Sådan vælger du mellem SSO, MFA og adgang uden adgangskode

SSO, MFA og adgang uden adgangskode er ikke tre konkurrenter

SSO, MFA og adgang uden adgangskode dækker hvert sit lag i et login. SSO handler om, hvem brugeren er, og lader ét login åbne flere systemer. MFA handler om, hvor sikkert login er. Adgang uden adgangskode handler om, hvad brugeren beviser sin identitet med.

De løser forskellige problemer, så et valg mellem dem giver sjældent mening. De fleste ender med en kombination.

Rækkefølgen betyder noget. MFA uden SSO fungerer, men skal håndhæves system for system. Adgang uden adgangskode kræver et sted at udrulle og administrere metoden. I de fleste virksomheder findes den centrale identitetsadministration allerede: klassisk Active Directory, i stigende grad Microsoft Entra ID (Password Depot).

SSO, MFA og adgang uden adgangskode – hvad de gør og hvorfor de passer sammen

SSO: ét login, der åbner mange systemer

Med SSO logger medarbejderen ind én gang og får derefter adgang til alle tilsluttede systemer uden at taste nye adgangskoder (A-OS). Ét login om morgenen åbner mail, Teams, økonomisystem, CRM og resten af værktøjskassen (MI Support IT).

Teknisk er der to roller: identitetsudbyderen, der kender medarbejderen, og tjenesten, der skal give adgang. Tjenesten sender brugeren videre til identitetsudbyderen, som bekræfter identiteten og returnerer et signeret bevis. Derefter opretter tjenesten adgangen uden at se en adgangskode (A-OS).

App og identitetsudbyder taler sammen via åbne standarder: SAML, udbredt i ældre og enterprise-systemer, og OpenID Connect/OIDC, standarden i moderne cloud-apps. I de fleste danske virksomheder er identitetsudbyderen Microsoft Entra ID (MI Support IT).

SSO bygger på kataloget. Brugere og sikkerhedsgrupper importeres fra Active Directory eller Entra ID og holdes aktuelle via synkronisering.

Dermed bliver afdelinger, teams og projektgrupper grundlag for rettighedstildelingen i stedet for manuel oprettelse pr. person. Rettigheder gives til grupper og roller; nye medarbejdere får de rigtige adgange via deres gruppetilknytning, og deaktiveres kontoen i kataloget, mister personen adgangen til password manageren med næste synkronisering (Password Depot).

Medarbejderne slipper for tyve forskellige kodeord. Færre adgangskoder betyder færre svage og genbrugte kodeord, færre "glemt adgangskode"-sager i helpdesk og en markant mindre angrebsflade. Stopper en medarbejder, lukkes al adgang ét sted i stedet for i tyve systemer (MI Support IT).

SSO er det rigtige første skridt, når antallet af systemer overstiger, hvad et menneske kan holde styr på. Typiske udløsere: Medarbejderne har logins til ti forskellige fagsystemer og genbruger derfor koderne.

Der er udskiftning i medarbejderstaben, og I kan ikke dokumentere, hvad en stoppet kollega stadig kan. En kunde eller revisor beder om at se jeres adgangsstyring; eller I bruger allerede Microsoft 365 og betaler dermed for identitetsdelen i forvejen (A-OS).

Ifølge MI Support IT har Entra ID et galleri med tusindvis af færdigintegrerede apps, herunder Salesforce, Zoom, Adobe, Slack og de fleste danske HR- og økonomisystemer i cloududgave. Apps uden for galleriet kan typisk kobles på via SAML eller OIDC, og ældre interne webapps kan ofte komme med via application proxy. Nogle SaaS-leverandører kræver en højere licensplan for SSO – det bør indgå, når I vælger nye systemer (samme kilde).

Hvorfor SSO og MFA er vigtige for danske virksomheder

MFA: sikkerheden der skal ligge ovenpå login

MFA er den ekstra beskyttelse, der træder til, hvis adgangsoplysninger bliver kompromitteret (Password Depot). Fordelen ved at have samlet login er netop, at man kan gøre dét ene login meget stærkt.

MFA med number matching eller passkeys og Conditional Access-regler om enhed og lokation kan håndhæves på det ene login uden at genere brugerne tyve gange om dagen (MI Support IT). Fordi al login går gennem ét sted, kan kravene også stilles samme sted.

MFA, kendte enheder og betingelser for, hvornår der skal spørges ekstra, kommer til at gælde alle tilsluttede systemer på én gang (A-OS). Det er samtidig den praktiske vej ind i en Zero Trust-arkitektur (MI Support IT).

MFA dækker over flere faktortyper – noget brugeren ved, noget brugeren har, eller noget brugeren er. Valget af metode afgør, hvor meget friktion den enkelte medarbejder oplever dagligt, og hvor ofte supporten skal hjælpe med et mistet loginmiddel.

Adgang uden adgangskode: når passkeys erstatter kodeordet

Adgang uden adgangskode er ikke et alternativ til SSO og MFA, men en videreudvikling af selve loginmetoden: Målet er at fjerne adgangskoden som det, brugeren skal huske og taste. Passkeys nævnes side om side med number matching som en måde at gøre det ene login stærkt på (MI Support IT).

