Single sign-on, wat het is en wanneer je het nodig hebt
Vijf systemen, vijf wachtwoorden, één geeltje op het scherm
Een nieuwe collega begint op maandag. Voor het eind van de dag heeft ze een account voor de mail, de planning, het CRM, de urenregistratie en, als het even kan, het klantportaal. Vijf wachtwoorden, vijf keer een regel over hoofdletters en cijfers, en een geeltje op het scherm waar niemand iets van mag zeggen.
In een klantportaal bouwen en digitaliseren in de zorg kwam dit probleem allebei even langs, met single sign-on als oplossing. Twee keer genoemd en geen van beide keren uitgelegd.
Wat single sign-on is
Denk aan een festival. Bij de ingang laat je één keer je legitimatie zien en krijg je een polsbandje. Daarna loop je van podium naar podium, van de bar naar de foodtrucks, zonder dat iemand nog naar je ID vraagt. De controle bij de ingang is genoeg voor de rest van de dag.
Zo werkt single sign-on met je systemen. Je logt één keer in bij een centrale partij, de identity provider, en die vertelt elk ander systeem wie je bent en wat je mag zien. Jij typt niet bij elk systeem opnieuw een wachtwoord in, en de organisatie houdt niet bij welk wachtwoord waar hoort.
Is single sign-on hetzelfde als een wachtwoordmanager?
Nee. Een wachtwoordmanager onthoudt tientallen verschillende wachtwoorden voor je, maar je logt nog steeds overal apart in. Met single sign-on log je één keer in bij de identity provider en die regelt de toegang tot de rest.
Is overal hetzelfde wachtwoord ook single sign-on?
Nee, dat is het omgekeerde. Lekt dat ene wachtwoord, dan staat meteen elk systeem open. Bij single sign-on bewaren de andere systemen helemaal geen wachtwoord. Ze vertrouwen op die ene centrale plek. Valt die plek weg, dan kun je nergens meer in, maar er lekt ook niets uit een systeem dat je toch al nauwelijks bijhield.
Wanneer je het nodig hebt
Een bedrijf met drie inlogschermen heeft dit nog lang niet altijd nodig. Het wordt de moeite waard bij personeelswisselingen, omdat iemand die vertrekt dan in één keer uit alle systemen gaat en er over twee maanden niet ergens nog een vergeten account openstaat. Het helpt ook als je moet aantonen wie waar bij kan. Bij een audit, een verzekeraar of een grote klant die je doorlicht is “dat regelen we per systeem” geen prettig antwoord.
En het speelt zodra klanten of medewerkers tussen meerdere omgevingen heen en weer moeten, bijvoorbeeld in een klantportaal dat aan je planning en je facturatie hangt. Apart inloggen voelt daar al snel als een gebrek.
Wat telt is het aantal systemen en het aantal mensen dat erin moet. Een webshop met drie medewerkers en één beheerscherm heeft er weinig aan. Een kleine zorginstelling met tien gekoppelde systemen en een wisselend rooster heeft er veel aan, hoe klein de organisatie verder ook is.
De keerzijde weeg je vooraf: valt de identity provider uit, dan kun je tijdelijk nergens in, ook niet in systemen die verder prima draaien. Partijen als Microsoft Entra ID, Google Workspace en Auth0 hebben daar een goede staat van dienst in. Neem het toch mee in de afweging.
De vraag die je aan je leverancier stelt
Eén vraag laat zien waar je staat: kan dit systeem inloggen via de identity provider die wij al gebruiken, of maakt iedereen hier een apart account aan? Heeft je leverancier daar meteen antwoord op, dan heeft hij dit al vaker gedaan. Krijg je een ontwijkend antwoord, dan wordt aansluiten later een apart project.
Voor wie het precies wil weten: single sign-on draait meestal op SAML of OpenID Connect. SAML is ouder en zie je veel bij grote organisaties en de overheid. OpenID Connect, gebouwd op OAuth2, is de gangbare keuze bij cloudapplicaties. Voor jou als opdrachtgever maakt het niet uit welke het wordt, zolang je leverancier en je identity provider, bijvoorbeeld Microsoft Entra ID, Google Workspace of Auth0, dezelfde taal spreken.
Hoe wij dit bij Smit aanpakken
Bij een klantportaal of een koppeling tussen meerdere systemen voeren we dit gesprek aan het begin. Wie moet erbij kunnen, via welke identity provider loopt dat, en wat gebeurt er op de dag dat iemand vertrekt? Aan de voorkant beantwoord je dat in een halfuur. Achteraf kost het een weekend.
Is dit veel werk om in te richten?
Dat hangt af van de systemen. Ondersteunen ze single sign-on al, dan is het meestal een kwestie van instellingen. Ondersteunt een systeem het niet, dan wordt het een apart gesprek, en dat inventariseren we liever vooraf. Voor de centrale inlog koppelen we regelmatig met Auth0.
Stuur ons de lijst met systemen waar je team op inlogt, dan denken we mee.
Richting voor digitale groei
Sterke digitale producten beginnen met heldere keuzes. Lees hoe we denken over positionering, structuur en groei die klopt op de lange termijn.
