單一登入（Single sign-on，SSO）讓使用者以一次受信任的登入，開啟多個應用程式，而不必為每套系統各自記住密碼。你先向中央身份服務證明身份，該服務再告知其他應用程式你已獲准進入。對已同時使用電郵、協作工具、財務軟件和自訂網頁應用的香港團隊而言，SSO 可減少密碼疲勞，也較易掌握誰能接觸哪些系統。
SSO 如何運作
大多數商業 SSO 安排牽涉兩個角色：
- 身份提供者（Identity provider，IdP）：負責檢查登入的系統，常見如 Microsoft Entra ID、Google Workspace、Okta 或同類目錄。它保存用戶帳戶，並決定登入是否成功。
- 服務提供者（Service provider，SP）或應用程式：電郵套件、CRM、預訂後台、雲端控制台或自訂 App，改為信任 IdP，而不再為每人各自存放密碼。
典型瀏覽器流程如下。你開啟一個應用程式，應用程式把你轉到 IdP。你在該處登入（往往是密碼加上多重身份驗證）。IdP 回傳短暫有效的陳述或權杖，說明你是誰，有時也包括所屬群組或角色。應用程式信任該訊息，便建立工作階段，不再另要密碼。背後常用 SAML 或 OpenID Connect 等公開標準，經一般 API 與瀏覽器重新導向完成。因此 SSO 是一種聚焦身份的系統整合。
對商業系統為甚麼重要
- 較少密碼要記住和重設。同時使用多套工具的員工，若主要應用由同一個企業登入覆蓋，較不易重用弱密碼。
- 入職與離職較快處理。在身份提供者建立或停用帳戶，已連接的應用便可隨之調整存取。
- 存取覆核較清晰。IdP 的群組與角色可對應誰可開啟財務、人力資源或後台工具。
- 配合以身份為先的保安思路。SSO 可與 MFA 及零信任做法並用：先核實身份，再只開放所需應用。
以下為說明用例子：一間香港貿易公司用 Google Workspace 處理電郵、一套雲端會計工具，以及內部訂單入口。沒有 SSO 時，每人要記三組密碼。啟用 SSO 後，員工經公司 IdP 登入；會計工具和入口接受該登入。有人離職時，IT 停用 IdP 帳戶，已連接的應用便停止接受該人的新工作階段，實際效果視乎各應用的設定。
SSO 與 MFA 一併使用較穩妥
單靠 SSO 並不能令弱密碼變安全。若 IdP 只檢查一組被重用的密碼，一組被盜憑證便可打開多個應用。在身份提供者啟用 MFA，等於讓第二重因素保護整組已連接應用。許多機構要求 IdP 登入必須用 MFA，再以 SSO 減少同一裝置與工作階段內重複要求第二重因素；實際行為視乎產品設定與工作階段有效期。
SSO 做不到的事
- 不能取代各應用內部的權限。SSO 說明你是誰。角色、選單和資料權限，仍要在應用內或透過 IdP 的群組宣告設定。
- 不能自動覆蓋所有舊系統。沒有 SAML、OpenID Connect 或相容連接器的舊軟件，可能仍需獨立登入。
- 不能省略工作階段和裝置管理。共用而沒有上鎖、仍有有效 SSO 工作階段的筆記型電腦，在工作階段結束或撤銷前，仍可能暴露已連接應用。
- 不能取代供應商查核。仍需了解身份資料存放何處、權杖何時到期，以及誰可批准新應用接上 IdP。
應向團隊或供應商查詢甚麼
- 哪些應用會先加入 SSO，哪些暫時仍用本機密碼？
- 我們現時使用哪個身份提供者，各應用是否支援 SAML、OpenID Connect 或供應商連接器？
- IdP 是否要求全體員工使用 MFA，還是只限管理員？
- 群組與角色如何從 IdP 對應到各應用？
- 有人離職時，已連接應用的工作階段多久會被撤銷？
- 誰可以在 IdP 登記新應用，變更如何記錄？
當多套工具已成日常，推行 SSO 往往是收緊商業軟件身份管控的一部分。technine.io 如何處理身份相關控制與安全系統連接，可見我們的網絡安全與合規工作，以及系統整合與自動化服務。
常見問題
SSO 是否等於密碼管理工具？
否。密碼管理工具存放多組密碼，並填入各個獨立登入表格。SSO 則以身份提供者發出的一次登入，取代各應用各自的密碼。
公開網站的顧客是否需要 SSO？
一般購物顧客通常不需要。SSO 較適合員工、合作夥伴或 B2B 入口，因為同一批人會用多套工具。面向消費者的網站，在風險較高時，較常採用簡單帳戶加 MFA。
SSO 是否代表永久只用一組密碼？
否。仍應按合理周期或事故後更改 IdP 密碼，並繼續使用 MFA。重點是為多個應用提供一條穩妥的登入路徑，而不是永不更換密碼。
若其中一個已連接應用被入侵，怎麼辦？
SSO 共用的是身份，不是每個資料庫。仍應隔離該應用的資料，並撤銷其信任或工作階段。覆核 IdP 日誌並停用有風險的連接；具體事故步驟請向保安顧問查詢，以切合你的環境。