Идентичность и Entra ID
SSO через Microsoft Entra ID: как работает единый вход, методы (SAML, OIDC, password-based), что проверить компании и когда нужен отдельный проект.
Tugelbay Konabayev, Marketing Specialist · 19 июня 2026 г.
Эти блоки отвечают на практические вопросы без скрытого текста и без неподтвержденных обещаний по срокам, стоимости или результату.
SSO (single sign-on, единый вход) — это когда сотрудник один раз входит в рабочую учётную запись и потом получает доступ ко всем нужным приложениям без повторного ввода пароля. В экосистеме Microsoft SSO работает через Microsoft Entra ID: она выступает единым «пропуском», который автоматически подставляется при входе в подключённые приложения.
При обычном входе сотрудник вводит пароль в каждом приложении отдельно — и часто использует одинаковые или слабые пароли. При SSO он аутентифицируется один раз в Entra ID, а дальше доступ к приложениям выдаётся по токену. Паролей становится меньше, управлять доступом и отзывать его можно централизованно.
Да, базовый federated SSO для приложений из галереи доступен уже в Microsoft Entra ID Free, которая входит в состав Microsoft 365. Conditional Access, Application Proxy и бесшовный вход с локальной Active Directory требуют Entra ID P1 (есть в M365 E3/E5 и Business Premium).
Добавить приложение в Entra ID (из галереи или как пользовательское), настроить метод входа (SAML или OIDC для приложений с поддержкой federation, либо password-based для остальных), сопоставить пользователей и группы, при необходимости включить Conditional Access и MFA, протестировать вход и отозвать старый доступ.
«SSO» — один из самых частых поисковых запросов в корпоративном IT, и под ним понимают разное. Для одних это «войти в почту и автоматически попасть в CRM». Для других — корпоративный пропуск во все облачные сервисы. Для третьих — техническое решение поверх Active Directory, которое снимает головную боль с паролями. От того, что именно нужно компании, зависит и выбор метода, и объём проекта.
Этот гайд объясняет, что такое SSO, как работает единый вход через Microsoft Entra ID, какие бывают методы (SAML, OIDC, password-based, linked), в чём разница для бизнеса, и что важно проверить компаниям в Казахстане, Центральной Азии, на Кавказе и в Украине до старта проекта. Технические утверждения опираются на официальную документацию Microsoft Learn, ссылки — в разделе «Источники».
SSO (single sign-on, единый вход) — это возможность, при которой сотрудник один раз аутентифицируется в корпоративной системе идентичности и потом получает доступ к нескольким приложениям без повторного ввода пароля. В экосистеме Microsoft единый вход работает через Microsoft Entra ID (бывший Azure AD): она выступает единым «центром доверия», который после первичного входа выдаёт приложениям подписанные токены, подтверждающие личность пользователя.
Главное, что даёт SSO бизнесу: меньше паролей у сотрудников (и меньше поводов использовать слабые или одинаковые), централизованное управление доступом, быстрый отзыв доступа при увольнении и единый журнал входа. Но SSO — это не «одна кнопка»: federated SSO по SAML/OIDC настраивается на каждое приложение отдельно, а для локальных приложений нужен Entra Application Proxy. Больше о самой службе идентичности — в гайде Entra ID: что это и зачем компании.
SSO — это не отдельный продукт, а свойство системы идентичности. Пользователь входит в систему один раз, а дальнейший доступ к подключённым приложениям система получает автоматически, обмениваясь данными между сервером идентичности и приложением. Технически «первый вход» чаще всего сопровождается многофакторной аутентификацией (MFA), а последующие входы в приложения в течение сессии проходят без участия пользователя.
В экосистеме Microsoft роль такого «центра идентичности» играет Microsoft Entra ID. Это хранилище пользователей, групп, параметров доступа и политик. Когда компания подключает к Entra ID приложение, между ними настраивается доверие: приложение верит утверждению Entra о том, кто такой пользователь, и не требует у него отдельного пароля.
Это сильно отличается от привычной модели «у каждого приложения свой пароль». Там сотрудник держит в голове (или в таблице) десятки учёток, периодически их теряет, использует одинаковые пароли и часто не сообщает IT, когда увольняется сотрудник, у которого остаётся доступ. SSO переносит контроль в одно место: администратор видит, кто вошёл куда, и может отозвать доступ в один клик.
Entra ID поддерживает несколько методов единого входа, и выбор зависит от того, что умеет целевое приложение:
Подробнее об этих режимах — в официальной статье Microsoft Learn «What is single sign-on?» (ссылка в источниках). Главное для бизнеса: не каждое приложение удастся подключить «по-настоящему» (federated), но для большинства популярных SaaS это возможно, а для остальных работает password-based режим.
Когда говорят о federated SSO, чаще всего имеют в виду два протокола — SAML и OpenID Connect. Entra ID поддерживает оба, и выбор диктует приложение, а не заказчик.
