单点登录（Single sign-on，SSO）让用户用一次受信任的登录，打开多个应用程序，而不必为每套系统各自记住密码。你先向中央身份服务证明身份，该服务再通知其他应用程序你已被允许进入。对已经同时使用邮件、协作工具、财务软件和定制网页应用的香港团队来说，SSO 可以减少密码疲劳，也更容易掌握谁能接触哪些系统。
SSO 如何运作
大多数商业 SSO 安排涉及两个角色：
- 身份提供方（Identity provider，IdP）：负责检查登录的系统，常见如 Microsoft Entra ID、Google Workspace、Okta 或同类目录。它保存用户账户，并决定登录是否成功。
- 服务提供方（Service provider，SP）或应用程序：邮件套件、CRM、预订后台、云控制台或定制应用，改为信任 IdP，而不再为每人各自存放密码。
典型浏览器流程如下。你打开一个应用程序，应用程序把你转到 IdP。你在该处登录（往往是密码加上多重身份验证）。IdP 返回短暂有效的断言或令牌，说明你是谁，有时也包括所属分组或角色。应用程序信任该消息，便建立会话，不再另要密码。背后常用 SAML 或 OpenID Connect 等公开标准，经普通 API 与浏览器重定向完成。因此 SSO 是一种聚焦身份的系统集成。
对业务系统为什么重要
- 更少密码要记住和重置。同时使用多套工具的员工，若主要应用由同一个企业登录覆盖，较不易重复使用弱密码。
- 入职与离职处理更快。在身份提供方创建或停用账户，已连接的应用便可随之调整访问。
- 访问复核更清晰。IdP 的分组与角色可对应谁可打开财务、人力资源或后台工具。
- 配合以身份为先的安全思路。SSO 可与 MFA 及零信任做法并用：先核实身份，再只开放所需应用。
以下为说明用例子：一家香港贸易公司用 Google Workspace 处理邮件、一套云会计工具，以及内部订单入口。没有 SSO 时，每人要记三组密码。启用 SSO 后，员工经公司 IdP 登录；会计工具和入口接受该登录。有人离职时，IT 停用 IdP 账户，已连接的应用便停止接受该人的新会话，实际效果取决于各应用的配置。
SSO 与 MFA 一起使用更稳妥
单靠 SSO 并不能让弱密码变安全。若 IdP 只检查一组被重复使用的密码，一组被盗凭据便可打开多个应用。在身份提供方启用 MFA，等于让第二层因素保护整组已连接应用。许多机构要求 IdP 登录必须用 MFA，再以 SSO 减少同一设备与会话内重复要求第二层因素；实际行为取决于产品设置与会话有效期。
SSO 做不到的事
- 不能取代各应用内部的权限。SSO 说明你是谁。角色、菜单和数据权限，仍要在应用内或通过 IdP 的分组声明来配置。
- 不能自动覆盖所有旧系统。没有 SAML、OpenID Connect 或兼容连接器的旧软件，可能仍需独立登录。
- 不能省略会话和设备管理。共用且未上锁、仍有有效 SSO 会话的笔记本电脑，在会话结束或撤销前，仍可能暴露已连接应用。
- 不能取代供应商核查。仍需了解身份数据存放何处、令牌何时到期，以及谁可批准新应用接入 IdP。
应向团队或供应商询问什么
- 哪些应用会先加入 SSO，哪些暂时仍用本地密码？
- 我们目前使用哪个身份提供方，各应用是否支持 SAML、OpenID Connect 或供应商连接器？
- IdP 是否要求全体员工使用 MFA，还是只限管理员？
- 分组与角色如何从 IdP 对应到各应用？
- 有人离职时，已连接应用的会话多久会被撤销？
- 谁可以在 IdP 登记新应用，变更如何记录？
当多套工具已成为日常，推行 SSO 往往是收紧业务软件身份管控的一部分。technine.io 如何处理身份相关控制与安全系统连接，可见我们的网络安全与合规工作，以及系统集成与自动化服务。
常见问题
SSO 是否等于密码管理工具？
否。密码管理工具存放多组密码，并填入各个独立登录表单。SSO 则以身份提供方发出的一次登录，取代各应用各自的密码。
公开网站的顾客是否需要 SSO？
一般购物顾客通常不需要。SSO 较适合员工、合作伙伴或 B2B 入口，因为同一批人会用多套工具。面向消费者的网站，在风险较高时，较常采用简单账户加 MFA。
SSO 是否代表永久只用一组密码？
否。仍应按合理周期或事故后更改 IdP 密码，并继续使用 MFA。重点是为多个应用提供一条稳妥的登录路径，而不是永不更换密码。
若其中一个已连接应用被入侵，怎么办？
SSO 共用的是身份，不是每个数据库。仍应隔离该应用的数据，并撤销其信任或会话。复核 IdP 日志并停用有风险的连接；具体事故步骤请向安全顾问询问，以适合你的环境。