الحسابات الفردية المرتبطة بمؤسسة هي نقطة بداية مناسبة لبوابات الأعمال، لأنها تسمح بإسناد الأفعال وسحب وصول شخص واحد. أما SSO فيصبح مفيداً عندما تملك المؤسسات العميلة موفر هوية وسياسة تشغيل واضحة. ليس بديلاً عن صلاحيات التطبيق أو عزل بيانات المؤسسات.
ما المشكلة في الحساب المشترك؟
إذا استخدم خمسة موظفين كلمة مرور واحدة، فلن تعرف من نزّل الملف أو غيّر الطلب، ولن تستطيع إخراج موظف غادر دون تغيير وصول الآخرين. كما يصبح التحقق متعدد العوامل واستعادة الحساب أكثر تعقيداً. قد توجد حسابات تقنية مشتركة لغرض محدد، لكنها ليست بديلاً مناسباً لهوية المستخدم البشري.
افصل المؤسسة عن المستخدم وعن العضوية. قد يعمل الشخص مع أكثر من مؤسسة، لكن انتقاله بينها يجب أن يكون مقصوداً وتتحقق منه الصلاحيات في كل طلب. لا تعتمد على معرف المؤسسة القادم من المتصفح دون التحقق من العضوية.
اختر طريقة الدخول بحسب التشغيل
| الخيار | متى يناسب؟ | ما الذي يجب حسمه؟ |
|---|---|---|
| حساب فردي تديره البوابة | عملاء دون موفر هوية موحد | التحقق والاستعادة والمصادقة الإضافية |
| SSO لمؤسسة عميلة | لديها هوية مركزية وفريق يديرها | الربط والأدوار والإلغاء والطوارئ |
| رابط دخول قصير العمر | رحلة محدودة وسياسة مخاطر تسمح | مدة الصلاحية وإعادة الاستخدام والبريد |
لا تجعل البريد من نطاق الشركة وحده دليلاً كافياً على دور إداري. حدّد من يحق له دعوة الأعضاء، ومن يعتمد أول مدير، وكيف تعالج تغير النطاق أو اندماج مؤسستين. وتحقق من هوية موفر SSO ومن الجهة المقصودة بالاستجابة بحسب البروتوكول المستخدم.
صمّم مغادرة الموظف قبل دخوله
اكتب ما يحدث للعضوية والجلسات والدعوات وروابط الملفات عند الإلغاء. في بعض التصاميم، تعطيل المستخدم لدى موفر الهوية لا ينهي فوراً جلسة التطبيق القائمة؛ لذلك يجب تحديد سياسة إعادة التحقق وسحب الجلسات واختبارها. لا تقدّم وعد «إلغاء فوري» دون إثباته عبر المسار كله.
حدد مسؤول استعادة الإدارة إذا فقدت المؤسسة الوصول إلى موفر الهوية. ينبغي ألا يتحول مسار الطوارئ إلى تجاوز دائم للحماية. وثّق إجراءات إثبات الهوية والمراجعة وسجل استخدامها، دون نشر تفاصيل حساسة في صفحة تسويق.
أسئلة قبل إدخال SSO في العرض
ما البروتوكولات التي يدعمها المزود؟ هل توجد رسوم لكل مؤسسة؟ كيف تصل الأدوار وتُحدّث؟ ماذا يحدث عند انقطاع الهوية؟ ومن يجرب التكامل ويعتمد القبول؟ فصل هذه الأسئلة مبكراً يمنع افتراض أن زر «الدخول عبر الشركة» هو كامل العمل.
ابدأ من بوابات العملاء، واربط القرار بخطة تكامل الأنظمة وموجز المشروع. اختر الأقل تعقيداً الذي يحقق السياسة، لا الخيار الأكثر رواجاً.
مصادر ومراجعة
- OpenID Connect Core.
- OWASP: Session Management.
- المساهمة الأصلية: جدول الاختيار وأسئلة إلغاء الوصول.
