Tek oturum açma (SSO): tanım, işleyiş ve kullanım alanları

SSO nedir?

Tek oturum açma (single sign-on, SSO), bir kullanıcının kimliğini yalnızca bir kez doğrulayıp birbirinden bağımsız birçok uygulamaya yeniden parola girmeden erişebilmesini sağlayan kimlik doğrulama yaklaşımıdır. Kullanıcı sabah kurumsal hesabıyla giriş yapar; e-posta, bilet sistemi, muhasebe yazılımı ve bulut konsolu gibi uygulamalar ayrı ayrı parola istemez.

Burada kritik fark şudur: uygulamalar kullanıcının parolasını artık kendileri saklamaz ve kontrol etmez. Doğrulama işi tek bir merkezi kimlik sağlayıcıya devredilir, uygulamalar yalnızca bu sağlayıcının verdiği kanıta güvenir.

SSO nasıl çalışır?

Sistemde üç taraf vardır: kullanıcı, kimlik sağlayıcı (identity provider, IdP) ve hizmet sağlayıcı (service provider, SP; yani erişilmek istenen uygulama). Akış genel olarak şöyle ilerler:

• Kullanıcı uygulamaya girmek ister, uygulama onu kimlik sağlayıcıya yönlendirir.
• Kimlik sağlayıcı kullanıcının zaten açık bir oturumu olup olmadığına bakar. Yoksa parola, ek doğrulama adımı ya da başka bir yöntemle kimliği doğrular.
• Doğrulama başarılıysa kimlik sağlayıcı, kullanıcının kim olduğunu ve gerekirse hangi niteliklere sahip olduğunu belirten imzalı bir belge ya da jeton üretir.
• Uygulama bu belgenin imzasını ve geçerlilik koşullarını denetler, güveniyorsa kullanıcıya oturum açar.

Kullanıcı ikinci bir uygulamaya geçtiğinde kimlik sağlayıcıda açık oturum zaten bulunduğundan parola sorulmaz, yönlendirme arka planda sessizce tamamlanır.

SSO'da kullanılan protokoller: SAML, OpenID Connect ve OAuth

SSO bir ürün değil, bir sonuçtur; farklı protokollerle gerçekleştirilir. Kurumsal dünyada en yaygın olanlar şunlardır:

• SAML: XML tabanlı, olgun bir federasyon standardıdır. Kurumsal web uygulamalarında ve eski yazılımlarda sık görülür; kimlik bilgisi "assertion" adı verilen imzalı bir belgeyle taşınır.
• OpenID Connect (OIDC): OAuth 2.0 üzerine kurulu, JSON tabanlı kimlik katmanıdır. Mobil uygulamalar ve modern web uygulamaları için daha hafif ve uygulaması kolaydır; kimlik bilgisi ID token ile taşınır.
• OAuth 2.0: Kendi başına bir kimlik doğrulama protokolü değil, yetkilendirme çerçevesidir. Bir uygulamanın kullanıcı adına başka bir kaynağa sınırlı erişim almasını sağlar. SSO için üzerine OIDC eklenir.

Hangisinin seçileceğini çoğunlukla uygulamanın desteği belirler. Bir kurum genellikle birden fazla protokolü aynı kimlik sağlayıcı üzerinden yan yana kullanır.

Küçük bir örnek: kurumsal bir iş günü

Örneğin orta ölçekli bir şirketin çalışanı sabah bilgisayarını açıp kurumsal hesabıyla ve ek doğrulama adımıyla giriş yapıyor. Ardından bulut tabanlı ofis uygulamasını, iç wiki'yi ve müşteri ilişkileri yazılımını açıyor. Hiçbirinde yeniden parola yazmıyor.

Ayrılan bir çalışanın hesabı kimlik sağlayıcıdan kapatıldığında ise tüm bu uygulamalara erişim tek hamlede kesilir. SSO'nun BT ekibi açısından asıl değeri de burada ortaya çıkar: erişim verme, değiştirme ve kaldırma işi tek noktadan yönetilir ve uygulama başına ayrı hesap temizliği gerekmez.

SSO ile ilişkili kavramlardan farkı

Kimlik federasyonu: Farklı kurumların ya da alan adlarının birbirinin kimlik doğrulamasına güvenmesidir. SSO bu güvenin kullanıcıya yansıyan sonucudur; federasyon ise arkadaki güven ilişkisi ve teknik sözleşmedir.

Çok faktörlü doğrulama (MFA): Kimliğin birden fazla kanıtla doğrulanmasıdır. SSO'yu ortadan kaldırmaz, tersine onunla birlikte kullanılır. Giriş tek noktada olduğu için MFA'yı da tek noktada zorunlu kılmak mümkün olur.

Parola yöneticisi: Parolaları sizin yerinize hatırlar ve forma yazar; ancak uygulamalar yine ayrı ayrı parola doğrular. SSO'da ise doğrulama gerçekten merkezileşir.

Kimlik ve erişim yönetimi (IAM): Kimlerin hangi kaynaklara hangi yetkiyle erişeceğini yöneten daha geniş disiplindir. SSO bu disiplinin giriş kapısı bileşenlerinden biridir.

Artıları, riskleri ve dikkat edilecek noktalar

Artıları: Parola yorgunluğu azalır, parolasını unutma ve sıfırlama talepleri düşer, erişim denetimi ve denetim kayıtları merkezileşir, ek doğrulama ve koşullu erişim kuralları tek yerde uygulanır.

Riskleri: Kimlik sağlayıcı kritik bir bağımlılık olur. Çalışmazsa tüm uygulamalara girilemez; bu yüzden yüksek erişilebilirlik ve acil durum erişim planı gerekir. Ayrıca ele geçirilen tek bir hesap birçok uygulamanın kapısını açabilir, bu nedenle güçlü doğrulama ve oturum güvenliği vazgeçilmezdir.

Uygulamada sık yapılan hatalar: Jetonun hedef kitle ve geçerlilik süresi denetimini atlamak, çıkış (logout) akışını tasarlamadan yalnızca girişi kurmak, rol ve grup eşlemesini uygulama tarafında elle yapıp zamanla dağıtmak. Yetkilendirme kararlarını da yalnızca kimlik sağlayıcıdaki tek bir niteliğe bağlamak sonradan sorun çıkarır.

Nerede öğrenilir: Mindset programları

Mindset kataloğunda konuyu mimari düzeyde ele alan iki eğitim bulunur. Kimlik Doğrulama Mimarisi: SSO, SAML ve OIDC programı federatif kimlik temellerini, SAML ve OpenID Connect entegrasyonlarını, oturum yönetimi ve çıkışı, koşullu erişim ve güvenlik politikalarını modüller halinde işler. Bulutta Kimlik Federasyonu ve SSO Mimarisi ise SAML federasyonu, OAuth 2.0 ve OpenID Connect, bulut erişimi ve rol eşleme, oturum güvenliği ile otomatik sağlama başlıklarını kapsar.