SSO là gì và vì sao doanh nghiệp nên bật đăng nhập một lần cho nền tảng học
Mục lục (7 phần)
SSO (Single Sign-On, đăng nhập một lần) là cách cho phép nhân viên dùng chính tài khoản công ty, ví dụ tài khoản Google Workspace hay Microsoft 365, để đăng nhập vào các ứng dụng khác mà không cần tạo thêm mật khẩu. Với nền tảng đào tạo, SSO giải quyết một việc rất đời thường: nhân viên quên mật khẩu, bộ phận IT mất kiểm soát tài khoản, và người đã nghỉ việc vẫn có thể đăng nhập. Bài viết giải thích SSO hoạt động thế nào, lợi ích cụ thể và các bước bật SSO an toàn.
SSO hoạt động như thế nào?
Trong SSO có hai bên. Nhà cung cấp danh tính (identity provider) là nơi giữ tài khoản nhân viên, như Google Workspace hoặc Microsoft Entra ID (tên mới của Azure Active Directory). Ứng dụng là nơi nhân viên muốn vào, ví dụ nền tảng học trực tuyến.
Khi nhân viên bấm "Đăng nhập bằng SSO", ứng dụng chuyển họ sang trang đăng nhập của công ty. Nhân viên đăng nhập ở đó (kèm xác thực hai lớp nếu công ty đã bật), rồi nhà cung cấp danh tính gửi lại cho ứng dụng một "giấy xác nhận" có chữ ký số cho biết người này là ai. Ứng dụng kiểm chữ ký, và nếu hợp lệ thì cho vào. Ứng dụng không bao giờ thấy mật khẩu của nhân viên.
OpenID Connect là gì?
OpenID Connect (OIDC) là chuẩn mở do OpenID Foundation công bố, xây trên OAuth 2.0, quy định cách "giấy xác nhận" đó được tạo và kiểm tra. Giấy xác nhận gọi là ID token, có thông tin như email, bên phát hành, ứng dụng nhận, thời hạn. Một triển khai cẩn thận sẽ kiểm tra đủ các trường này và dùng thêm PKCE (chuẩn RFC 7636) để mã uỷ quyền không bị dùng lại nếu lọt ra ngoài.
Lợi ích của SSO cho nền tảng đào tạo
- Ít mật khẩu hơnnhân viên không phải nhớ thêm một mật khẩu, nên ít quên, ít đặt lại, ít dùng lại mật khẩu cũ ở nhiều nơi.
- Quản lý tập trungchính sách mật khẩu và xác thực hai lớp của công ty áp dụng luôn cho nền tảng học.
- Khoá truy cập ở một chỗkhi tài khoản công ty của một người bị khoá, người đó không còn đăng nhập SSO vào nền tảng được nữa.
- Vào học nhanh hơnlần đầu đăng nhập, tài khoản học có thể được tạo tự động và gắn vào danh sách nhân viên, bớt một bước "đăng ký tài khoản".
Vì sao phải xác minh miền email trước khi bật SSO?
Đây là bước nhiều người bỏ qua nhưng quan trọng nhất. Nếu một nền tảng cho phép bất kỳ tổ chức nào tự khai "email đuôi @congty.vn là của tôi" rồi cấu hình SSO, kẻ xấu có thể dùng một tài khoản quản trị riêng để "khẳng định" email của người khác và chiếm tài khoản. Cách chặn là bắt tổ chức chứng minh quyền sở hữu miền, thường bằng cách thêm một bản ghi DNS TXT do nền tảng cấp. Chỉ người quản trị tên miền mới làm được việc này. Một miền cũng chỉ nên thuộc một tổ chức, và các miền thư công cộng như gmail.com không được nhận.
5 bước bật SSO an toàn
- Xác minh miền emailbằng bản ghi DNS TXT.
- Tạo ứng dụng ở nhà cung cấp danh tínhtrong Microsoft Entra admin center (App registrations) hoặc Google Cloud Console, khai địa chỉ chuyển hướng (redirect URI) mà nền tảng học cung cấp, lấy Client ID và client secret.
- Nhập cấu hình vào nền tảng học.Client secret nên được mã hoá khi lưu và không bao giờ hiển thị lại.
- Kiểm tra kết nối và đăng nhập thửbằng một tài khoản thật trước khi bật cho cả công ty.
- Cân nhắc bật "Bắt buộc SSO"khi bật, email thuộc miền công ty không đăng nhập bằng mật khẩu hay liên kết email được nữa. Hãy chắc chắn chính quản trị viên cũng đăng nhập SSO được trước khi bật.
Trang đăng nhập riêng cho nhân viên
Đi cùng SSO thường là một trang đăng nhập mang logo, màu và lời chào của công ty. Nhân viên mở đúng địa chỉ đó, thấy logo quen thuộc và nút "Đăng nhập bằng SSO", nên ít nhầm với trang giả mạo hơn so với một trang đăng nhập chung.
SSO giảm rủi ro mật khẩu, nhưng không thay được ý thức của người dùng. Lừa đảo qua email vẫn nhắm vào chính tài khoản công ty. Khoá An toàn thông tin cho nhân viên trên Vietdemy đi qua các tình huống lừa đảo, mật khẩu và deepfake thường gặp.
SSO trên Vietdemy
Vietdemy có cổng đào tạo cho doanh nghiệp: mua khoá theo số người, mời nhân viên bằng CSV hoặc link, nhắc học, báo cáo hoàn thành CSV/PDF, chứng nhận mang logo công ty và đăng nhập SSO. Bạn có thể yêu cầu demo để xem cổng chạy thật với dữ liệu mẫu.
Câu hỏi thường gặp
SSO có làm nền tảng học thấy mật khẩu công ty không?
Không. Nhân viên nhập mật khẩu ở trang của Google hoặc Microsoft; nền tảng học chỉ nhận ID token có chữ ký số cho biết danh tính người dùng.
Nhân viên không có email công ty thì sao?
Nếu không bật "Bắt buộc SSO", những người này vẫn đăng nhập bằng email và mật khẩu hoặc liên kết gửi qua email như bình thường. Bắt buộc SSO chỉ áp dụng cho email thuộc miền đã xác minh.
Một công ty dùng cả Google và Microsoft thì chọn bên nào?
Chọn nhà cung cấp đang quản lý email công việc của đa số nhân viên. Nếu mỗi miền email dùng một nhà cung cấp khác nhau, hãy hỏi nền tảng học có hỗ trợ nhiều cấu hình hay không trước khi triển khai.
Bật SSO có tốn phí không?
Tuỳ nền tảng. Trên Vietdemy, SSO là tính năng có sẵn của cổng doanh nghiệp, không có phí khởi tạo hay phí duy trì cổng.
Google Workspace là nhãn hiệu của Google LLC; Microsoft 365, Microsoft Entra ID là nhãn hiệu của Microsoft Corporation. Vietdemy không liên kết với các tổ chức này.
