Upravitelj lozinki s Active Directoryjem, SSO-om i MFA-om

Zašto su Active Directory, SSO i MFA važni za tvrtke

U većini poslovnih okruženja već postoji središnje upravljanje identitetima – klasično Active Directory, sve češće Microsoft Entra ID. Tamo se otvaraju računi zaposlenika, održavaju grupe i dodjeljuju prava. Svaki dodatni sustav s vlastitim upravljanjem korisnicima stvara dvostruko održavanje, zastarjele račune i nejasne odgovornosti.

Za upravljanje lozinkama to vrijedi posebno: ono štiti ključeve svih ostalih sustava. Tri elementa odlučuju uklapa li se ono uredno u IT tvrtke: integracija direktorija (korisnici i grupe dolaze iz AD-a umjesto ručnog rada), Single Sign-on (pristup bez dodatnog rituala s lozinkom, a time i veće prihvaćanje) i višefaktorska autentifikacija (dodatna zaštita ako pristupni podaci budu kompromitirani). Zajedno smanjuju administrativni trud i ispunjavaju ono što propisi usklađenosti traže od kontroliranih pristupa.

Upravitelj lozinki s Active Directoryjem: što to znači?

Važno unaprijed: ne radi se o pohranjivanju lozinki u Active Directoryju. Integracija AD-a odnosi se na upravljanje korisnicima, grupama i pristupima – šifrirane baze podataka s lozinkama ostaju u samom upravitelju lozinki.

Konkretno to znači: korisnici i sigurnosne grupe uvoze se iz direktorija i održavaju aktualnima putem sinkronizacije. Postojeća organizacijska struktura – odjeli, timovi, projektne grupe – time izravno postaje temelj dodjele prava u upravitelju lozinki:

• Centralno održavanje: korisnici i grupe postoje točno jednom – u direktorijskoj usluzi. Upravitelj lozinki ih preuzima, umjesto da gradi drugi korisnički svijet.
• Prava putem grupa: pristup bazama podataka i zapisima dodjeljuje se grupama i ulogama – a ne mukotrpno po osobi.
• Jednostavan onboarding: novi zaposlenici s dodjelom u AD grupu automatski dobivaju odgovarajuće pristupe lozinkama svojeg tima.
• Osiguran offboarding: ako se račun u direktoriju deaktivira, osoba sa sljedećom sinkronizacijom gubi pristup upravitelju lozinki – središnji, sljediv proces umjesto raspršenih pojedinačnih radnji.

SSO: jednostavniji pristup upravljanju lozinkama

Single Sign-on znači: tko je već prijavljen u mreži tvrtke, ne mora se na upravitelja lozinki ponovno prijavljivati zasebnim pristupnim podacima. Za zaposlenike otpada dodatni ritual prijave – za IT otpadaju zaboravljene dodatne lozinke i s njima povezani slučajevi za podršku.

Pravi je dobitak ipak strateški: upravljanje lozinkama funkcionira samo ako ga tim doista koristi. Svaka prepreka pri pristupu tjera zaposlenike natrag na spremanje u pregledniku i papiriće. SSO tu prepreku znatno snižava i usidruje upravitelja lozinki kao samorazumljiv dio postojećih procesa prijave.

MFA: dodatna sigurnost za osjetljive pristupne podatke

Višefaktorska autentifikacija uz lozinku zahtijeva drugi faktor – primjerice hardverski ključ ili vremenski ograničen jednokratni kod (TOTP) iz aplikacije za autentifikaciju. Čak i ako pristupni podaci budu kompromitirani, pristup bez drugog faktora ostaje uskraćen.

Kod upravitelja lozinki MFA je posebno važna jer su ovdje objedinjeni pristupi mnogim drugim sustavima. To tim više vrijedi za administratorske račune i timske baze podataka s dalekosežnim ovlastima: tko štiti skladište ključeva, vrata prema njemu treba osigurati dvostruko.

Uloge, prava i grupe u centralnom upravljanju lozinkama

Integracija direktorija i autentifikacija uređuju tko ulazi – uloge i prava uređuju što tko tamo smije. Profesionalan Upravitelj lozinki za tvrtke za to precizno odgovara na tri pitanja: tko smije vidjeti zapis? Tko ga smije koristiti? Tko ga smije mijenjati?

• Strukture timova i odjela: zajedničke baze podataka preslikavaju organizacijske jedinice – svaki tim vidi samo svoje zapise.
• Načelo najmanjih ovlasti: svaka osoba dobiva točno one pristupe koje njezin zadatak zahtijeva – ne više.
• Sigurna dijeljenja: lozinke se dijele putem ovlaštenih baza podataka umjesto prosljeđivanja e-poštom ili messengerom.
• Jasne odgovornosti: stupnjevane ovlasti i pravila čine sljedivim tko je za što nadležan.

Audit logovi i usklađenost

Kontrolirani pristupi samo su pola posla – moraju se moći i dokazati. Auditni trag otporan na manipulacije i kriptografski ulančan bilježi prijave, pristupe, izmjene unosa i administrativne zahvate – naknadne izmjene postaju prepoznatljive. Tako na središnje auditno pitanje „Tko je kada imao pristup čemu?” odgovarate iz dnevnika, a ne iz sjećanja. Kako to konkretno podržava ISO 27001 kontrole, detaljnije objašnjava naš članak Password Depot Enterprise Server & ISO 27001.

