Kick tarzı SSO nedir ve nasıl çalışır?

07 Tem 09:38

Geçen sene orta ölçekli bir kurumsal projede Kick tarzı SSO entegrasyonuyla karşılaştım. Aslında SSO'nun ne olduğunu iyi biliyordum ama Kick'in özel davranışlarını ilk kez görüyordum. Projede **SAML 2.0** protokolünü tercih ettik çünkü kurumun halihazırda Active Directory Federation Services (ADFS) altyapısı vardı ve SAML, kurumsal senaryolarda daha güvenli kabul ediliyor. Kick tarzı SSO sistemi dediğinizde aslında Single Sign-On’un bir varyasyonunu kastediyoruz - burada kullanıcı, tek bir kimlik doğrulama kaynağıyla (örneğin kurumun kendi Identity Provider'ı) tüm uygulamalara erişebiliyor. Kick’in özü de zaten bu: kullanıcı deneyimini bozmadan merkezi bir doğrulama sağlamak. Güvenlik tarafında en çok **token imzalama sertifikalarının yönetimi** ve **session süreleri** konularında başımızı ağrıttık. SAML assertion’larını imzalamak için kullanılan sertifikaların güncel ve güvenli bir şekilde saklanması kritik. Bir de Kick sistemleri genellikle JWT (JSON Web Token) kullanıyor - burada token süresini kullanıcı aktivitesine göre dinamik olarak ayarlamak güvenlik açıklarını minimize ediyor. Başlangıçta statik token süreleriyle uğraşırken, kullanıcı oturum süresini son etkinliğe göre yenileyen bir mekanizma ekledik ve kopmalar önemli ölçüde azaldı. Sonunda SAML’in kurumsal entegrasyonlarda daha sağlam olduğunu ama Kick gibi modern sistemlerde OAuth 2.0 + OpenID Connect kombinasyonunun daha esnek olduğunu gözlemledik. Üçüncü taraf uygulamalarda Kick’in OAuth desteklediği senaryolarda, token tabanlı yaklaşım hem basit hem de güvenliydi.