单点登录允许用户登录一次，无需再次输入凭据即可访问多个应用程序。用户向身份提供商进行身份验证。该提供商颁发令牌或断言。每个应用程序都信任该提供商并接受该令牌。用户可以在不同系统之间无缝切换。IT 部门只需管理一套凭据，而不是几十套。

单点登录 (SSO) 可提升安全性和易用性。密码数量减少意味着重复使用密码和技术支持工单数量也会减少。它集中了身份验证，从而更容易强制执行多因素身份验证 (MFA) 并在用户离职时撤销其访问权限。但它也集中了风险。如果身份提供商遭到入侵，所有连接的应用程序都将面临风险。2020 年 SolarWinds 攻击者利用 SAML 令牌伪造技术绕过 SSO 并访问 Microsoft 365 帐户。该技术利用了令牌验证机制中的一个漏洞。SSO 并非万能灵药。它需要在提供商处进行强身份验证、监控异常令牌使用情况以及进行精心配置。如果配置得当，它可以减少攻击面并改善用户体验。如果配置不当，则会造成单点故障，攻击者很容易找到这个漏洞。

单点登录协议

• SAML——基于 XML 的协议，常见于企业应用程序中
• OAuth 2.0——授权框架，广泛使用
• OpenID Connect——OAuth 之上的身份验证层
• Kerberos——基于票据的身份验证，常见于 Windows 环境

单点登录既方便又危险。便利性使其得以广泛应用，而风险则使其需要精心加固。