А расскажите о минусах использования SSO в рамках компании. Вижу только один минус - сервис авторизации прилег и не войдешь во все остальные сервисы. В остальном только плюсы как и со стороны пользователя, так и со стороны администратора и безопасника.
Из плюсов: следить только за одним сервисом по безопасности, настраивать только один сервис на выдачу и контроль прав, легкость управления пользователями, контроль за входами, прозрачный вход во все сервисы куда разрешено.
Эта запись была отредактирована (3 дней назад)
ru поделился этим.
D:\side\
в ответ на sattellite • • •не со всеми сервисами может нормально работать. Довелось поработать под Okta, их интеграция входа в гугл (Workspace) настолько феерически всратая, что работала через браузерное расширение, а поскольку некоторые службы гугла требовали именно пароль именно от гуглоаккаунта, и вход по OAuth не умели, в качестве костыля на них ставили такой же пароль, как в системе SSO. А когда приходила пора сменить пароль, случались развлечения, т. к. обновление пароля в гугле происходило через расширение у клиента, а до этого момента в гугле всё ещё старый пароль.
tl;dr: несколько ограничивает выбор сервисов
Ещё в зависимости от используемого протокола авторизации доступ может быть мгновенно не отозвать. (Если используется оффлайн-проверяемый JWT по предварительно загруженным JWK, но они обычно живут недолго, минут 15.)
D:\side\
в ответ на D:\side\ • • •а, да, и среди всяких SaaS'ов и других коммерческих провайдеров сложилось обыкновение требовать за SSO доплату, иногда откровенно неприличную и/или непубличную (энтерпрайзный план через продаванов): sso.tax/
Что в сущности продолжает пункт "ограничивает выбор сервисов", внося поправку "или делает уже выбранные дороже".
The SSO Wall of Shame
The SSO Wall of Shamesattellite
в ответ на D:\side\ • • •sattellite
в ответ на sattellite • • •Alexey Skobkin
в ответ на sattellite • • •А так у нас, например, используется селфхощенный SSO, который в целом вменяемо работает. Но в одном внешнием сервисе были проблемы из-за чего туда до сих пор по обычным учёткам ходят.
ХаББыватель
в ответ на sattellite • •нравится это
burbilog и Ambassador Tablicek нравится это.
fgntfg :verified:
в ответ на sattellite • • •Ostap Bender
в ответ на sattellite • • •во-первых, ценник. Во-вторых, местами встречается ну очень кривая интеграция. В-третьих, ценник. В-четвёртых, единая точка отказа. В-пятых, ценник.
И да, я про ценник не забыл упомянуть же?
sattellite
в ответ на Ostap Bender • • •Ostap Bender
в ответ на sattellite • • •