Можешь объяснить архитектуру и механизмы реализации Single Sign-On (SSO), включая то, как identity providers управляют токенами аутентификации across multiple applications и какие протоколы обычно используются для этого процесса?

Что такое SSO

Single Sign-On (SSO) позволяет пользователю аутентифицироваться один раз и получить доступ к множеству приложений без повторного ввода учётных данных. Аутентификация централизована через Identity Provider (IdP), который управляет сеансами пользователей и выдаёт токены безопасности.

Как работает поток аутентификации

• Пользователь пытается получить доступ к приложению Service Provider (SP)
• SP перенаправляет пользователя на IdP для аутентификации
• IdP проверяет учётные данные и выдаёт подписанный токен или утверждение (assertion)
• Токен возвращается на SP, который предоставляет доступ
• Когда пользователь обращается к другому приложению, SP обращается к IdP, который распознаёт существующий сеанс и выдаёт новый токен — повторная аутентификация не требуется

Управление токенами

IdP поддерживает центральный сеанс, привязанный к аутентифицированному пользователю. Каждое подключённое приложение получает свой токен с определённой областью видимости, обычно с ограниченным сроком действия. При выходе IdP аннулирует сеанс глобально — это называется Single Logout (SLO).

Распространённые протоколы

• SAML 2.0 — на основе XML, широко используется в корпоративной среде для SSO в браузере
• OpenID Connect (OIDC) — построен поверх OAuth 2.0, использует JWT-токены; предпочтителен для современных веб- и мобильных приложений
• OAuth 2.0 — по сути фреймворк авторизации, но часто используется вместе с OIDC для делегированного доступа

Ключевые преимущества

• Снижает усталость от паролей и риск слабых или повторно используемых паролей
• Централизует управление аутентификацией и ведение журнала аудита
• Упрощает подключение и отключение пользователей в разных системах

Резюме

SSO улучшает как безопасность, так и удобство для пользователя, делегируя аутентификацию доверенному IdP. Выбор протокола зависит от контекста — SAML для корпоративной среды, OIDC для современных приложений.