单点登录（SSO）是一种重要的云安全技术，可将所有用户应用程序登录缩减为一个登录，以提高安全性和便利性。
阅读本文后，您将能够：
复制文章链接
单点登录 (SSO) 技术将多个不同应用程序登录屏幕组合在一起。使用 SSO 时，用户只需在一个页面上输入一次登录凭据（用户名和密码等），即可访问其所有 SaaS 应用程序。
SSO 通常在企业环境中使用，其中用户应用程序由内部 IT 团队进行分配和管理。使用 SaaS 应用程序的远程工作人员也可以从使用 SSO 中受益。
想象一下，假如顾客已经被准许进入酒吧，但在每次尝试购买其他含酒精饮料时都被要求出示身份证以证明年龄，他们会如何。一些顾客很快会因为一再检查而感到不满，甚至可能会试图通过偷偷饮用自带饮料来规避这些措施。
但是，大多数酒吧只会检查一次顾客的身份，然后在整个夜晚为顾客提供多杯饮料。这在一定程度上与 SSO 系统类似：用户无需一次又一次地确立其身份，而是只确立一次，然后就能访问多种不同的服务。
SSO 是许多身份和访问管理 (IAM) 或访问控制解决方案的重要方面。用户身份验证对于了解每个用户应具有的权限至关重要。例如，Cloudflare Zero Trust 就是一种集成 SSO 解决方案来管理用户身份的访问控制解决方案。
除了为用户带来更多简易性和便利性外，SSO 还被广泛认为更加安全。这似乎与直觉相悖：使用一个密码登录一次怎么会比使用多个密码登录多次更加安全？SSO 的支持者给出了如下原因：
每当用户登录 SSO 服务时，该服务会创建一个身份验证令牌，记住该用户已通过验证。身份验证令牌是存储在用户浏览器中或 SSO 服务服务器中的一条数字信息，就像颁发给用户的一张临时身份证。用户访问的任何应用与 SSO 服务核查。SSO 服务将用户的身份验证令牌传递给应用，用户便被获准进入。但是，如果用户尚未登录，则提示他们通过 SSO 服务进行登录。
SSO 服务不一定记住用户是谁，因为它不存储用户身份。大多数 SSO 服务在工作时要与单独的身份管理服务核查用户的凭证。
SSO 可被视为一种中介，它可以确认用户的登录凭证是否与数据库中的身份相符，而无需自己管理数据库。这就如图书馆员代表他人根据书名查找书籍一样。图书馆员不用记住整个借书证目录，但可以轻松访问它。
在 SSO 流程中，能否将身份验证令牌传递给外部应用程序和服务至关重要。这样，身份验证才能与其他云服务分开运作，使 SSO 成为可能。
打个比方，有一个只允许少数人参加的专属活动。若要指出活动入口处的保安已经检查并批准某位客人，一种方法是在每位客人的手臂上盖章。工作人员可以检查每位客人的印章，以确保他们已被允许到场。但是，不是任何印章都行；工作人员知道入口处的保安所用印章的确切形状和颜色。
就像每个印章必须外观一致，身份验证令牌也有自己的通信标准来确保其正确和合法。主要的身份验证令牌标准称为 SAML（安全断言标记语言）。与用 HTML（超文本标记语言）编写网页的方式类似，身份验证令牌用 SAML 来编写。
SSO 只是管理用户访问的一个方面。它必须与访问控制、权限控制、活动日志以及其他用于跟踪和控制组织内部系统中用户行为的手段相结合。但是，SSO 是访问管理的关键要素。如果系统不知道用户的身份，就无法允许或限制这个用户的操作。
Cloudflare Zero Trust 控制并保护用户对应用程序和网站的访问；它可以充当大多数 VPN 的替代品。Cloudflare 集成了 SSO 提供程序，以识别用户并实施为其分配的访问权限。
SSO 是一个身份验证流程，让用户能够使用一组凭据访问多个应用。这个流程通常涉及身份提供商对用户进行身份验证，以及服务提供商接受身份验证令牌。
采用 SSO，用户无需记住不同应用的多组凭据。与存储多个密码的传统密码管理器不同，SSO 只需记住和保护一组凭据。
联合身份管理系统搭配 SSO 可提供集中的身份验证控制，让企业能够更轻松地在多个应用之间实施一致的安全策略。它还通过限制存储的凭据数量，减少企业的攻击面，因为这些凭据可能会遭到泄露。
SSO 系统可以与 MFA 集成，除了初始登录凭据之外，还要求进行其他验证。这种集成会创建多个安全层，同时依旧保持 SSO 功能的便利性。
Kerberos 是一种身份验证协议，它使用对称密钥加密和可信的第三方授权来验证身份。安全断言标记语言 (SAML) 是一种基于 XML 的开放标准，它可以在身份提供商与服务提供商之间交换身份验证和授权数据。Kerberos 通常用于本地环境，而 SAML 通常用于基于 Web 的 SSO 解决方案。