Distinguer expérience et niveau de confiance
Le SSO réduit les connexions répétées et facilite une gestion cohérente des accès. Il ne dit pas, à lui seul, comment l'utilisateur a été authentifié. La politique doit définir les facteurs exigés et les conditions dans lesquelles une nouvelle vérification est nécessaire.
Les comptes administrateurs, les accès distants et les opérations sensibles peuvent justifier des exigences particulières. Les méthodes d'authentification n'offrent pas toutes la même résistance aux attaques. Le choix doit tenir compte du risque, des utilisateurs et de la capacité de support.
Contrôler ce qui reste en dehors du SSO
Inventoriez les comptes locaux, les accès de secours, les sessions persistantes et les comptes techniques. Désactiver une identité centrale ne ferme pas automatiquement tous les chemins alternatifs. Vérifiez aussi la durée des sessions et le comportement des applications lors d'une révocation.
Prévoir la continuité
Le fournisseur d'identité devient une dépendance importante. Préparez les incidents de connexion et les procédures de récupération avec des contrôles solides. Une procédure de secours trop permissive peut annuler les bénéfices du multifacteur, une procédure impossible à utiliser peut bloquer la reprise.