarbij de applicatie (SP) het authenticatieproces initieert.

In een ander scenario biedt de identiteitsprovider een gecentraliseerd dashboard voor gebruikers om toegang te krijgen tot alle verbonden applicaties. Een vereenvoudigde workflow is:

1. De gebruiker logt in bij de identiteitsprovider.
2. De identiteitsprovider toont een lijst van applicaties waartoe de gebruiker toegang heeft.
3. De gebruiker klikt op een applicatie (bijv. klantenondersteuning-app) om toegang te krijgen.
4. De identiteitsprovider leidt de gebruiker om naar de applicatie met authenticatie-informatie.
5. De applicatie verifieert de informatie en verleent de gebruiker toegang.

Dit proces wordt Identity Provider (IdP)-Initiated SSO genoemd, waarbij de identiteitsprovider (IdP) het authenticatieproces initieert.

Waarom is enterprise SSO belangrijk?#

Enterprise SSO in Workforce IAM#

Gecentraliseerd beheer#

De belangrijkste voordelen van Enterprise SSO zijn niet alleen gemak voor werknemers, maar ook verbeterde beveiliging en naleving voor organisaties. In plaats van meerdere inloggegevens voor verschillende applicaties te beheren en authenticatie en autorisatie afzonderlijk voor elk te configureren, kunnen organisaties het beheer van gebruikersidentiteiten, toegangscontrolebeleid en auditlogs centraliseren.

Bijvoorbeeld, wanneer een werknemer het bedrijf verlaat, kan de IT-afdeling het account van de werknemer uitschakelen bij de identiteitsprovider en onmiddellijk de toegang tot alle applicaties intrekken. Dit is cruciaal om ongeoorloofde toegang en datalekken te voorkomen, een proces dat bekend staat als levenscyclusbeheer.

Toegangscontrole#

Enterprise SSO-oplossingen omvatten vaak functies voor toegangscontrole, zoals rolgebaseerde toegangscontrole (RBAC) en attributen-gebaseerde toegangscontrole (ABAC). Deze functies stellen organisaties in staat om gedetailleerde toegangsbeleid te definiëren op basis van gebruikersrollen, attributen en andere contextuele informatie, om ervoor te zorgen dat werknemers het juiste toegangsniveau hebben tot de juiste bronnen.

Voor een uitgebreide vergelijking tussen RBAC en ABAC, bekijk RBAC en ABAC: De toegangscontrolemodellen die je moet kennen.

Verbeterde beveiliging#

Een ander voordeel is de mogelijkheid om sterke authenticatiemethoden af te dwingen, zoals multi-factor authenticatie (MFA), wachtwoordloze authenticatie en adaptieve authenticatie, voor alle applicaties. Deze methoden helpen bij het beschermen van gevoelige gegevens en voldoen aan industriestandaarden.

Voor meer informatie over MFA, raadpleeg Exploring MFA: Looking at authentication from a product perspective.

Enterprise SSO in Customer IAM#

De term "Enterprise SSO" komt ook voor in Customer IAM-oplossingen. Wat betekent het in deze context? Laten we het Amazed voorbeeld opnieuw bekijken: Sommige winkeleigenaren zijn als bedrijven opgericht. Een winkeleigenaar, Banana Inc., implementeert Enterprise SSO voor zijn werknemers. Als onderdeel van de overeenkomst vereist Banana Inc. dat Amazed Enterprise SSO afdwingt voor alle e-mailadressen van Banana Inc. (bijv. *@banana.com) bij het benaderen van de winkeleigenaren-app.

In dit geval moet Amazed zijn identiteitsprovider integreren met de identiteitsprovider van Banana Inc. om Enterprise SSO mogelijk te maken voor werknemers van Banana Inc. Deze integratie, vaak uitgevoerd via standaardprotocollen zoals SAML, OpenID Connect of OAuth, wordt meestal aangeduid als Enterprise SSO-verbinding, Enterprise SSO-connector of SSO-federatie.

Voor een diepgaande uitleg van Customer IAM, bekijk onze CIAM-serie:

• CIAM 101: Authenticatie, Identiteit, SSO
• CIAM 102: Autorisatie & Rolgebaseerde Toegangscontrole

Wees klaar voor ondernemingen#

In B2B (business-to-business) scenario's is Enterprise SSO een must-have functie voor SaaS-aanbieders zoals Amazed om hun zakelijke klanten te ondersteunen. Het gaat niet alleen om gemak; het gaat om beveiliging en naleving voor beide partijen. Enterprise SSO kan afdwingen dat alle identiteiten die door de zakelijke klant worden beheerd, authenticeren via de bedrijfsidentiteitsprovider, zodat de onderneming controle houdt over zijn gebruikers, gegevens, toegangs- en beveiligingsbeleid.

Enterprise SSO is een sleutelfactor in het bereiken van enterprise readiness, wat betekent de mogelijkheid om te voldoen aan de behoeften van zakelijke klanten. Identiteits- en toegangsbeheer, vooral in de context van zakelijke klanten, is echter complex en vereist aanzienlijke investeringen in tijd, middelen en expertise. Moderne SaaS-aanbieders kiezen vaak voor IAM-platforms om deze complexiteiten aan te pakken.

Afsluitende opmerkingen#

Enterprise SSO is krachtig. Het biedt voordelen aan iedereen die betrokken is: werknemers, organisaties en klanten. De IT-afdeling profiteert van verminderde werklast, werknemers vermijden wachtwoordvermoeidheid met wachtwoordloze authenticatie, en klanten waarderen de verbeterde gebruikerservaring. Als je een SaaS-product ontwikkelt of van plan bent ondernemingsklanten te ondersteunen, overweeg dan Logto voor een kant-en-klare, ontwikkelaarsvriendelijke oplossing.