Single sign-on (SSO) là gì? Cách cơ chế đăng nhập một lần hoạt động

Single sign-on (SSO) là gì? Đây là cơ chế xác thực cho phép người dùng đăng nhập một lần để truy cập nhiều ứng dụng liên kết mà không phải nhập lại tài khoản. Bài viết của VNPT Cloud giúp doanh nghiệp hiểu cách SSO hoạt động, các giao thức phổ biến, lợi ích, rủi ro và điểm khác biệt với MFA.

Single sign-on (SSO) là gì?

Single Sign-On (SSO - đăng nhập một lần) là giải pháp xác thực cho phép người dùng đăng nhập một lần để truy cập nhiều ứng dụng, trang web hoặc tài nguyên đã liên kết.

Thay vì phải ghi nhớ và nhập lại thông tin tại từng hệ thống, người dùng chỉ cần xác minh danh tính một lần. Sau đó, các ứng dụng thuộc hệ thống SSO có thể nhận biết người dùng mà không yêu cầu đăng nhập lại.

SSO không phải là việc dùng cùng một tên đăng nhập và mật khẩu cho nhiều tài khoản. Với cách dùng chung mật khẩu, người dùng vẫn phải thực hiện thao tác đăng nhập tại từng ứng dụng; còn SSO chỉ yêu cầu một lần xác thực.

Ví dụ về SSO trong thực tế

Các ví dụ SSO phổ biến trong thực tế gồm:

• Nhân viên đăng nhập một lần để truy cập email, phần mềm quản lý công việc và hệ thống nội bộ của doanh nghiệp.
• Người dùng đăng nhập tài khoản Google để sử dụng Gmail, YouTube, Google Drive và Google Maps.
• Người dùng chọn “Đăng nhập bằng Google” hoặc “Đăng nhập bằng Facebook” để truy cập một ứng dụng khác mà không cần tạo tài khoản mới.
• Học sinh đăng nhập cổng trường để sử dụng hệ thống học tập, thư viện số và email sinh viên.
• Khách hàng đăng nhập một lần để sử dụng nhiều dịch vụ trong cùng hệ sinh thái ngân hàng hoặc thương mại điện tử.

SSO hoạt động như thế nào?

SSO sử dụng một hệ thống xác thực trung tâm để kiểm tra danh tính người dùng. Sau khi đăng nhập thành công, người dùng có thể truy cập các ứng dụng liên kết mà không phải nhập lại tên tài khoản và mật khẩu.

Quy trình hoạt động của SSO diễn ra như sau:

Bước 1: Người dùng truy cập ứng dụng

Người dùng mở một ứng dụng hoặc hệ thống đã tích hợp SSO. Nếu chưa có phiên đăng nhập hợp lệ, ứng dụng sẽ gửi yêu cầu xác thực đến hệ thống SSO trung tâm.

Bước 2: Hệ thống yêu cầu thông tin đăng nhập

Hệ thống SSO chuyển người dùng đến giao diện đăng nhập trung tâm. Tại đây, người dùng nhập tên tài khoản và mật khẩu để xác minh danh tính. Nếu người dùng đã đăng nhập trước đó và phiên làm việc vẫn còn hiệu lực, hệ thống có thể bỏ qua bước nhập lại thông tin.

Bước 3: Hệ thống SSO xác thực người dùng

Hệ thống SSO kiểm tra thông tin đăng nhập do người dùng cung cấp. Nếu thông tin chính xác, hệ thống xác nhận danh tính và tạo phiên làm việc, ticket hoặc mã thông báo xác thực. Nếu thông tin không hợp lệ, người dùng nhận thông báo lỗi và phải thực hiện lại quá trình đăng nhập.

Bước 4: Kết quả xác thực được gửi đến ứng dụng

Sau khi xác thực thành công, hệ thống SSO chuyển kết quả xác nhận danh tính đến ứng dụng ban đầu. Ứng dụng kiểm tra phiên làm việc, ticket hoặc mã thông báo nhận được. Nếu thông tin hợp lệ, ứng dụng xác nhận người dùng đã đăng nhập.

Bước 5: Ứng dụng cấp quyền truy cập

Ứng dụng cho phép người dùng truy cập những tài nguyên hoặc chức năng phù hợp với quyền đã được thiết lập. SSO chịu trách nhiệm xác nhận danh tính người dùng. Quyền sử dụng từng chức năng vẫn do chính sách phân quyền của ứng dụng quyết định.

Bước 6: Người dùng truy cập ứng dụng khác

Khi người dùng mở một ứng dụng khác thuộc cùng hệ thống SSO, ứng dụng này tiếp tục gửi yêu cầu xác thực đến hệ thống trung tâm. Hệ thống SSO kiểm tra phiên làm việc hoặc mã thông báo đã tạo trước đó. Nếu thông tin vẫn hợp lệ, hệ thống xác nhận danh tính và gửi kết quả về ứng dụng mới. Nhờ đó, người dùng có thể truy cập ứng dụng tiếp theo mà không phải nhập lại tên tài khoản và mật khẩu.

