Một nhà máy thường chạy song song nhiều phần mềm: HRM, chấm công, tính lương, Employee Portal, ERP, quản lý suất ăn. Nếu mỗi phần mềm một tài khoản, người dùng phải nhớ nhiều mật khẩu, HR mất thời gian reset, và khi nhân viên nghỉ việc thì quyền truy cập ở hệ thống nào đó dễ bị bỏ sót. Single Sign-On (SSO) giải quyết vấn đề này: người dùng xác thực một lần, các phần mềm còn lại tin kết quả xác thực đó.
SSO hoạt động theo nguyên tắc nào?
Hầu hết mô hình SSO có hai vai trò:
- Nhà cung cấp danh tính (IdP – Identity Provider): nơi quản lý tài khoản và xác thực người dùng, ví dụ Microsoft Entra ID, Active Directory, Okta, Keycloak, Google Workspace.
- Ứng dụng (SP/RP – Service Provider hoặc Relying Party): các phần mềm như Employee Portal, HRM, kiosk. Chúng không tự kiểm tra mật khẩu mà chuyển người dùng sang IdP, nhận lại một “bằng chứng” xác thực (assertion hoặc token) rồi cho vào.
Lợi ích: mật khẩu chỉ nằm ở một nơi, bật xác thực nhiều lớp (MFA) một lần là áp dụng cho mọi ứng dụng, và vô hiệu hóa một tài khoản là chặn được toàn bộ hệ thống.
Các công nghệ và chuẩn SSO phổ biến
| Chuẩn | Dùng cho | Đặc điểm |
|---|---|---|
| SAML 2.0 | Ứng dụng doanh nghiệp, portal, phần mềm HR truyền thống | Dựa trên XML, rất phổ biến ở phần mềm doanh nghiệp, phù hợp đăng nhập qua trình duyệt. |
| OpenID Connect (OIDC) | Ứng dụng web và mobile hiện đại | Lớp xác thực xây trên OAuth 2.0, dùng JSON/JWT, nhẹ và dễ tích hợp qua API. |
| OAuth 2.0 | Ủy quyền truy cập API | Cho phép ứng dụng này gọi API của ứng dụng khác thay mặt người dùng. Bản thân nó là chuẩn ủy quyền, không phải xác thực. |
| LDAP / Active Directory | Hệ thống nội bộ, thư mục người dùng | Ứng dụng kiểm tra tài khoản trực tiếp với thư mục. Thống nhất tài khoản nhưng người dùng thường vẫn nhập lại mật khẩu. |
| Kerberos / Windows Integrated Auth | Máy tính Windows trong miền | Người dùng đã đăng nhập Windows thì vào ứng dụng nội bộ không cần nhập lại. |
| SCIM | Đồng bộ tài khoản | Không phải đăng nhập, mà tự tạo, cập nhật, khóa tài khoản ở các ứng dụng khi HR thay đổi nhân sự. |
Chọn chuẩn nào cho phần mềm nhà máy?
- Nếu công ty đã có Microsoft Entra ID, Active Directory, Okta hoặc Google Workspace: ưu tiên SAML 2.0 hoặc OIDC cho các ứng dụng web, vì hầu hết IdP đều hỗ trợ cả hai.
- Ứng dụng mới, có API và mobile: OIDC thường gọn hơn.
- Phần mềm cũ chỉ biết LDAP: dùng LDAP để thống nhất tài khoản, hoặc đặt một lớp trung gian như Keycloak để chuyển sang SAML/OIDC.
- Muốn tài khoản tự khớp với danh sách nhân sự: bổ sung SCIM hoặc đồng bộ từ HRM, để nhân viên mới có tài khoản, nhân viên nghỉ việc bị khóa ngay.
Bài toán riêng của nhà máy: công nhân không có tài khoản
SSO tiêu chuẩn giả định mỗi người có email và mật khẩu. Ở nhà máy, nhiều công nhân không có email, không mang điện thoại vào xưởng, nhưng ai cũng có thẻ chấm công. Cách làm thực tế:
- Công nhân quẹt thẻ, quét QR hoặc nhận diện khuôn mặt tại kiosk tự phục vụ.
- Kiosk đối chiếu mã thẻ với mã nhân viên trong HRM.
- Hệ thống phát hành một phiên (token) ngắn hạn thay mặt nhân viên đó, truyền sang Employee Portal và các phân hệ.
- Phiên tự hết hạn khi người dùng rời kiosk hoặc sau vài phút không thao tác.
Cách này vẫn giữ nguyên nguyên tắc SSO (một lần xác thực, nhiều ứng dụng), chỉ thay bước “nhập mật khẩu” bằng yếu tố mà công nhân đã quen dùng. Doanh nghiệp cần đánh giá mức rủi ro: thẻ có thể bị mượn, nên với chức năng nhạy cảm như xem lương có thể yêu cầu thêm mã PIN hoặc nhận diện khuôn mặt.
Checklist khi tích hợp SSO giữa các phần mềm
- Xác định IdP duy nhất và nơi là “nguồn sự thật” của danh sách nhân viên (thường là HRM).
- Liệt kê các ứng dụng cần SSO và chuẩn mỗi ứng dụng hỗ trợ (SAML, OIDC, LDAP).
- Thống nhất mã định danh người dùng (mã nhân viên, email) để các hệ thống khớp nhau.
- Quy định thời hạn phiên, đăng xuất tập trung và ghi log đăng nhập.
- Có quy trình khóa tài khoản khi nghỉ việc, ưu tiên tự động qua SCIM hoặc đồng bộ HRM.
- Kiểm thử với nhóm người dùng nhỏ trước khi mở rộng toàn nhà máy.
Tinh Hoa có thể hỗ trợ gì?
Tinh Hoa triển khai chấm công, kiểm soát ra vào và các phần mềm vận hành nhà máy, nên thường phải nối với portal, HRM và ERP có sẵn của khách hàng. Nếu anh/chị cần đánh giá cách tích hợp SSO và kiosk tự phục vụ vào hệ thống hiện tại, có thể tham khảo checklist đánh giá tích hợp HRM, chấm công, ERP (40 tiêu chí) hoặc đăng ký demo để trao đổi với chuyên gia.
Câu hỏi thường gặp
SSO và đăng nhập bằng cùng một mật khẩu (LDAP) khác nhau thế nào?
Với LDAP, mỗi ứng dụng vẫn hỏi mật khẩu rồi kiểm tra với thư mục chung. Với SSO, người dùng chỉ đăng nhập một lần ở IdP, các ứng dụng sau nhận bằng chứng xác thực mà không hỏi lại.
SAML hay OIDC tốt hơn?
Không có chuẩn nào luôn tốt hơn. SAML phổ biến ở phần mềm doanh nghiệp đã có từ lâu, OIDC gọn hơn cho ứng dụng web, mobile và API. Chọn theo chuẩn mà cả IdP và ứng dụng đều hỗ trợ.
Phần mềm tự phát triển có SSO được không?
Được, nếu bổ sung thư viện OIDC hoặc SAML vào ứng dụng, hoặc đặt sau một cổng xác thực (reverse proxy kèm IdP). Mức công sức phụ thuộc kiến trúc của phần mềm.
