SSO nedir? Kurumsal oturum açmanın faydaları ve kurulumu

Tek oturum açma (SSO), çalışanın tek bir kurumsal kimlikle birden fazla uygulamaya girebilmesidir. Kullanıcı için bir kolaylık gibi görünür; asıl faydası güvenlik ve yönetim tarafındadır.

Nasıl çalışır?

Üç taraf vardır:

• Kullanıcı: giriş yapmak isteyen çalışan
• Kimlik sağlayıcı (IdP): kurumun kimlik sistemi — Entra ID, Google Workspace, Okta
• Hizmet sağlayıcı (SP): girilmek istenen uygulama

Akış şöyledir: kullanıcı uygulamaya gider, uygulama onu kimlik sağlayıcıya yönlendirir, kullanıcı orada kimliğini doğrular, kimlik sağlayıcı imzalı bir doğrulama üretir, uygulama bu doğrulamayı kontrol edip kullanıcıyı içeri alır.

Kritik nokta şudur: parola uygulamaya hiç ulaşmaz. Uygulama yalnızca "bu kişi doğrulandı" bilgisini alır.

SAML ve OIDC

İki yaygın protokol vardır.

SAML 2.0 kurumsal dünyada uzun süredir standarttır, XML tabanlıdır ve özellikle büyük kurumlarda yaygındır.

OpenID Connect (OIDC) daha yenidir, OAuth 2.0 üzerine kuruludur, JSON kullanır ve mobil uygulamalarda daha rahat çalışır.

Pratikte hangisinin kullanılacağını genellikle kurumun kimlik sağlayıcısı belirler. İkisi de güvenlidir; seçim bir uyum meselesidir.

Somut faydalar

Parola yükü kalkar. Çalışan tek parola hatırlar. Bu, yapışkan notlara yazılan ve tekrar kullanılan parolaları azaltır.

Çıkışta tek düğme. Ayrılan çalışanın merkezî hesabı kapatıldığında, bağlı bütün uygulamalara erişimi aynı anda kesilir. Bu, işten ayrılma sürecinin en sık atlanan adımını yapısal olarak çözer.

Çok faktörlü doğrulama merkezîleşir. MFA kimlik sağlayıcıda bir kez kurulur, bütün uygulamalara uygulanır.

Denetim kolaylaşır. Kim ne zaman nereye girdi bilgisi tek yerde toplanır.

Destek yükü azalır. Parola sıfırlama talepleri, BT destek biletlerinin en büyük kalemlerinden biridir ve SSO ile belirgin biçimde azalır.

Kurulum öncesi hazırlık

Dizin temizliği. SSO'yu kurmadan önce kimlik dizininin doğru olması gerekir: ayrılanlar silinmiş, tekrarlanan hesaplar birleştirilmiş, gruplar güncel. Kirli bir dizin üzerine kurulan SSO, kirliliği bütün uygulamalara yayar.

Eşleme kararı. Kullanıcılar hangi alanla eşleşecek? E-posta adresi yaygın tercihtir ama e-posta değişebilir; değişmeyen bir kimlik alanı daha güvenlidir.

Rol eşleme. Dizindeki gruplar uygulamadaki rollere nasıl karşılık gelecek? Bu eşleme baştan tanımlanmazsa herkes aynı yetkiyle girer.

Acil durum erişimi. Kimlik sağlayıcı erişilemez hâle gelirse ne olacak? En az bir yerel yönetici hesabının SSO dışında tutulması, kilitlenmeyi önler. Bu hesabın parolası güçlü olmalı ve kullanımı denetlenmelidir.

Otomatik kullanıcı sağlama

SSO, kimin girebileceğini belirler; kullanıcı sağlama (provisioning) ise hesabın otomatik oluşturulmasını sağlar. İkisi farklı şeylerdir ve genellikle karıştırılır.

Tam otomasyon için ikisi birlikte kurulur: yeni çalışan dizine eklendiğinde uygulamada hesabı otomatik açılır, ayrıldığında otomatik kapanır. Bu, İK sisteminden başlayan bir zincirin son halkasıdır.

Dizin entegrasyonunun ayrıntılarını kimlik ve dizin entegrasyonu yazısında ele aldık.

Saha çalışanları için özel durum

SSO çoğunlukla masa başı çalışanlar düşünülerek kurulur. Kurumsal hesabı olmayan saha çalışanları bu akışın dışında kalır.

Bu grup için alternatif giriş yöntemleri gerekir: telefon numarasıyla tek seferlik kod, yönetici tarafından oluşturulan hesap ya da kurumsal cihaz üzerinden paylaşımlı erişim. Bu senaryonun baştan planlanmaması, sahada kullanımı sıfıra yakın bırakır.

Test etmeden yayına almayın

SSO entegrasyonları, gerçek bir kimlik sağlayıcı olmadan uçtan uca test edilemez. Test ortamında çalışan bir yapılandırma, üretimde farklı davranabilir — özellikle sertifika süreleri, kullanıcı alanı eşlemeleri ve grup filtrelerinde.

Kademeli açılış en güvenli yoldur: önce BT ekibi, sonra bir pilot departman, sonra şirket geneli. Her adımda geri dönüş yolu açık kalmalıdır.

Çok faktörlü doğrulama

SSO tek başına güvenliği artırmaz; tek bir kimliğe bağımlılık da yaratır. O kimlik ele geçirilirse, bağlı bütün uygulamalara erişim açılır.

Bu yüzden SSO ile çok faktörlü doğrulama birlikte düşünülmelidir. MFA, kimlik sağlayıcı seviyesinde bir kez kurulduğunda bütün uygulamaları korur ve kullanıcı deneyimi tek noktada yaşanır.

Yöntem seçimi de önemlidir. SMS ile gelen kod, SIM değiştirme saldırılarına açıktır; uygulama tabanlı kodlar ve donanım anahtarları daha güvenlidir. Kritik yetkilere sahip hesaplarda güçlü yöntem zorunlu tutulmalıdır.

Oturum süresi ve yeniden doğrulama

SSO kurulduktan sonra sık sorulan bir soru, oturumun ne kadar açık kalacağıdır. Çok kısa süre kullanıcıyı yorar, çok uzun süre risk üretir.

Yaygın ve dengeli yaklaşım, normal işlemler için uzun oturum, hassas işlemler için yeniden doğrulama istemektir: yetki değişikliği, veri dışa aktarma ve yönetici işlemleri gibi.

Paylaşımlı cihazlarda (mağaza terminali, üretim panosu) oturumun kısa olması ve otomatik kapanması gerekir; aksi hâlde bir kullanıcının oturumu diğerine geçer.

Kademeli geçişte iletişim

SSO geçişi, kullanıcı için görünür bir değişikliktir: giriş ekranı değişir, alışılmış parola artık kullanılmaz. Önceden bilgilendirilmemiş bir kadro, geçiş günü destek hattını kilitler.

Bir hafta önceden gönderilen kısa bir duyuru — ne değişiyor, ilk girişte ne göreceksiniz, sorun olursa kime yazacaksınız — çağrı sayısını belirgin biçimde azaltır.

Ekran görüntülü kısa bir kılavuzun kalıcı bir yerde durması da faydalıdır: geçişten sonra işe başlayanlar da aynı soruları soracaktır.