Lưu ý: Các ứng dụng thuộc những tên miền khác nhau không trực tiếp đọc hoặc sử dụng chung cookie. Mỗi ứng dụng quản lý phiên đăng nhập riêng và cùng dựa vào kết quả xác thực từ hệ thống SSO trung tâm.

Các loại Single Sign-On phổ biến

SSO có thể được triển khai bằng nhiều tiêu chuẩn và giao thức khác nhau. Bốn loại phổ biến gồm SAML, OAuth, OIDC và Kerberos.

SAML

SAML là giao thức trao đổi thông tin xác thực giữa nhà cung cấp danh tính (Identity Provider - IdP) và nhà cung cấp dịch vụ (Service Provider - SP). Sau khi người dùng đăng nhập, hệ thống xác thực gửi kết quả định danh đến ứng dụng. Nhờ đó, ứng dụng không phải trực tiếp lưu trữ và kiểm tra mật khẩu của người dùng.

SAML thường được sử dụng để kết nối hệ thống nhận dạng của doanh nghiệp với các ứng dụng web hoặc dịch vụ bên ngoài.

OAuth

OAuth là tiêu chuẩn mở cho phép một ứng dụng truy cập có giới hạn vào dữ liệu của người dùng trên dịch vụ khác mà không cần nhận mật khẩu. Người dùng đồng ý cho ứng dụng truy cập một phạm vi dữ liệu nhất định. Hệ thống sử dụng token và API để thực hiện việc cấp quyền trong phạm vi đó.

OAuth tập trung vào việc cấp quyền truy cập. Khi được sử dụng cho chức năng đăng nhập, OAuth thường được kết hợp với cơ chế xác minh danh tính.

OIDC

OIDC (OpenID Connect) cho phép người dùng sử dụng một tập thông tin đăng nhập để truy cập nhiều ứng dụng hoặc trang web.

Sau khi xác thực, hệ thống cung cấp thông tin định danh để ứng dụng kiểm tra danh tính người dùng. Ứng dụng cũng có thể nhận thêm những thuộc tính cần thiết cho quá trình tạo tài khoản hoặc cấp quyền.

OIDC thường phù hợp với ứng dụng web, ứng dụng di động và các dịch vụ trực tuyến cần sử dụng một tài khoản đăng nhập trung tâm.

Kerberos

Kerberos là hệ thống xác thực dựa trên ticket, thường được sử dụng trong mạng nội bộ doanh nghiệp. Sau khi đăng nhập, người dùng nhận một ticket từ hệ thống trung tâm. Ticket này được dùng để truy cập những máy chủ, ứng dụng hoặc tài nguyên liên kết mà không phải nhập lại mật khẩu.

Kerberos sử dụng cơ chế mã hóa để bảo vệ thông tin được trao đổi giữa máy khách, máy chủ và Trung tâm phân phối khóa.

Lợi ích của SSO

SSO giúp đơn giản hóa quá trình đăng nhập, giảm số lượng mật khẩu và hỗ trợ doanh nghiệp quản lý hoạt động xác thực tập trung hơn.

Giảm số lượng mật khẩu cần ghi nhớ

Người dùng không cần tạo và ghi nhớ một mật khẩu riêng cho từng ứng dụng. Điều này hạn chế tình trạng quên mật khẩu hoặc sử dụng cùng một mật khẩu cho nhiều tài khoản độc lập. Khi số lượng thông tin đăng nhập giảm, người dùng có thể tập trung bảo vệ tài khoản trung tâm bằng một mật khẩu mạnh hơn.

Giảm thao tác đăng nhập

Người dùng chỉ cần xác thực một lần để truy cập những ứng dụng đã liên kết. Việc chuyển đổi giữa các hệ thống không còn bị gián đoạn bởi nhiều màn hình đăng nhập. Lợi ích này đặc biệt rõ khi nhân viên phải sử dụng nhiều ứng dụng doanh nghiệp trong cùng một quy trình làm việc.

Cải thiện năng suất

Việc nhập tên đăng nhập và mật khẩu tại từng ứng dụng làm mất thời gian và có thể gây gián đoạn công việc. SSO rút gọn quá trình này bằng một phiên xác thực trung tâm. Nhân viên có thể tiếp cận tài nguyên cần thiết nhanh hơn và tập trung vào nhiệm vụ thay vì xử lý nhiều tài khoản đăng nhập.

Giảm chi phí hỗ trợ

Khi phải quản lý nhiều mật khẩu, người dùng có thể thường xuyên quên hoặc nhập sai thông tin. Bộ phận CNTT vì vậy phải xử lý nhiều yêu cầu mở khóa và đặt lại mật khẩu. SSO giảm số lượng tài khoản độc lập cần ghi nhớ, qua đó giảm khối lượng hỗ trợ liên quan đến mật khẩu.

