SSO lo được các ứng dụng của bạn.
Ai lo phần còn lại?

Cái đuôi dài mà SSO không với tới

SSO hoạt động ở nơi ứng dụng nói được SAML hoặc OIDC và có người đã đấu nối nó. Ngoài vòng tròn đó là những thông tin đăng nhập có bán kính thiệt hại lớn nhất trên mỗi lần rò rỉ:

• Cổng ngân hàng và cổng thanh toán, vốn hiếm khi hỗ trợ liên kết danh tính và thường cấm tài khoản cá nhân.
• Các tài khoản nằm trên cả nhà cung cấp danh tính của bạn: nhà đăng ký tên miền, dịch vụ DNS, tài khoản cloud nơi nhà cung cấp định danh (IdP) của bạn đang chạy. Mất những thứ này thì chính SSO trở thành công cụ của kẻ tấn công.
• Bảng quản trị của hệ thống đời cũ và thiết bị chuyên dụng: tường lửa, máy in, các công cụ chạy tại chỗ với một tài khoản quản trị dùng chung.
• Tài khoản dự phòng khẩn cấp, cố ý để ngoài SSO để bạn còn vào được khi SSO chết.
• Bí mật của máy: khóa API, token, tài khoản dịch vụ, nhóm đang tăng nhanh nhất trong thời của AI agent.
• Mọi thứ mà một nhóm nào đó đã đăng ký bằng một email dùng chung và không bao giờ báo cho bộ phận IT.

Chúng kết thúc trong các luồng chat, file bảng tính và kho cá nhân đúng vì hệ thống chính thức không có chỗ cho chúng. Đó không phải lỗi của người dùng; đó là một khoảng trống về phạm vi bao phủ.

Quản trị cái đuôi bằng chính ba quy tắc đó

1. Một bản kiểm kê duy nhất. Mọi thông tin đăng nhập nằm ngoài SSO đều nằm trong một kho dùng chung với một người chủ đứng tên. Nếu nó không ở trong kho thì về mặt chính thức nó không tồn tại, và việc rà soát nó không phải việc của ai cả.
2. Quyền truy cập phản chiếu đúng nhu cầu, và ra đi cùng con người. Vai trò trong kho theo từng nhóm, gắn với chính danh tính trong hệ thống tài khoản mà SSO của bạn đang dùng, để việc cho nghỉ việc cắt cả hai thế giới cùng lúc.
3. Mỗi lần hiện là một sự kiện. Đọc mật khẩu ngân hàng phải cần xác thực lại và phải rơi vào một nhật ký chỉ ghi thêm, đúng cái kỷ luật mà SSO mang lại cho các ứng dụng của bạn, áp lên những thông tin đăng nhập mà SSO không chạm tới được.

Là cặp đôi, không phải đối thủ

Đó là lý do một kho thông tin đăng nhập là bạn đồng hành của SSO chứ không phải đối thủ. Nhà cung cấp danh tính của bạn quản trị việc xác thực ở nơi có liên kết danh tính; kho mật khẩu quản trị việc nắm giữ ở nơi không có, và nó bám vào cùng bộ danh tính đó nên vẫn chỉ có đúng một quy trình cho người vào và người ra. Keyvaci được xây đúng như người bạn đồng hành ấy: đăng nhập qua Entra ID của bạn, các kho dành cho mọi thứ Entra ID không liên kết được, và một thiết kế zero-knowledge để bản thân kho mật khẩu không bao giờ trở thành điểm rò rỉ đơn lẻ mới.