logowanie e-mail SSO

Logowanie e-mail SSO to dostęp do skrzynki przez pojedyncze uwierzytelnienie wspólne dla wielu usług organizacji.

Na czym polega logowanie e-mail SSO

Logowanie e-mail SSO, czyli Single Sign-On, oznacza dostęp do skrzynki pocztowej po uwierzytelnieniu wykonanym przez wspólny system tożsamości. Użytkownik nie musi tworzyć osobnego procesu logowania dla każdej usługi powiązanej z organizacją. Po potwierdzeniu tożsamości w dostawcy tożsamości, określanym jako IdP (Identity Provider), można uzyskać dostęp do poczty elektronicznej oraz innych aplikacji, które ufają temu samemu systemowi. Skrzynka e-mail jest wtedy usługą korzystającą z centralnego mechanizmu logowania, a niekoniecznie miejscem, w którym przechowywane jest główne hasło użytkownika.

W praktyce proces może wyglądać następująco: aplikacja pocztowa albo strona internetowa poczty przekierowuje użytkownika do dostawcy tożsamości, system wyświetla formularz logowania, a po poprawnym uwierzytelnieniu przekazuje usłudze informację potwierdzającą tożsamość. Taka informacja może mieć postać asercji SAML albo tokenu związanego z OpenID Connect. SSO jest więc sposobem organizacji procesu uwierzytelniania, natomiast SAML i OpenID Connect są konkretnymi mechanizmami wymiany informacji między usługą a systemem tożsamości.

Rola dostawcy tożsamości i usługi pocztowej

W architekturze SSO występują co najmniej dwa logiczne elementy: dostawca tożsamości oraz usługa korzystająca z uwierzytelnienia. Dostawca tożsamości sprawdza dane logowania, może wymagać dodatkowego składnika, na przykład kodu jednorazowego lub zatwierdzenia w aplikacji, a następnie wystawia potwierdzenie dla usługi pocztowej. Usługa pocztowa musi rozpoznawać tego dostawcę jako zaufanego i mieć prawidłowo skonfigurowane parametry, takie jak identyfikator klienta, adres przekierowania, identyfikator odbiorcy lub certyfikat używany do weryfikacji podpisu.

W przypadku OpenID Connect usługa korzysta z warstwy tożsamości zbudowanej nad OAuth 2.0. OpenID Connect przekazuje między innymi informację o uwierzytelnionym użytkowniku w tokenie ID, natomiast OAuth 2.0 służy przede wszystkim do delegowania uprawnień do zasobów. Nie należy utożsamiać samego OAuth 2.0 z pełnym logowaniem użytkownika. W starszych lub rozbudowanych środowiskach do SSO może być używany SAML, w którym dostawca tożsamości przekazuje podpisaną asercję XML do usługi. W obu przypadkach poprawność konfiguracji zależy od zgodności adresów, identyfikatorów, czasu systemowego oraz kluczy lub certyfikatów.

Sesja, tokeny i typowe problemy z dostępem

Po pomyślnym logowaniu użytkownik otrzymuje sesję w przeglądarce albo dane uwierzytelniające wykorzystywane przez aplikację pocztową. Sesja ma określony czas ważności i może zostać unieważniona po wylogowaniu, zmianie hasła, odebraniu uprawnień lub zakończeniu sesji przez administratora systemu tożsamości. Tokeny również mają okres ważności. Jeżeli urządzenie zachowuje stary token, aplikacja może żądać ponownego logowania, wyświetlać komunikat o wygaśnięciu sesji albo wielokrotnie wracać do strony logowania.

Problemy z logowaniem e-mail SSO często wynikają z rozbieżności między konfiguracją usługi a konfiguracją dostawcy tożsamości. Przykładem jest niezgodny adres przekierowania, błędny identyfikator klienta, nieaktualny certyfikat podpisujący, nieprawidłowy zakres żądanych uprawnień albo brak przypisania użytkownika do aplikacji pocztowej. Znaczenie może mieć także różnica czasu między komputerem a serwerem, ponieważ tokeny i asercje zawierają znaczniki czasu. Przy diagnozie warto rozdzielić etap uwierzytelnienia od etapu autoryzacji: poprawne hasło nie oznacza jeszcze, że konto ma prawo korzystać z danej skrzynki.

Sprawdzenie konfiguracji na laptopie lub komputerze PC

Na komputerze użytkownika należy najpierw ustalić, czy problem dotyczy poczty w przeglądarce, czy konkretnego programu pocztowego. Jeżeli strona internetowa działa, a aplikacja nie, przyczyną może być nieaktualna wersja programu, zapisane nieprawidłowe dane sesji, uszkodzony profil konta albo brak obsługi wymaganego sposobu logowania interaktywnego. Jeżeli nie działa również przeglądarka, trzeba sprawdzić adres usługi, połączenie sieciowe, poprawność daty i godziny, komunikaty dostawcy tożsamości oraz to, czy konto nie zostało zablokowane lub pozbawione dostępu.

Bezpieczna diagnostyka nie polega na przekazywaniu hasła osobom postronnym ani na wyłączaniu dodatkowego uwierzytelniania bez wyraźnej potrzeby. Można natomiast wylogować konto z przeglądarki, usunąć nieaktualny profil aplikacji zgodnie z dokumentacją producenta, ponownie przeprowadzić autoryzację i sprawdzić, czy system prawidłowo otwiera stronę dostawcy tożsamości. Jeżeli połączenie z SSO działa na innym urządzeniu, a nie działa na jednym laptopie lub komputerze PC, uwagę należy skierować na lokalną konfigurację systemu, aplikacji, certyfikatów, przeglądarki i sieci. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów z konfiguracją stanowiska potrzebną do korzystania z poczty.