业务应用的单点登录与身份管理：一次登录，访问可控

想象一位新员工，入职第一天就要在 ERP 系统、收银应用、人事软件、文件存储工具、团队聊天应用以及其他若干服务中分别创建账号。每个系统都要求单独的密码，规则还各不相同。几个月后，这位员工调岗或离职时，没有人能确定他的所有账号都已被停用。

这正是几乎所有开始使用多个应用的企业都会遇到的身份问题。数字系统越多，需要看守的门就越多，有一扇门忘了上锁的可能性也就越大。密码重复使用、前员工的账号仍然有效、重置请求堆积在 IT 部门的桌面上，都是非常常见的症状。

本文用企业主和运营团队都能理解的语言介绍单点登录（SSO）与身份管理。我们将看看 SSO 解决什么问题、大致如何运作、如何设置分层认证与访问权限，以及如何分阶段推行而不干扰日常工作。

摘要

• SSO 让用户只需登录一次，就能访问多个应用，无需分别记密码
• 它最大的价值在于安全和权限回收，而不仅仅是方便
• 多因素认证和基于角色的访问规则是 SSO 的必要补充
• 员工入职、调岗和离职流程应与身份目录直接联动
• 分阶段推行：先从最重要的应用开始，而不是一次全部上线

为什么分散的账号是真实的风险

每个自行保存密码的应用，都是又一个可能泄露的地方。被十几个密码弄得不堪重负的用户，往往会到处使用同一个密码，或者把密码写在不安全的地方。一旦某个防护不足的服务被攻破，同一个密码就可能被拿去尝试登录贵公司的核心系统。

第二个问题是可见性。当账号在每个应用里手工创建时，就没有一份清单能回答一个简单的问题：目前谁能访问什么？审计变成每年一次的痛苦工作，而且结果还让人存疑。对处理客户数据或财务数据的企业来说，这种不清晰就是合规风险。

第三个问题是工作量。忘记密码的请求占用 IT 团队的时间，也让员工干等。新员工第一天都在等账号一个个开通，而不是学习工作内容。这些都是很少被计入核算的隐性成本，却会不断重复发生。

什么是 SSO，它如何运作

单点登录意味着用户向受信任的身份提供方登录一次，之后就能打开各种应用而无需再次输入密码。这些应用并不保存用户的密码，它们信任身份提供方的声明：这个人已经通过验证。

流程大致如下：用户打开某个应用，应用将其重定向到身份提供方的页面，用户在那里证明自己的身份，然后身份提供方把一份安全的凭证回传给应用。如果用户当天再打开第二个应用，身份提供方已经认识他，整个过程就会顺畅进行，不再要求输入密码。

• 在同一个地方创建、修改和撤销账号
• 所有应用采用统一的密码与认证策略
• 有一份统一的登录记录，出现可疑情况时可以追溯
• 用户体验更简单，重置请求更少
• 新增应用时无需再建立新的账号体系

需要大致了解的协议

企业主不必精通技术细节，但了解这些术语有助于和供应商沟通。SSO 最常见的两个标准是 SAML 和 OpenID Connect。SAML 在较老的企业应用中使用广泛，而建立在 OAuth 2.0 之上的 OpenID Connect 则更常见于现代的网页和移动应用。

OAuth 本身常被误解为登录协议，其实它的主要目的是委托访问：允许某个应用代表用户访问特定数据，而无需共享密码。OpenID Connect 在其上增加了身份层，让应用知道用户是谁。

评估新应用时，要问它是否支持其中一种标准。只提供自有密码登录、不支持 SSO 的应用，会变成一座必须手工管理的孤岛。选择软件时，应把 SSO 支持列入需求清单，而不是等合同签完才去询问。

多因素认证：让 SSO 安全的那一层

SSO 把访问集中起来，这意味着一个账号被攻破就可能打开许多扇门。因此，SSO 几乎总是与多因素认证（MFA）搭配使用。除了密码，用户还需要证明另一件事：来自认证器应用的验证码、实体安全密钥，或在已知设备上的确认。

并非所有形式的 MFA 强度都相同。短信验证码比没有额外一层要好，但更容易遭遇号码劫持和诈骗。认证器应用和安全密钥能提供更好的保护。对于特权账号，例如财务系统的管理员，应选择团队在现实中能够使用的最强形式。

情境化的访问策略可以在不增加用户负担的前提下再加一层保护。例如，从常用设备和常用地点登录可以顺利通过，而从不寻常的国家或新设备登录则会触发额外验证。这样，安全强度恰好在风险升高时随之提升。

入职、调岗与离职：账号的生命周期

身份管理最大的价值，常常体现在员工调岗或离职的时刻。没有集中管理时，回收权限要靠某个人记得去联系每个应用的负责人。有了集中管理，一个操作就能在几分钟内停用所有已连接应用中的账号。

理想情况下，人事系统中的员工名单是事实的唯一来源。员工被登记入职时，其账号和基本访问权限自动创建；职务变动时，权限随之调整；状态终止时，所有权限被撤销。身份提供方可以接收这些变更，并通过自动化的账号开通机制传递给其他应用。

1. 01员工连同职位和部门被登记到人事系统
2. 02身份提供方创建账号，并按角色加入相应分组
3. 03已连接的应用自动收到账号和相应的访问权限
4. 04角色变动时，更新分组成员资格并撤销旧权限
5. 05离职时，在所有应用中停用账号并终止活跃会话

