Il servizio centrale è l'identity provider (IdP), per esempio Microsoft Entra ID, Keycloak, Authentik o Okta. Le applicazioni (service provider) non controllano più le password ma si fidano di un'asserzione firmata dell'IdP. I protocolli usuali sono SAML 2.0 e OpenID Connect.
In esercizio questo significa un unico punto per regole sulle password e MFA, revoca immediata di tutti gli accessi quando qualcuno lascia l'azienda e meno ticket per password dimenticate. Il prezzo è una dipendenza centrale: se l'IdP è giù, nessuno entra nelle applicazioni.
Problemi tipici in fase di setup: orologi non sincronizzati tra IdP e applicazione, attributi mappati male (email al posto dello username) e account admin locali dimenticati nel passaggio, che poi mancano come accesso di emergenza.