SAML 2.0 — старший корпоративный стандарт. Использует XML-формат, утверждения (assertions) подписываются и передаются между IdP (Entra) и приложением (service provider). SAML чаще встречается в «тяжёлых» корпоративных приложениях: Salesforce, SAP, ServiceNow, Workday. Настройка требует обмена метаданными и маппинга утверждений (какие поля пользователя передавать приложению — email, имя, группы).
OpenID Connect (OIDC) — современный протокол поверх OAuth 2.0. Использует JSON и ID-токены (JWT), проще в реализации для разработчиков, лучше работает в мобильных и одностраничных веб-приложениях. Большинство новых приложений и всё, что построено на современной платформе Microsoft Identity, использует именно OIDC.
На практике компания не выбирает «SAML или OIDC» абстрактно. Администратор открывает приложение в Entra admin center и видит, какой метод входа оно поддерживает, и настраивает именно его. Часто одно и то же приложение можно подключить и по SAML, и по OIDC — тогда выбор зависит от того, какой сценарий (веб, мобильный, desktop) важнее.
Подключить одно приложение из галереи с federated SSO — задача на несколько часов или дней. Но если речь идёт о полном SSO-проекте, это серьёзная работа:
Полный SSO-проект в компании среднего размера занимает от нескольких недель до нескольких месяцев и почти всегда идёт в связке с общим внедрением идентичности и MFA.
Для компаний в Казахстане, Узбекистане, Азербайджане, Армении, Грузии, Кыргызстане и Украине есть несколько моментов:
Перед запросом оценки или стартом проекта полезно зафиксировать:
Чем точнее эти вводные, тем меньше сюрпризов в проекте и тем реальнее смета.
Технические утверждения в этом гайде опираются на официальную документацию Microsoft:
Состав планов, имена функций и доступность конкретных возможностей в регионе меняются — проверяйте по вашему tenant в центре администрирования Microsoft Entra и у CSP-партнёра. Этот гайд не заменяет юридическое или техническое согласование конкретного проекта идентичности.
Нет. Microsoft Entra ID (бывший Azure AD) — это служба идентичности, хранилище пользователей, групп и параметров доступа. SSO (single sign-on) — это возможность, которую Entra ID даёт: пользователь один раз входит в систему и потом получает доступ к нескольким приложениям без повторного ввода пароля. SSO работает поверх Entra ID, но это не одно и то же.
Тысячи приложений из галереи Microsoft (Salesforce, ServiceNow, Atlassian, Zoom, Box и многие другие), любые приложения, поддерживающие SAML 2.0 или OpenID Connect (OIDC), а также локальные приложения через Entra Application Proxy. Для приложений без федеративного входа доступен password-based SSO — когда Entra хранит и подставляет учётные данные пользователя.
SAML 2.0 — более старый, XML-формат, чаще используется в корпоративных приложениях (Salesforce, SAP, ServiceNow). OpenID Connect (OIDC) — современный протокол поверх OAuth 2.0, использует JSON и токены, популярен в современных веб- и мобильных приложениях. Entra ID поддерживает оба. Выбор зависит от того, что поддерживает конкретное приложение, а не от предпочтений заказчика.
При правильной настройке — упрощает и усиливает. Пользователю больше не нужно держать десятки паролей (и использовать одинаковые), а администратор управляет доступом централизованно: Conditional Access, MFA, отзыв доступа при увольнении. Но SSO требует грамотной настройки: если вход в IdP скомпрометирован, под угрозой сразу все подключённые приложения. Поэтому MFA и Conditional Access для IdP — обязательны.
Да, через Microsoft Entra Application Proxy. Это позволяет опубликовать внутреннее веб-приложение во внешнюю сеть так, что пользователи заходят в него с тем же Entra-входом, без VPN. Application Proxy требует либо сервера-коннектора внутри сети, либо Entra private access в составе Microsoft Entra Private Access.
Сама возможность SSO входит в Microsoft Entra ID Free и P1, но конкретные сценарии зависят от плана. Federated SSO для приложений из галереи доступно уже в Free; Conditional Access, Application Proxy для локальных приложений и seamless SSO с локальной AD требуют Entra ID P1 (она есть в Microsoft 365 E3/E5 и Business Premium). Для крупных сценариев (Identity Protection, PIM) нужна P2.
Подключение одного приложения из галереи с federated SSO — от нескольких часов до пары дней. Полный проект SSO (десятки приложений, ревью прав, миграция пользователей, Conditional Access, обучение) обычно занимает недели или месяцы и часто идёт вместе с внедрением [Entra ID и MFA](/ru/guides/entra-id-chto-eto/).
Для корпоративных приложений SSO почти всегда лучше: меньше паролей у пользователей, централизованное управление и отзыв, единый аудит. Менеджер паролей решает другую задачу — хранение уникальных паролей для приложений, которые нельзя подключить к SSO. Чаще всего они дополняют друг друга: SSO для основного набора, менеджер — для остального.
Если у вас уже есть пример отчета, выгрузка из 1С или спорные цифры между отделами, начните с короткого BI-разбора. Для коммерческого scope используйте Power BI/Fabric маршрут, а этот гайд оставьте как подготовку вводных.
