Każdy pracownik 30-osobowej firmy ma dziś średnio kilkanaście loginów do różnych systemów. Pół biura zapisuje hasła w pliku „passwords.xlsx" na pulpicie, druga połowa wpisuje to samo „Firma2024!" wszędzie. SSO nie jest lekarstwem na wszystko, ale dla większości MŚP w tej wielkości to jeden z trzech najlepszych zwrotów z inwestycji w IT.
Co znaczy SSO w praktyce? Skrót oznacza Single Sign-On — pracownik loguje się raz do jednego systemu (typowo Microsoft Entra ID, czyli dawne Azure AD, albo Google Workspace), a stamtąd „przeskakuje" do wszystkich pozostałych aplikacji bez wpisywania osobnych haseł. Działa to przez standardowe protokoły: SAML 2.0 albo OpenID Connect (OIDC). Z punktu widzenia użytkownika znika 90% momentów „a jakie tu było hasło".
To nie to samo, co menedżer haseł. Menedżer haseł trzyma 15 osobnych haseł i podsuwa je w odpowiednim momencie. SSO sprawia, że tych 15 osobnych haseł w ogóle nie istnieje — jest jedno firmowe logowanie i tyle. Te dwie rzeczy mogą i powinny współistnieć, ale to nie zamienniki.
Kiedy MŚP realnie potrzebuje SSO
Nie zawsze warto. 5-osobowa firma z trzema SaaS-ami żyje spokojnie na menedżerze haseł. Ale jeśli widzisz u siebie którąkolwiek z poniższych sytuacji, SSO zaczyna się spinać finansowo:
- Pracujesz w 20+ osób i każdy nowy człowiek ma 10+ aplikacji do założenia w pierwszym tygodniu.
- Offboarding pracownika zajmuje godziny, bo „nie wiem, gdzie on jeszcze miał konto".
- Twój helpdesk (wewnętrzny albo zewnętrzny) traci dużo czasu na resety haseł.
- Chcesz wymusić MFA w całej firmie, ale „nie da się" — bo MFA trzeba osobno konfigurować w każdej aplikacji.
- Masz przeczucie, że gdzieś w firmie krążą aktywne konta byłych pracowników. Najczęściej masz rację.
Jak to działa w praktyce
Dla typowej 30-osobowej firmy, która siedzi na Microsoft 365, naturalnym wyborem jest Entra ID — i co ważne, pakiet Microsoft 365 Business Premium ma już w cenie wszystko, co potrzebne do podpięcia aplikacji przez SAML. Dla firmy na Google Workspace równorzędną funkcję pełni odpowiednia subskrypcja Workspace. To jest tak zwany IdP (Identity Provider) — jeden punkt prawdy o tym, kto u Ciebie pracuje.
Każda aplikacja, którą podpinasz do SSO, musi wspierać SAML 2.0 albo OIDC. Większość biznesowych SaaS-ów wspiera — czasem dopiero od planu Business+ wzwyż (Slack, Notion, Asana, Jira, HubSpot, Pipedrive, Comarch IBARD, popularne ERP-y z chmurową konsolą). Aplikacje on-premise często dają się dogadać przez tak zwane Application Proxy. Część legacy nie umie nic poza własnym loginem i hasłem — takich nie podepniesz, ale można je trzymać przynajmniej w menedżerze haseł i ograniczyć do nich dostęp.
Druga rzecz, którą warto przy okazji wdrożyć, to SCIM. To protokół, dzięki któremu utworzenie konta w Entra ID automatycznie tworzy konto we wszystkich podpiętych aplikacjach, a wyłączenie — je kasuje. Bez SCIM dalej musisz pamiętać o klikaniu w 12 panelach administracyjnych przy każdym nowym pracowniku.
Konkretny przykład
U jednego z naszych klientów — 35-osobowy producent okuć budowlanych z Wielkopolski, używają Comarch Optima w chmurze, Microsoft 365 Business Premium, Subiekt do magazynu oraz 11 aplikacji SaaS (Slack, ClickUp, Mailchimp, HubSpot, Toggl, Adobe Creative Cloud i kilka mniejszych) — sytuacja wyjściowa wyglądała tak:
- Każdy pracownik miał średnio 13 osobnych loginów.
