Single Sign-on (SSO)

Nicht sofort. Der Anmeldedienst von Microsoft gibt Zugriffstoken eine zufällige Lebensdauer zwischen 60 und 90 Minuten, älteren Token genau eine Stunde; erst danach prüft die Anwendung erneut. Mit fortlaufender Zugriffsprüfung wirkt die Sperrung nahezu in Echtzeit, dokumentiert sind aber bis zu 15 Minuten Verzögerung, und die automatische Bereitstellung in angeschlossene Anwendungen läuft nur etwa alle 40 Minuten. Wer wirklich sperren will, widerruft zusätzlich alle Sitzungen des Kontos.

Das Nachrichtenformat und das Alter. Das ältere Verfahren SAML wurde im März 2005 als Standard der Organisation OASIS verabschiedet und tauscht Nachrichten im Format XML aus; das jüngere OpenID Connect setzt auf OAuth 2.0 auf und arbeitet mit kompakteren Token über gewöhnliche Webschnittstellen. Microsoft nennt dazu eine Regel: für neue Anwendungen das jüngere Verfahren, für Altbestand oder Beschaffungsvorgaben das ältere. Beide gelten als sicher – die Wahl entscheidet über den Aufwand, nicht über den Schutz.

Auf den Aufschlag und die Folge daraus. Die öffentliche Sammlung sso.tax führt Anbieter, die den gemeinsamen Zugang hinter der höchsten Stufe einschließen; dokumentiert sind Sprünge von mehr als 2.000 Prozent, während die Sammlung selbst einen Aufschlag bis etwa 10 Prozent als angemessen ansieht. Trägt der Sprung sich nicht, bleibt die Anwendung außerhalb des zentralen Zugangs. Dann braucht sie eine eigene Zwei-Faktor-Anmeldung und einen eigenen Eintrag in der Austrittsliste.

Mindestens alle 90 Tage, zusätzlich nach jedem Wechsel im IT-Personal. So steht es in der Microsoft-Anleitung zu Notfallzugriffskonten, die außerdem mindestens zwei solcher Konten empfiehlt, getrennt vom übrigen Bestand geführt und mit einem Anmeldeverfahren, das sich von dem der anderen Verwaltungskonten unterscheidet. Der zweite Teil der Prüfung wird oft vergessen: Die Zugangsdaten dürfen nicht ablaufen und nicht in die automatische Bereinigung ungenutzter Konten geraten.

Den schnellen Entzug. Microsoft dokumentiert, dass die fortlaufende Zugriffsprüfung Gastkonten nicht unterstützt; Sperrereignisse und Regeln zum Netzwerkstandort greifen dort nicht sofort. Auch die automatische Einrichtung fehlt meist: Bei den meisten Anwendungen wird ein Gastkonto von Hand angelegt, und jede Einladung nimmt die externe Person einzeln an. Für Dienstleister bleibt deshalb eine Liste mit Enddatum nötig, die eine namentlich benannte Person führt.

Die angeschlossenen Anwendungen müssen mitspielen, sonst bleibt ihre Sitzung offen. Damit die Abmeldung wirkt, muss für jede Anwendung eine Abmeldeadresse hinterlegt sein und die Anwendung die Anforderung verarbeiten; bei zwei gleichzeitigen Abmeldungen beschreibt Microsoft ein Wettrennen der Nachrichten. Die Sitzung selbst lebt lang: 24 Stunden ohne Nutzung bei gewöhnlicher Anmeldung, 90 Tage bei dauerhaft angemeldet – jeweils bei jeder Nutzung erneut verlängert.