什麼是身分識別提供者？

它是什麼

每個應用程式都需要知道是誰在使用它。沒有身分識別提供者時，每個應用程式各自保存一份使用者名稱與密碼清單。有了身分識別提供者，應用程式會把使用者導向身分識別提供者去登入，身分識別提供者再回傳一則經簽署的訊息，說明他們是誰。應用程式從頭到尾看不到密碼。

這種安排稱為單一登入，即 SSO。登入一次後，其他應用程式不會再次詢問就讓您進入。這些訊息透過開放標準傳遞，主要是 OpenID Connect、OAuth 2.0 與 SAML，因此不同廠商的產品能夠互相搭配。

為什麼這對企業很重要

• 只需停用一個帳號：有人離職時，停用一個帳號就能關閉所有信任它的應用程式。
• 在同一處進行多重要素登入：第二道驗證在身分識別提供者處強制執行，因此每個連接的應用程式都能獲得，包括自己做不到的應用程式。
• 更少的密碼：員工只需記住一個，讓長而獨一無二的密碼變得可行。
• 單一登入記錄：誰在何處登入了什麼，都記錄在同一個地方。
• 它會變得至關重要：如果身分識別提供者停擺，沒有人能登入任何東西。它需要備份、監控，並為管理員準備一條經過測試的重新進入途徑。

常見的身分識別提供者

• Microsoft Entra ID：Microsoft 365 背後的身分識別提供者，也是多數辦公室已經擁有的。它的定位請見我們的 Microsoft 指南。
• Google Workspace：對於執行 Google Workspace 的公司，Google 帳號扮演相同角色。
• Authentik：開放原始碼且可自行託管，內建方法可在沒有登入功能的應用程式前加上登入。請見我們的 Authentik 指南。
• Keycloak：開放原始碼且可自行託管，廣泛用於為客製應用程式加入符合標準的登入。請見我們的 Keycloak 指南。
• Okta 與類似服務：以訂閱方式為您營運的商用身分識別提供者。

這些可以串接。自行託管的身分識別提供者可把實際的登入交給 Microsoft Entra ID，因此員工仍使用自己的 Microsoft 365 帳號，內部工具卻能取得單一登入。

您會聽到的術語

• SSO：單一登入，以一組登入使用多個應用程式。
• MFA：多重要素驗證，第二道證明，例如應用程式提示或安全金鑰。
• OIDC 與 SAML：多數應用程式用來與身分識別提供者溝通的兩種標準。
• 條件式存取：依裝置、位置或風險來允許或封鎖登入的規則。

KawaConnect 如何處理身分識別提供者

我們大部分的身分識別工作都在 Microsoft 365 中：Entra ID 帳號、MFA 與條件式存取，設定成由一個帳號控制一個人的電子郵件、檔案與筆電。這部分工作說明於我們的 Microsoft 365 與端點安全頁面。當企業同時執行自行託管或客製的應用程式時，我們會將它們接到同一個登入，讓它們不必各自保管密碼。

瞭解更多

• 維基百科上的身分識別提供者對身分識別提供者的作用及現有類型的中立概述。
• 維基百科上的單一登入單一登入如何運作，以及它的優點與風險。
• OpenID Connect 如何運作OpenID Foundation 對多數新應用程式所採用標準的簡短說明。
• 什麼是 Microsoft Entra ID？Microsoft 對 Microsoft 365 背後之身分識別提供者的介紹。