Teknisk er en passkey et nøglepar, hvor den private del bliver på brugerens enhed eller i brugerens platform-nøglebundt, mens tjenesten kun kender den offentlige del. Der findes derfor ikke et fælles kodeord, som brugeren kan genbruge på tværs af tjenester.

Fordi metoden er knyttet til en enhed eller et nøglebundt, skal den administreres sammen med identitetsudbyderen: Hvilke enheder må bruges, hvordan registrerer en ny medarbejder sin passkey, og hvordan kommer en medarbejder ind, hvis enheden er væk. Det er de samme spørgsmål, som nødadgang rejser i en SSO-opsætning, og de bør besvares, før kodeordet fjernes helt.

Den stærkeste opsætning kombinerer alle tre

Den stærkeste opsætning lægger de tre lag oven på hinanden i samme kontrolpunkt: Al adgang går gennem identitetsudbyderen, hvor politikken håndhæves (A-OS, MI Support IT). Er identiteten først samlet, er den også fundamentet for Zero Trust (A-OS).

Arbejdsdelingen er enkel: SSO reducerer antallet af kodeord og samler adgangsstyringen, MFA beskytter det ene login, der nu giver adgang til alt, og adgang uden adgangskode fjerner kodeordet som faktor. Kataloget leverer brugerne og grupperne, som rettighederne styres efter, og deaktivering af en konto lukker adgangen til password manageren centralt (Password Depot).

Vælg efter din situation – ikke efter teknologiens popularitet

Få systemer: Har I under en håndfuld systemer, kan en password manager være et hurtigere første skridt end at bygge SSO op (A-OS). Den samler adgangskoderne og giver brugerne én indgang, men hvert fagsystem har fortsat sin egen konto, som skal lukkes, når en medarbejder stopper.

Mange systemer: Har I mange fagsystemer, og bruger I allerede Microsoft 365, er SSO næste skridt – identitetsdelen er delvist betalt i forvejen, og medarbejderne genbruger i forvejen koderne på tværs af systemer (A-OS). Tjek samtidig, om nogen af jeres SaaS-leverandører kræver en højere licensplan for SSO (MI Support IT).

Følsomme data eller dokumentationskrav: Beder kunde eller revisor om at se jeres adgangsstyring, eller er der compliance-krav til kontrollerede adgange, bør MFA komme med fra start (A-OS, Password Depot). Rollerne skal være logførte, så onboarding, offboarding og audits kan spores (Password Depot).

Vil I af med kodeordet, er passkeys en mulighed for at gøre login stærkt (MI Support IT).

Faldgruber: Det, der ofte bliver glemt

SSO uden MFA. Når én kode åbner alt, er konsekvensen af et læk tilsvarende større, og SSO uden et ekstra trin flytter risikoen i stedet for at fjerne den (A-OS).

Glemte lokale konti. Mange fagsystemer beholder deres egen login-side, også efter SSO er slået til. Er de gamle konti ikke lukket, findes bagdøren stadig (A-OS). Hvert ekstra system med egen brugeradministration skaber desuden dobbelt vedligeholdelse, forældede konti og uklare ansvarsforhold (Password Depot).

Ingen nødadgang. Der skal findes mindst én særskilt nødkonto med en lang, opbevaret kode. Ellers står I uden adgang til jeres egen administration den dag, noget går galt centralt (A-OS).

Antagelsen om, at alt kan tilsluttes. Nogle leverandører tager særskilt betaling for SSO eller understøtter det slet ikke, og det bør tjekkes, før I planlægger ud fra det (A-OS, MI Support IT). Certifikater spiller en rolle i SAML-opsætninger og skal fornys i tide – det hænger sammen med PKI-management og er et driftsforhold, ikke et engangsprojekt (MI Support IT).

Vigtige trin før udrulning af SSO og MFA

Sådan ruller du det ud i praksis

Start med identiteten. Saml brugere og grupper i kataloget – Active Directory eller Entra ID – så de findes præcis ét sted og holdes aktuelle via synkronisering (Password Depot). Knyt derefter rettigheder til grupper og roller i stedet for til enkeltpersoner, så en ny medarbejder automatisk får de adgange, der hører til vedkommendes team.

Indfør SSO app for app. Brug identitetsudbyderens app-galleri, hvor det er muligt, SAML eller OIDC for apps uden for galleriet og application proxy for ældre interne webapps (MI Support IT). Håndhæv samtidig MFA på det ene login og brug Conditional Access-regler om enhed og lokation (MI Support IT, A-OS).

Ryd op bagefter tilslutningen. Luk lokale konti i de systemer, der nu kører via SSO, så der ikke står en bagdør tilbage (A-OS). Etabler mindst én nødkonto med en lang, opbevaret kode (samme kilde), og hold styr på SAML-certifikater, så de bliver fornyet i tide (MI Support IT).

Overvej først derefter adgang uden adgangskode. Passkeys udrulles som en ekstra loginmetode i det eksisterende login og skal have svar på, hvilke enheder der må bruges, hvordan nye medarbejdere registrerer sig, og hvordan nødadgang fungerer, hvis en enhed mistes.

Det giver central onboarding og offboarding via kataloget samt rettigheder, der styres efter grupper. Klare roller med logførte adgange gør onboarding, offboarding og audits sporbare (Password Depot).

Sådan ruller du SSO, MFA og adgang uden adgangskode ud i praksis