它是什么
每个应用都需要知道谁在使用它。没有身份提供商时，每个应用都各自保存一份用户名和密码清单。有了身份提供商，应用会把人引导到身份提供商去登录，身份提供商再回送一条签名消息，说明他们是谁。应用始终看不到密码。
这种安排称为单点登录，即 SSO。登录一次，其他应用就会放您进入，无需再次询问。这些消息通过开放标准传递，主要是 OpenID Connect、OAuth 2.0 和 SAML，因此不同厂商的产品可以协同工作。
为什么它对企业重要
- 只需停用一个账户：有人离职时，停用一个账户就能关闭所有信任它的应用。
- 在一处完成多因素登录：第二步验证在身份提供商处强制执行，因此每个已连接的应用都能获得这一保护，包括那些自己做不到的应用。
- 更少的密码：员工只需记住一个，这让使用长而唯一的密码变得现实可行。
- 一份登录日志：谁登录、从哪里登录、登录到什么，都记录在同一个地方。
- 它会变得至关重要：如果身份提供商宕机，没有人能登录任何系统。它需要备份、监控，以及一条供管理员使用且经过测试的恢复途径。
常见的身份提供商
- Microsoft Entra ID：Microsoft 365 背后的身份提供商，也是大多数办公室已经拥有的那一个。我们的 Microsoft 指南介绍了它的定位。
- Google Workspace：对于使用 Google Workspace 的公司，Google 账户扮演同样的角色。
- Authentik：开源且可自托管，内置了为没有登录功能的应用加上登录的方式。请参阅我们的 Authentik 指南。
- Keycloak：开源且可自托管，广泛用于为定制应用添加基于标准的登录。请参阅我们的 Keycloak 指南。
- Okta 及类似服务：以订阅方式为您运营的商业身份提供商。
这些可以串联使用。自托管的身份提供商可以把实际的登录交给 Microsoft Entra ID 处理，这样员工仍然使用 Microsoft 365 账户，而内部工具获得单点登录。
您会听到的术语
- SSO：单点登录，一次登录访问多个应用。
- MFA：多因素身份验证，即第二重证明，例如应用提示或安全密钥。
- OIDC 和 SAML：大多数应用与身份提供商通信时使用的两种标准。
- 条件访问：根据设备、位置或风险来允许或阻止登录的规则。
KawaConnect 如何处理身份提供商
我们的大部分身份工作都在 Microsoft 365 中：Entra ID 账户、MFA 和条件访问，配置成让一个账户同时控制一个人的邮件、文件和笔记本电脑。这些工作在我们的 Microsoft 365 和终端安全页面中有说明。当企业还运行自托管或定制应用时，我们会把它们接入同一套登录，这样它们就不会各自保存独立的密码。
相关服务
了解更多
- 维基百科上的身份提供商对身份提供商的作用及其种类的中立概述。
- 维基百科上的单点登录单点登录的工作方式，及其好处与风险。
- OpenID Connect 如何工作OpenID 基金会对大多数新应用所用标准的简短说明。
- 什么是 Microsoft Entra ID？Microsoft 对 Microsoft 365 背后的身份提供商的介绍。
