Single sign-on (SSO): en inloggning för alla tjänster

Single sign on är en av få säkerhetsåtgärder som kollegorna faktiskt tackar dig för. Färre lösenord att komma ihåg, färre inloggningsrutor, färre samtal till supporten. Samtidigt blir IT-miljön säkrare, eftersom alla inloggningar går genom samma dörr och den dörren går att vakta. Sidan är en del av guiden till identitet och åtkomst.

En sak först, eftersom den ofta hamnar i en bisats: SSO utan MFA är att samla alla nycklar på en knippa och lämna den i dörren. Gör MFA först, SSO sedan.

Vad är SSO?

SSO är en inloggningsmetod där en central tjänst intygar vem du är, så att du inte behöver logga in separat i varje system. Den centrala tjänsten kallas identitetsleverantör. I ett företag med Microsoft 365 är det Microsoft Entra ID, tidigare Azure AD.

Ett påhittat men typiskt exempel: säg att du driver en byggfirma med 40 anställda. Projektledarna använder Microsoft 365, ett projektverktyg, ett tidrapporteringssystem, en ritningstjänst och leverantörernas portaler. Utan SSO har var och en fem eller sex lösenord, och de flesta är varianter av samma. När en projektledare slutar ska någon komma ihåg att stänga sex konton. Med SSO loggar alla in med jobbkontot, och när kontot spärras är alla dörrar stängda samtidigt.

Hur fungerar SSO?

SSO bygger på att tjänsten du vill använda litar på identitetsleverantören. I stället för att kontrollera ditt lösenord själv skickar tjänsten dig vidare till Entra ID, som kontrollerar vem du är och skickar tillbaka ett digitalt intyg. Flödet ser ut så här:

1. Du öppnar tjänsten, till exempel tidrapporteringen.
2. Tjänsten ser att du inte är inloggad och skickar dig till Entra ID.
3. Entra ID kontrollerar inloggningen. Har du redan loggat in i dag, med MFA, händer det utan att du märker något.
4. Entra ID skickar ett intyg tillbaka till tjänsten: det här är Anna, och hon har rätt att vara här.
5. Tjänsten släpper in dig. Ditt lösenord har aldrig lämnat Entra ID.

Den sista punkten är den viktigaste. Tjänsten får aldrig se lösenordet, så ett dataintrång hos en av dina leverantörer läcker inte dina kollegors inloggningsuppgifter.

Intyget skickas enligt ett protokoll, en gemensam standard som båda sidor förstår. De två du stöter på oftast är SAML och OIDC:

Protokoll	Vad det är, i klartext	Vanligt för
SAML 2.0	Den äldre standarden. Intyget skickas som ett XML-dokument. Moget och brett stött	Etablerade affärssystem och webbtjänster
OpenID Connect (OIDC)	Den nyare standarden, byggd på OAuth 2.0. Intyget är en kompakt JSON-token	Moderna molntjänster, mobilappar och webbappar
Lösenordsbaserad SSO	Inget protokoll. Entra sparar inloggningen och fyller i den åt användaren	Äldre tjänster som saknar stöd för SAML och OIDC

Som köpare behöver du sällan välja protokoll, det gör tjänsten åt dig. Det du behöver veta är att båda fungerar bra, och att lösenordsbaserad SSO är en nödlösning: bekvämare för användaren, men tjänsten har fortfarande ett eget lösenord som kan läcka.

Vad är fördelarna och riskerna?

Fördelarna är både praktiska och säkerhetsmässiga. Färre lösenord betyder färre återanvända lösenord, och återanvända lösenord är en av de vanligaste vägarna in för en angripare. Du får en logg över vem som loggat in var. Du kan ställa samma krav på alla tjänster, till exempel att inloggningen kräver MFA eller en dator som företaget hanterar. Och när någon slutar räcker det att spärra ett konto.

Riskerna finns, och de ska sägas rakt:

Ett konto öppnar många dörrar. Kommer någon åt jobbkontot kommer hen åt allt som är kopplat. Det är skälet till att MFA inte är valfritt, och till att administratörskonton behöver extra skydd.