- Plik „hasla-firmowe.xlsx" leżał w 8 kopiach na różnych dyskach OneDrive.
- Helpdesk obsługiwał około 30–35 zgłoszeń resetu hasła miesięcznie.
- Offboarding jednej z księgowych zajął tydzień — i tak dwa tygodnie później okazało się, że dalej miała aktywne konto w Mailchimp.
- MFA było włączone tylko w Microsoft 365, a w pozostałych aplikacjach „później to zrobimy".
Po wdrożeniu Entra ID jako IdP, podpięciu 9 z 11 aplikacji przez SAML i SCIM oraz wymuszeniu MFA na poziomie IdP (Conditional Access):
- Liczba aktywnych loginów na pracownika spadła z 13 do 4 (3 systemy legacy nie wspierały SSO).
- Resety haseł w helpdesku: 4–6 zgłoszeń miesięcznie zamiast 30+.
- Offboarding pracownika: 20 minut, jeden klik „disable user" w Entra ID odcina dostęp wszędzie.
- MFA wymuszone na 9 podpiętych aplikacjach automatycznie, jednym kliknięciem polityki.
- Audyt wykrył 3 aktywne konta byłych pracowników w SaaS-ach, o których wcześniej nikt nie pamiętał. Zamknięte.
Cały projekt zajął 6 tygodni przy około 4 godzinach pracy konsultanta tygodniowo plus 2 godziny tygodniowo po stronie klienta. Koszt licencji nie wzrósł — firma już miała Business Premium, tylko nie wykorzystywała Entra ID poza logowaniem do Outlooka.
Gdzie najczęściej się sypie
Technicznie wdrożenie SSO nie jest skomplikowane, ale potrafi się posypać organizacyjnie:
- Brak listy aplikacji. Zanim cokolwiek podepniesz, zrób spis. W typowej 30-osobowej firmie znajdziesz 5–10 aplikacji, o których IT „nie wiedziało".
- Konta osobiste zamiast firmowych. Często ktoś zarejestrował SaaS na adres @gmail.com „bo szybciej". Te konta trzeba przemigrować, zanim je podepniesz.
- Wspólne loginy. Konta typu „marketing@firma.pl", pod którymi loguje się trzy osoby — SSO źle to obsługuje. Trzeba zmigrować do imiennych kont z odpowiednimi uprawnieniami.
- Aplikacje, które „prawie" wspierają SAML. Część dostawców pakuje SSO dopiero w wyższy plan. To są typowo +5–15 EUR za użytkownika miesięcznie ekstra. Sprawdź to przed startem, żeby budżet nie urósł w trakcie.
- Awaria IdP = awaria wszystkiego. Jeśli Entra ID nie działa, nie zalogujesz się nigdzie. Dlatego warto mieć tak zwane konto break-glass — konto awaryjne z długim hasłem zapisanym w sejfie, używane tylko w sytuacji, gdy IdP padnie.
Co dalej
SSO nie zastąpi menedżera haseł, MFA, MDM ani polityki backupów — działa razem z nimi. Ale to fundament, na który wszystko inne się ładnie zapina. Bez SSO każde wdrożenie polityki bezpieczeństwa polega na łataniu dziur osobno w każdym z 15 systemów. Z SSO — masz jedno miejsce, w którym te zasady się definiuje raz.
Jeśli widzisz u siebie symptomy z początku artykułu — pliki haseł na pulpitach, długi offboarding, dziesiątki resetów haseł w miesiącu — to dobry moment, żeby usiąść na pół godziny i policzyć, ile to wszystko realnie kosztuje firmę w godzinach pracy. Zwykle wychodzi więcej, niż się spodziewasz.
SSO nie jest gadżetem dla korporacji. To prosty sposób, żeby 15 loginów na pracownika zamienić w jeden — i przy okazji wreszcie zamknąć tylne drzwi po byłych pracownikach.