Immagina di dover accedere ogni mattina a decine di applicazioni diverse — posta, CRM, file sharing, portali HR — digitando ogni volta username e password. Oltre a essere scomodo, questo moltiplica le occasioni di errore, spinge gli utenti a riutilizzare password deboli e amplia la superficie d’attacco. Il Single Sign-On (SSO) e i moderni protocolli di autenticazione e autorizzazione nascono proprio per risolvere questo problema, ed è un tema centrale nell’esame SC-900.

Che cos’è il Single Sign-On (SSO)

Il Single Sign-On consente all’utente di autenticarsi una sola volta e ottenere l’accesso a molte applicazioni diverse senza reinserire le credenziali. In un ambiente Microsoft, Microsoft Entra ID funge da identity provider (IdP) centrale: l’utente prova la propria identità a Entra ID, che poi rilascia alle applicazioni la prova che quell’utente è già autenticato.

I vantaggi si dividono in due grandi categorie:

  • Sicurezza: le credenziali sono gestite in un unico punto, dove è più facile applicare policy forti come la multifactor authentication (MFA) e il Conditional Access. Meno password in circolazione significa meno rischi di phishing e riuso.
  • Usabilità e produttività: l’utente ricorda una sola identità, riduce i ticket “password dimenticata” e accede più rapidamente. Per l’IT, la gestione centralizzata semplifica onboarding e offboarding.

OpenID Connect e OAuth 2.0: due ruoli distinti

Il punto più delicato — e più frequente all’esame — è distinguere autenticazione da autorizzazione.

OAuth 2.0 — autorizzazione

OAuth 2.0 è un protocollo di autorizzazione. Risponde alla domanda “cosa può fare questa applicazione per conto dell’utente?”. Permette a un’app (client) di ottenere un access token che le concede l’accesso a determinate risorse o API, senza mai vedere la password dell’utente.

Esempio classico: un’app che chiede di poter leggere il tuo calendario. OAuth rilascia un token con permessi limitati (scope), ma di per sé non dice chi sei — serve solo a delegare l’accesso a delle risorse.

OpenID Connect — autenticazione

OpenID Connect (OIDC) è un livello di autenticazione costruito sopra OAuth 2.0. Risponde alla domanda “chi è questo utente?”. Oltre all’access token, OIDC rilascia un ID token (in formato JWT) che contiene informazioni verificate sull’identità dell’utente (le cosiddette claim: nome, email, identificativo univoco).

In pratica: OIDC è ciò che rende possibile il login e l’SSO moderno verificando l’identità; OAuth 2.0 gestisce cosa l’app è autorizzata a fare dopo. Sono complementari e nella pratica lavorano quasi sempre insieme: OIDC per accedere, OAuth per accedere alle API.

SAML e la federazione

SAML (Security Assertion Markup Language) è un protocollo più datato, basato su XML, usato soprattutto per la federazione tra organizzazioni e per applicazioni enterprise legacy. Anche SAML abilita l’SSO, scambiando “asserzioni” tra identity provider e service provider.

La regola pratica: OIDC/OAuth sono la scelta moderna, ideali per app web, mobile e API basate su REST/JSON; SAML resta diffuso in scenari enterprise e federazioni consolidate. Microsoft Entra ID supporta entrambi, permettendo di collegare applicazioni di generazioni diverse a un’unica identità.

Federazione

La federazione stabilisce un rapporto di fiducia tra domini o organizzazioni diverse, così che l’identità verificata da un IdP sia accettata da un altro sistema. È ciò che permette, ad esempio, di accedere a un servizio partner usando le credenziali della propria azienda, senza creare un nuovo account.

Trappole tipiche d’esame

  • Scenario: “Devi permettere a un’app di accedere alle API di un utente senza esporre la password.” → Risposta: OAuth 2.0 (autorizzazione/delega, non identità).
  • Scenario: “Serve verificare l’identità dell’utente per il login e abilitare l’SSO su un’app moderna.” → Risposta: OpenID Connect (autenticazione, costruito su OAuth 2.0).
  • Scenario: “Quale protocollo di autenticazione XML è più adatto a una federazione con un’applicazione enterprise legacy?” → Risposta: SAML.
  • Scenario: “L’utente si autentica una volta e accede a molte app senza reinserire le credenziali.” → Risposta: Single Sign-On (SSO), con Microsoft Entra ID come identity provider.
  • Trappola: confondere OIDC e OAuth. Ricorda: OAuth = autorizzazione (cosa puoi fare), OpenID Connect = autenticazione (chi sei).