單一登入允許使用者登入一次，無需再次輸入憑證即可存取多個應用程式。使用者向身份提供者進行身份驗證。該提供者頒發令牌或斷言。每個應用程式都信任該提供者並接受該令牌。使用者可以在不同系統之間無縫切換。 IT 部門只需管理一套憑證，而不是幾十套。

單一登入 (SSO) 可提升安全性和易用性。密碼數量減少意味著重複使用密碼和技術支援工單數量也會減少。它集中了身份驗證，從而更容易強制執行多因素身份驗證 (MFA) 並在使用者離職時撤銷其存取權限。但它也集中了風險。如果身分識別提供者遭到入侵，所有連接的應用程式都將面臨風險。 2020 年 SolarWinds 攻擊者利用 SAML 令牌偽造技術繞過 SSO 並存取 Microsoft 365 帳戶。該技術利用了令牌驗證機制中的一個漏洞。 SSO 並非萬能靈藥。它需要在提供者處進行強身份驗證、監控異常令牌使用情況以及精心配置。如果配置得當，它可以減少攻擊面並改善使用者體驗。如果配置不當，則會造成單點故障，攻擊者很容易找到這個漏洞。

單一登入協議

• SAML－基於 XML 的協議，常見於企業應用程式中
• OAuth 2.0－授權框架，廣泛使用
• OpenID Connect－OAuth 之上的身份驗證層
• Kerberos－基於票據的身份驗證，常見於 Windows 環境

單一登入既方便又危險。便利性使其得以廣泛應用，而風險則使其需要精心加固。