别忘了共享账号和系统之间的服务账号。许多人共用的账号会让审计轨迹变得模糊；密码从不更换的服务账号则是典型的漏洞。给每个账号指定明确的负责人，把密钥放在安全的地方，并安排定期轮换。

基于角色的访问与最小权限原则

登录应用只是故事的一半，另一半是登录之后可以做什么。基于角色的方式把访问权限授予角色，例如收银员、仓库主管或财务人员，而不是逐个授予个人。员工通过被分配到相应角色来获得权限。

最小权限原则意味着每个人只获得工作确实需要的访问权限。这听起来很简单，却常被违反，因为给予宽泛的权限显得更省事。结果是，一次失误或一个被攻破的账号造成的破坏远超应有的程度。

要把由一个人掌握就有风险的职责分开。创建采购订单的人，不应该是批准付款的人。这种职责分离是经典的内部控制，既保护企业也保护员工，而规范的身份管理让它易于执行，也易于证明。

客户与合作伙伴的身份

身份问题并不止于员工。登录您网店或应用的客户，以及访问门户的合作伙伴和供应商，同样需要安全又方便的登录方式。要求有所不同：体验要轻便，但风险依然真实。

对客户来说，使用已有账号登录或 Passkey 等无密码方式，可以在提升安全性的同时减少摩擦。对合作伙伴，在可能的情况下可考虑让他们用自己公司的身份访问，这样合作伙伴撤销员工权限时，对您门户的访问也随之撤销。

托管服务还是自建

对大多数中小企业来说，从零开始自建身份系统并不明智。认证是一个充满安全陷阱的领域，小小的失误就可能造成严重后果。托管的身份服务已经提供了 MFA、日志记录、与数百个应用的集成，以及持续的安全更新。

只有在需求非常特殊、法规要求身份数据必须留在特定基础设施上，或规模大到托管服务的成本不合理时，自建才有意义。即便如此，许多团队也是采用经过验证的开源组件，而不是全部自己编写。

• 支持常见的 SSO 标准，并能与您使用的应用集成
• 强大的 MFA 选项和情境化访问策略
• 自动化账号开通以及与人事系统的集成
• 易于追溯和导出的审计记录
• 服务可用性、账号恢复途径和数据存储位置
• 随着用户和应用增多，费用依然清晰

分阶段的推行计划

一次性把 SSO 应用到所有应用，是制造混乱的配方。先从盘点开始：列出所有在用的应用、负责人、使用者以及存储的数据。盘点本身常常会带来意外发现，比如某个部门在 IT 不知情的情况下购买了应用。

然后选出风险最高或用户最多的几个应用作为第一批，例如财务系统和 ERP。先让一小组人试用，准备好求助渠道，再逐步扩大。向员工清楚说明这一变化：什么变了、何时变、有问题找谁。

1. 01建立应用、负责人、使用者及所存数据类型的清单
2. 02选择身份提供方，并制定密码与 MFA 策略
3. 03接入人事系统的员工名单，作为事实的唯一来源
4. 04为第一批应用启用 SSO，并先让小组试用
5. 05设计角色和访问权限，然后落实最小权限原则
6. 06扩展到其他应用，并定期检视访问权限

还要准备一份简短的沟通与培训计划。不理解为什么登录方式要改变的员工，会去找捷径或抵触变化。向他们说明好处，提供一页纸的指南，并在每个部门指定几位同事作为协助者。沟通到位的变化，比突然宣布的变化更快被接受。

也要谨慎选择推行时机。避开月末或结账期，那时财务团队正忙；选择较平静的时期，以便从容处理早期问题。头几天安排支持团队随时待命，因为大多数问题会在那时出现。

如何衡量收益

身份管理常常难以获批，因为它的收益是“没有发生的坏事”。要让它具体化，就去衡量可以计数的东西：每月的密码重置请求数、新员工完全上手所需的时间、员工离职时撤销全部权限所需的时间，以及没有明确负责人的账号数量。

在推行前记录这些数字，几个月后再对比。通常会看到重置请求大幅下降，入职流程明显加快，孤儿账号的发现也在减少。这些数字为决定是否把更多应用纳入 SSO 或收紧策略提供了诚实的依据。

也要考虑大客户和审计方的提问。贵公司越是经常被要求说明如何管控访问，就越有价值去准备一份清晰的答复和可导出的证据。对想服务企业客户的公司而言，身份管理的成熟度往往是一项不成文的要求。

常见错误

• 启用了 SSO 却没有 MFA，一个密码泄露就能打开所有系统
• 没有准备恢复途径，身份提供方出问题或用户丢失设备时束手无策
• 让应用里的本地账号保持有效，导致 SSO 可以被绕过
• 为图方便授予宽泛权限，之后再也不检视
• 遗忘共享账号、服务账号和前员工的账号
• 没有培训用户识别仿冒登录页面的钓鱼企图

有一点需要注意：SSO 并不能取代警觉。仿冒您登录页面的攻击者依然危险。用户教育、受管理的设备，以及对异常登录的监控，是让身份投入真正发挥作用的补充。

结语

身份管理并不光鲜，却是回报最明确的安全投资之一。一个受管理的入口可以降低泄露风险、加快新员工上手、减少重置请求，并让撤销权限成为确定的动作，而不是一种期望。

从盘点和最重要的两三个应用开始，加上 MFA，与员工数据联动，然后再扩展。每一小步都已经堵住了一个真实的缺口，而这个基础会让您今后添加的每个新系统都更容易接入。