Hva er enkel pålogging (SSO)

Enkel pålogging, på engelsk single sign-on (SSO), betyr at en bruker logger inn én gang med én konto og derfra får tilgang til flere ulike systemer. I stedet for et eget brukernavn og passord i hvert program bruker de ansatte jobbkontoen de allerede har, typisk fra Microsoft eller Google.

Du har sett det som knappen «Logg inn med Microsoft» eller «Logg inn med Google» på innloggingssiden til et program.

Slik fungerer det

SSO bygger på at én tjeneste har ansvaret for å bekrefte hvem brukeren er. Den kalles identitetsleverandør (identity provider, IdP). De vanligste for små og mellomstore bedrifter er:

• Microsoft Entra ID, tidligere kjent som Azure Active Directory, som følger med Microsoft 365
• Google Workspace

Når en ansatt åpner et program som støtter SSO, skjer dette:

1. Programmet sender brukeren videre til identitetsleverandøren.
2. Brukeren logger inn der, med passord og gjerne en ekstra bekreftelse på mobilen.
3. Identitetsleverandøren sender en signert bekreftelse tilbake til programmet om hvem brukeren er.
4. Programmet slipper brukeren inn, uten å ha sett passordet.

Hvis brukeren allerede er logget inn på jobbkontoen, går steg 2 automatisk.

SAML og OpenID Connect

Bak knappen ligger en av to vanlige standarder:

• SAML er den eldste og er mye brukt i bedriftssystemer.
• OpenID Connect (OIDC) er nyere, bygger på OAuth 2.0 og er vanlig i moderne nett- og mobilapper.

For en leder er det nok å vite at begge er etablerte standarder, og at du bør spørre leverandøren hvilken de støtter og om SSO er inkludert i abonnementet eller koster ekstra.

Fordeler

• Sentral av- og påkobling. Når en ansatt slutter, stenger du jobbkontoen ett sted, og tilgangen til alle tilknyttede systemer forsvinner samtidig. Uten SSO må du huske hvert enkelt program.
• Færre passord. De ansatte slipper å lage og huske mange passord, og færre passord blir gjenbrukt eller skrevet ned.
• Én sikkerhetspolicy. Krav til passord og tofaktorautentisering settes ett sted og gjelder for alle systemene.
• Oversikt. Identitetsleverandøren logger innlogginger, slik at uvanlige forsøk er lettere å oppdage.

Ulemper og risiko

• Ett sårbart punkt. Blir jobbkontoen kompromittert, kan angriperen komme inn overalt. Kontoen må derfor beskyttes godt.
• Avhengighet. Er identitetsleverandøren nede, kommer ingen inn i noen av systemene.
• Rettigheter styres fortsatt i hvert system. SSO avgjør hvem du er, ikke nødvendigvis hva du får gjøre. Brukerrettighetene må fortsatt settes riktig i hvert program, med mindre systemet henter roller fra identitetsleverandøren.

SSO og tofaktorautentisering

SSO og tofaktorautentisering (2FA) er ikke alternativer, men bør brukes sammen. Fordi én konto åpner mange dører, er det særlig viktig at den er beskyttet med en ekstra faktor. En fordel med SSO er at 2FA bare må settes opp ett sted, hos identitetsleverandøren, og da gjelder den for alle systemene som logger inn via den.

Vanlige forvekslinger

Et passordhvelv er fortsatt nyttig for systemer som ikke støtter SSO, men gir ikke den samme sentrale avstengingen når noen slutter.

Før du tar det i bruk

• Sjekk hvilke av bedriftens systemer som støtter SSO med den identitetsleverandøren dere bruker
• Slå på tofaktorautentisering for alle jobbkontoer
• Behold minst én administratorkonto med egen innlogging, i tilfelle SSO-oppsettet feiler
• Lag en fast rutine for å stenge jobbkontoen samme dag som noen slutter

Viktig å huske på

• SSO betyr én jobbkonto for mange systemer
• Identitetsleverandøren, typisk Microsoft Entra ID eller Google Workspace, bekrefter hvem brukeren er
• Den største gevinsten er at tilgang kan stenges ett sted når noen slutter
• Kombiner alltid SSO med tofaktorautentisering
• Rettigheter i hvert system må fortsatt styres