Entra ID blir en kritisk punkt. Är Entra ID nere eller felinställt kommer ingen åt någonting. Microsofts tjänst är sällan problemet, en egen felinställning är vanligare. Mer om det i villkorad åtkomst, där du också läser om nödkonton.

Stulna sessioner. Nätfiskesidor försöker i dag stjäla själva inloggningen, inte bara lösenordet. Starka MFA-metoder som passkeys gör det svårare, och villkorad åtkomst kan begränsa hur länge en inloggning gäller.

Ingen av riskerna är ett skäl att avstå från SSO. Alternativet, tjugo lösenord per person, är sämre på alla punkter.

Hur fungerar SSO med Microsoft Entra?

Har företaget Microsoft 365 har du redan SSO mellan Microsofts egna tjänster. Outlook, Teams och SharePoint loggar du in i en gång. Det du kan lägga till är andra tjänster, och det görs under Företagsprogram (Enterprise applications) i Microsoft Entra administrationscenter.

Microsoft har ett galleri med tusentals förberedda tjänster där inställningarna redan är gjorda till stor del. Finns tjänsten inte där kan du lägga till den själv med SAML eller OIDC, om leverantören stödjer det. Användarna hittar sina tjänster i portalen Mina appar.

Licensen är sällan hindret. Enligt Microsoft ingår SSO till molntjänster redan i Entra ID Free, utan gräns för antal tjänster. Det som kräver Entra ID P1 är bland annat villkorad åtkomst, alltså reglerna för vem som får logga in och under vilka villkor, och Application Proxy för att nå lokala webbsystem utifrån. P1 ingår i Microsoft 365 Business Premium. [VERIFIERA MOT KÄLLA: licens, att SSO till obegränsat antal molntjänster ingår i Entra ID Free vid publicering]

Kostnaden sitter oftare hos leverantören av den andra tjänsten. Det är inte ovanligt att SSO bara ingår i en leverantörs dyraste prisnivå, även om själva funktionen är densamma. Fråga efter det innan du skriver på, och ta med det i förhandlingen. Tycker leverantören att din säkerhet är en premiumfunktion är det värt att veta.

Så inför du SSO

SSO införs tjänst för tjänst, inte i ett stort projekt. Det gör det lätt att börja smått.

1. Säkra grunden. MFA för alla, och gärna villkorad åtkomst om du har licensen. Utan det ökar SSO risken i stället för att minska den.
2. Lista tjänsterna. Vilka system loggar kollegorna in i, och vem äger avtalet? Listan blir också ditt underlag för att stänga konton när någon slutar.
3. Kontrollera stödet. Finns tjänsten i Microsofts galleri? Stödjer den SAML eller OIDC, och i så fall i vilken prisnivå?
4. Börja med en tjänst som många använder. Testa med några personer, kontrollera att inloggning och utloggning fungerar och att rätt personer kommer åt rätt saker.
5. Styr åtkomsten med grupper. Koppla tjänsten till en grupp i Entra ID i stället för enskilda personer. Då räcker det att flytta någon mellan grupper när hen byter roll.
6. Stäng de gamla inloggningarna. Ta bort lokala lösenord i tjänsten där det går, annars finns bakdörren kvar.
7. Berätta för kollegorna. Kort och i förväg: vad som ändras och vem de ringer om något krånglar.

Steg 6 glöms oftast. En tjänst där man både kan logga in via SSO och med ett gammalt lösenord har fått det sämsta av två världar.

Färre dörrar, bättre lås

SSO är ett av få tillfällen där säkerhet och bekvämlighet drar åt samma håll. Du får färre lösenord, snabbare avslut när någon slutar och en logg över vem som varit var. Villkoret är att dörren som alla går igenom har ett ordentligt lås. Slå på MFA först, koppla sedan in en tjänst i taget, och börja med den som flest kollegor klagar på.

Så hjälper Nod till

Nod hjälper dig att samla dina inloggningar. I en kostnadsfri rådgivning går vi igenom vilka tjänster företaget använder, vilka som stödjer SSO och vad dina licenser redan räcker till. Därefter kan vi koppla in tjänsterna i Entra ID, sätta upp grupper för åtkomst och se till att MFA och villkorad åtkomst är på plats först. Läs mer om identitet och åtkomst hos Nod.