После подключения единого входа сотрудник открывает систему командировок и видит пустую историю. Старые авансовые отчёты никуда не исчезли: приложение просто создало ему ещё один профиль. Демонстрация входа прошла успешно, а человеку теперь приходится доказывать, что прежняя учётная запись тоже принадлежит ему.
Single Sign-On упрощает переход между приложениями, когда они используют общий результат проверки личности. Но проект не заканчивается новой кнопкой. Нужно связать существующие аккаунты, сохранить правильные полномочия и договориться, как они изменятся при переводе сотрудника или увольнении.
Один вход не означает один пароль, размноженный по системам
В федеративной схеме приложение направляет пользователя к доверенному поставщику идентификации, Identity Provider. Тот проверяет личность и передаёт подтверждение приложению. Для такого взаимодействия используются, например, SAML и OpenID Connect. Основной пароль не нужно отдавать каждому продукту. Этот вариант отличается от механизмов подстановки сохранённых паролей, которые тоже встречаются под названием SSO; варианты разделены в обзоре Microsoft Entra.
Приложение обязано проверить, от кого пришло подтверждение, кому оно предназначено и действительно ли оно ещё применимо к этому входу. После этого оно обычно создаёт собственную сессию. Пользователь видит непрерывную работу, хотя внутри существует несколько отдельных отношений доверия.
Дополнительная проверка при чувствительном действии не противоречит SSO. Согласовать обычную заявку и изменить платёжные реквизиты — разные риски. Удобство означает отсутствие ненужного повторения, а не обещание больше никогда не подтверждать личность.
Почтовый адрес — плохая пожизненная связь аккаунтов
Почта может измениться после смены фамилии или домена, а освободившийся адрес иногда получают другие сотрудники. Поэтому автоматически объединять профили только по совпавшему адресу опасно. В OpenID Connect для устойчивой идентификации используются вместе сведения об издателе и идентификаторе пользователя — iss и sub. Ограничения остальных полей описаны в спецификации.
При переходе нужен проверяемый порядок связывания старой записи с новой идентичностью. Неоднозначные случаи лучше разобрать, чем автоматически отдать историю первому вошедшему с похожим именем. Для системы командировок проверяют не только просмотр отчётов, но и авторство прежних согласований, незавершённые заявки и полномочия заместителей.
У внешних участников могут быть свои организации и способы входа. Совпадение понятного человеку имени не делает их одним субъектом доступа. Правило принадлежности к компании должно быть явным, особенно в продукте, который обслуживает нескольких корпоративных клиентов.
Создание пользователя и его вход — разные операции
SSO подтверждает личность, но не обязательно создаёт и своевременно отключает запись в каждой системе. Для управления жизненным циклом могут использоваться отдельные интерфейсы, в том числе SCIM. Документация Microsoft различает федеративный вход и provisioning — создание, обновление и отключение пользователей в приложениях.
Есть вариант создавать профиль при первом входе. Он удобен, но надо определить, кто вообще имеет право его получить и какие права назначаются по умолчанию. «Успешно вошёл» не должно автоматически означать «стал администратором новой организации».
Для перевода сотрудника важна не только новая роль, но и удаление прежней. Если кадровое назначение изменилось, а приложение сохранило локальную привилегию, общий вход не исправит её сам. Полезно назначить владельца каждого соответствия между группой, ролью и реальным действием, а также измерять задержку обновления.
Выход, блокировка и увольнение не равны друг другу
Выйти из одного приложения, завершить сессию у провайдера и прекратить все права сотрудника — разные результаты. Приложение может продолжать принимать собственную сессию после запрета нового входа. Microsoft прямо указывает, что Entra не может самостоятельно отозвать сессионный токен, выданный другим приложением, в разборе отзыва доступа.
Поэтому договорённость должна описывать фактическое прекращение работы: как приложение узнаёт о блокировке, когда завершает прежние сеансы и что происходит с доступом мобильного клиента. Поддержка общего выхода зависит от участвующих систем и настроек, а не от названия кнопки.
Личные токены API, локальные пароли и интеграции могут иметь отдельный жизненный цикл. При отключении сотрудника их нужно учитывать явно. Уже скачанный отчёт отзыв сессии не удаляет; дальнейшая работа с такими копиями решается отдельно.
Общий вход становится важной общей зависимостью
Отказ провайдера может заблокировать новые входы, тогда как часть открытых приложений ещё работает. Проверка только одной давно открытой вкладки не показывает готовность компании к такому отказу. Испытайте новый браузер, истёкшую сессию и восстановление работы после возвращения зависимости.
У администраторов должен оставаться контролируемый способ исправить ошибочную общую политику. Он должен учитывать именно тот отказ, от которого защищает: запасной вход, использующий ту же сломанную цепочку, не поможет. Отдельные аварийные учётные записи и наблюдение за их использованием рассматривает руководство Microsoft. Постоянный доступ всем в обход SSO — совсем другое решение.
Концентрация проверки личности требует защиты её администраторов и процедур восстановления. Если поддержку можно убедить передать чужой аккаунт, дополнительный фактор на основном экране мало утешит владельца. При этом общая платформа не должна бесконтрольно собирать сведения, которые приложениям вообще не нужны для работы.
Подключить несколько систем полностью
Пилот стоит провести на разных приложениях: одном современном, одном со старой историей аккаунтов и одном внешнем сервисе. Пройдите обычный рабочий день, смену адреса, перевод на другую должность и увольнение с открытыми сессиями. Сверьте доступ через интерфейс и другие используемые клиентами пути.
Цена включает интеграции, лицензии, сопровождение и оставшиеся ручные действия. Не всегда нужна собственная платформа: услуга существующего поставщика может закрыть задачу. Но у каждой подключённой системы должен быть известен срок отключения, порядок изменения прав и ответственный за исключения. Тогда обещание «один вход» означает удобную работу без потери контроля, а не просто одинаковую страницу перед разными проблемами.