Что такое поставщик удостоверений?

Что это такое

Каждому приложению нужно знать, кто им пользуется. Без поставщика удостоверений каждое хранит собственный список имён пользователей и паролей. С ним приложение отправляет человека к поставщику удостоверений для входа, а тот возвращает подписанное сообщение о том, кто это. Приложение пароль никогда не видит.

Такая схема называется единым входом, или SSO. Войдите один раз, и остальные приложения пустят вас без повторного запроса. Сообщения передаются по открытым стандартам, главным образом OpenID Connect, OAuth 2.0 и SAML, поэтому продукты разных производителей могут работать вместе.

Почему это важно для бизнеса

• Одна учётная запись для отключения: когда человек уходит, отключение одной учётной записи закрывает все приложения, которые ей доверяют.
• Многофакторный вход в одном месте: второй шаг обеспечивается на стороне поставщика удостоверений, поэтому его получает каждое подключённое приложение, включая те, что не могли бы реализовать его сами.
• Меньше паролей: сотрудники запоминают один, и поэтому длинный уникальный пароль становится реальным.
• Один журнал входов: кто вошёл, откуда и куда, записывается в одном месте.
• Он становится критически важным: если поставщик удостоверений недоступен, никто не сможет войти ни в одно приложение. Ему нужны резервные копии, мониторинг и проверенный способ вернуть доступ администраторам.

Распространённые поставщики удостоверений

• Microsoft Entra ID: поставщик удостоверений, на котором построен Microsoft 365, и тот, который уже есть в большинстве офисов. О том, где он применяется, рассказывает наша статья о Microsoft.
• Google Workspace: учётные записи Google играют ту же роль для компаний, работающих на Google Workspace.
• Authentik: открытый исходный код и самостоятельное размещение, со встроенным способом поставить вход перед приложениями, у которых его нет. См. нашу статью об Authentik.
• Keycloak: открытый исходный код и самостоятельное размещение, широко используется для добавления входа по стандартам в заказные приложения. См. нашу статью о Keycloak.
• Okta и подобные службы: коммерческие поставщики удостоверений, которые работают для вас по подписке.

Их можно объединять в цепочку. Поставщик удостоверений, размещённый у вас, может передавать сам вход в Microsoft Entra ID, и тогда сотрудники по-прежнему используют учётную запись Microsoft 365, а внутренние инструменты получают единый вход.

Термины, которые вы услышите

• SSO: единый вход, один логин для многих приложений.
• MFA: многофакторная аутентификация, второе подтверждение, например запрос в приложении или ключ безопасности.
• OIDC и SAML: два стандарта, которые большинство приложений используют для обмена данными с поставщиком удостоверений.
• Условный доступ: правила, которые разрешают или блокируют вход в зависимости от устройства, места или уровня риска.

Как KawaConnect работает с поставщиками удостоверений

Большая часть нашей работы с удостоверениями приходится на Microsoft 365: учётные записи Entra ID, MFA и условный доступ, настроенные так, чтобы одна учётная запись управляла почтой, файлами и ноутбуком человека. Эта работа описана на страницах о Microsoft 365 и защите конечных устройств. Когда у компании есть также приложения, размещённые у себя, или заказные, мы подключаем их к тому же входу, чтобы они не хранили отдельные пароли.

Подробнее

• Поставщик удостоверений в ВикипедииНейтральный обзор того, что делает поставщик удостоверений и какие бывают виды.
• Единый вход в ВикипедииКак работает единый вход, его преимущества и риски.
• Как работает OpenID ConnectКраткое объяснение от OpenID Foundation стандарта, который используют большинство новых приложений.
• Что такое Microsoft Entra ID?Введение от Microsoft в поставщика удостоверений, на котором построен Microsoft 365.