Признаки, что пора
- Новому сотруднику заводят учётные записи в 5–10 сервисах по очереди.
- После увольнения кто-то «забыл отключить» доступ к почте или CRM.
- Пароли записаны в общем чате или таблице.
- Двухфакторная аутентификация есть только в почте.
Если узнали хотя бы два пункта, единый вход окупится в первые месяцы.
Как это работает
Сервер единого входа (мы используем Authentik, реже Keycloak) становится единственным местом, где живут учётные записи. Все сервисы доверяют ему по протоколам OIDC или SAML. Сотрудник входит один раз, подтверждает вход вторым фактором и получает доступ ко всему, что положено его группе.
План внедрения
- Инвентаризация. Список сервисов, кто и к чему имеет доступ.
- Сервер SSO. Развёртывание, резервное копирование, домен и сертификат. Один день.
- Подключение сервисов. По одному, начиная с некритичных. Большинство современных систем подключаются за час.
- Группы и MFA. Политики доступа по отделам, обязательный второй фактор.
- Старые сервисы. Те, что не умеют OIDC, закрываем прокси с принудительной аутентификацией.
Типовой срок для 10–15 сервисов — 2–3 недели. Подробнее о решении: единый вход и управление доступом.