Hỗ trợ kiểm soát truy cập tập trung

SSO giúp doanh nghiệp tập trung quá trình xác thực tại một hệ thống. Đội ngũ quản trị có thể theo dõi hoạt động đăng nhập và quản lý tài khoản thuận tiện hơn. Khi một nhân viên không còn làm việc tại doanh nghiệp, tài khoản trung tâm có thể được vô hiệu hóa để ngăn người dùng tiếp tục đăng nhập vào các ứng dụng liên kết.

Cải thiện trải nghiệm người dùng

Người dùng không phải liên tục nhập lại thông tin khi chuyển giữa các dịch vụ. Quá trình truy cập trở nên liền mạch hơn nhưng vẫn duy trì bước xác minh danh tính ban đầu. Đối với khách hàng, Social Login còn giúp giảm thời gian đăng ký tài khoản và hạn chế việc phải tạo thêm mật khẩu.

Hạn chế và rủi ro của SSO

Việc tập trung xác thực mang lại sự thuận tiện nhưng cũng khiến nhiều ứng dụng phụ thuộc vào cùng một tài khoản và dịch vụ trung tâm.

Tài khoản trung tâm có phạm vi ảnh hưởng lớn

Người dùng sử dụng một tài khoản SSO để truy cập nhiều ứng dụng. Nếu thông tin đăng nhập trung tâm bị lộ, người không có quyền có thể tiếp cận nhiều dịch vụ liên kết. SSO vì vậy không nên chỉ được bảo vệ bằng một mật khẩu. Doanh nghiệp có thể kết hợp MFA để yêu cầu thêm bước xác minh danh tính.

Phụ thuộc vào dịch vụ SSO

Các ứng dụng liên kết dựa vào hệ thống SSO để xác thực người dùng. Nếu dịch vụ trung tâm xảy ra lỗi, người dùng có thể không đăng nhập được vào nhiều ứng dụng cùng lúc. Khi sử dụng dịch vụ bên thứ ba, doanh nghiệp còn phụ thuộc vào khả năng vận hành và chính sách hỗ trợ của nhà cung cấp.

Phát sinh chi phí triển khai

Doanh nghiệp cần tích hợp từng ứng dụng với hệ thống SSO. Quá trình này có thể phát sinh chi phí phát triển, cấu hình và duy trì dịch vụ xác thực trung tâm. Những ứng dụng cũ hoặc không hỗ trợ giao thức phù hợp có thể cần điều chỉnh thêm trước khi kết nối với SSO.

Không thay thế cơ chế phân quyền

SSO xác nhận người dùng là ai nhưng không tự quyết định người dùng được phép thực hiện những thao tác nào. Quyền truy cập vẫn cần được cấu hình tại từng ứng dụng hoặc hệ thống quản lý quyền. Nếu phân quyền không chính xác, người dùng có thể được xác thực thành công nhưng vẫn tiếp cận tài nguyên ngoài phạm vi công việc.

Vẫn cần quản lý phiên đăng nhập

Sau khi xác thực, dịch vụ SSO và từng ứng dụng duy trì phiên làm việc riêng. Người dùng cần đăng xuất hoặc khóa thiết bị khi không còn sử dụng. Nếu một phiên đăng nhập vẫn còn hiệu lực trên thiết bị dùng chung, người khác có thể tiếp tục truy cập các ứng dụng đã được mở.

SSO chỉ phát huy hiệu quả khi doanh nghiệp đồng thời bảo vệ tài khoản trung tâm, quản lý quyền truy cập và kiểm soát phiên đăng nhập.

SSO và MFA khác nhau như thế nào?

SSO và MFA đều liên quan đến quá trình xác thực nhưng giải quyết hai bài toán khác nhau. SSO giảm số lần đăng nhập, còn MFA tăng số lớp xác minh trong một lần đăng nhập. 

MFA thường xác minh danh tính dựa trên những nhóm yếu tố sau:

• Thông tin người dùng biết: Mật khẩu, mã PIN hoặc câu trả lời bảo mật.
• Thiết bị người dùng sở hữu: Điện thoại, ứng dụng Authenticator, smart card hoặc khóa bảo mật.
• Đặc điểm của người dùng: Vân tay, khuôn mặt, mống mắt hoặc đặc điểm sinh trắc học khác.

Ví dụ, nhân viên đăng nhập vào cổng SSO bằng mật khẩu và mã trên ứng dụng Authenticator. Sau khi vượt qua hai yếu tố, nhân viên có thể truy cập các ứng dụng được liên kết mà không phải xác thực lại ở từng hệ thống.

Tuy nhiên, cần lưu ý rằng SSO không thay thế MFA và MFA cũng không cung cấp khả năng đăng nhập một lần. Doanh nghiệp nên triển khai đồng thời hai cơ chế để cân bằng trải nghiệm truy cập với yêu cầu bảo mật. 

Tóm lại, SSO giúp giảm thao tác đăng nhập nhưng cần đi cùng MFA và chính sách phân quyền phù hợp. Khi đã hiểu rõ Single sign-on (SSO) là gì, doanh nghiệp có thể liên hệ VNPT Cloud để được tư vấn tích hợp SSO giữa Active Directory hoặc LDAP với IAM theo hạ tầng thực tế.