Die zentrale Stelle ist der Identity Provider (IdP), etwa Microsoft Entra ID, Keycloak, Authentik oder Okta. Die Anwendungen (Service Provider) prüfen keine Passwörter mehr selbst, sondern vertrauen einer signierten Bestätigung des IdP. Übliche Protokolle sind SAML 2.0 und OpenID Connect.
Für den Betrieb heißt das: ein Ort für Passwortregeln und MFA, sofortiges Sperren aller Zugänge beim Austritt eines Mitarbeiters und weniger Passwort-Tickets. Der Preis ist eine zentrale Abhängigkeit: Fällt der IdP aus, kommt niemand mehr in die Anwendungen.
Typische Probleme bei der Einrichtung: abweichende Uhrzeiten zwischen IdP und Anwendung, falsch zugeordnete Attribute (E-Mail statt Benutzername) und lokale Admin-Konten, die beim Umstieg vergessen werden und dann als einziger Notfallzugang fehlen.