To je relevantno za interne kontrole jednako kao i za vanjske zahtjeve: ISO revizije, priprema za NIS2 i obveze dokazivanja prema GDPR-u pretpostavljaju sljedive procese pristupa. Upravljanje lozinkama usklađeno s GDPR-om – vidi naš članak GDPR upravitelj lozinki za tvrtke – oslanja se pritom na uloge, evidentiranje i šifriranje kao tehničke i organizacijske mjere prema čl. 32 GDPR-a.

Password Depot Enterprise Server s Active Directoryjem, SSO-om i MFA-om

Rješenje Password Depot Enterprise Server donosi upravo te integracije – razvija se od 1998. u Darmstadtu, a koristi ga više od 100.000 kupaca:

• Active Directory: Korisnike i sigurnosne grupe uvozite iz AD-a – preko više domena jedne šume – i sinkronizirate ih ručno ili automatski prema rasporedu. Za novootkrivene podgrupe baze podataka stvaraju se automatski.
• Microsoft Entra ID i OpenID Connect: Podržan je i Entra ID / Azure AD; dodatno se mogu povezati OIDC pružatelji identiteta kao što su Entra ID, Auth0 ili PingIdentity. Prijava je pojačana: ID tokeni provjeravaju se po potpisu i audience prije nego što im se vjeruje, nesigurni postupci poput „alg=none” odbijaju se, a rotacije ključeva pružatelja preuzimaju se odmah. Pri Multi-Tenant sinkronizaciji neispravan tenant više ne prekida ostale.
• Single Sign-on: Kerberos SSO za prijavu u mreži tvrtke – bez dodatnog rituala s lozinkom.
• Višefaktorska autentifikacija: FIDO2/WebAuthn (npr. YubiKey) i TOTP putem aplikacije za autentifikaciju.
• Uloge i pravila: korisnicima, grupama i ovlastima upravljate centralno na poslužitelju – s tri razine ovlasti za jasna, sigurna dijeljenja.
• Audit logovi i SIEM: Prijave, izmjene i administratorske radnje bilježe se u auditnom tragu otpornom na manipulacije i izvoze se u Vaš SIEM putem Syslog-a (RFC 5424, UDP/TCP/TLS).
• REST API v2.0: za DevOps cjevovode, automatizaciju i interne AI tijekove rada.

Rad se pritom u potpunosti odvija pod vašom kontrolom – On-Premises, u Private Cloudu ili u vlastitom Azure tenantu. Ni integracija direktorija ne treba proizvođački Cloud. Zašto taj model rada za mnoge tvrtke daje presudan argument, objašnjava naš članak On-Premises upravitelj lozinki. Sigurnosna arhitektura je provjerljiva: AES-256 (FIPS 197), TLS 1.3, SySS penetracijski test (12/2025) s rezultatom „nisu utvrđene ozbiljne sigurnosne ranjivosti” te ISMS proizvođača AceBIT certificiran prema ISO/IEC 27001:2022 (TÜV NORD).

Tipični scenariji primjene

• IT odjeli centralno upravljaju administratorskim i servisnim pristupima – s MFA-om za najkritičnije račune.
• Tvrtke upravljaju pristupima putem AD grupa: struktura direktorija određuje koji tim vidi koje lozinke.
• Novi zaposlenici putem svoje dodjele u grupu od prvog dana dobivaju kontroliran pristup potrebnim pristupima.
• Zaposlenici koji odlaze gube pristup centralno s deaktivacijom računa u direktoriju – sljedivo u zapisniku.
• Agencije i pružatelji usluga organiziraju pristupe klijenata po timovima i dijele ih kontrolirano.
• Organizacije vođene usklađenošću interne sigurnosne propise dokazuju modelom uloga i audit logovima.

Na što tvrtke trebaju paziti pri odabiru

• Integracija s Active Directoryjem: uvoz i sinkronizacija korisnika i grupa – idealno preko više domena i prema rasporedu.
• Podrška za SSO: prijava putem postojeće autentifikacije tvrtke umjesto zasebnih pristupnih podataka.
• Podrška za MFA: moderni postupci kao što su FIDO2/WebAuthn i TOTP.
• Koncept prava i uloga: stupnjevane ovlasti sve do razine baze podataka i zapisa.
• Audit logovi: evidentiranje s mogućnošću izvoza u vaš SIEM.
• Jednostavna administracija: centralno upravljanje umjesto raspršene pojedinačne konfiguracije.
• Jednostavnost upotrebe: klijenti za sve uobičajene platforme – inače nastaje novi IT u sjeni.
• Skalabilnost: rješenje mora rasti s brojem korisnika i organizacijskom strukturom.
• Model rada: On-Premises ili Self-Hosted rad kada to zahtijevaju suverenost nad podacima i usklađenost.
• Podrška i održavanje: jasan proces ažuriranja i dostupna podrška proizvođača.

Zaključak: integracija odlučuje o koristi

Upravitelj lozinki s Active Directoryjem, SSO-om i MFA-om uklapa se u strukture koje vaš IT već održava – umjesto da stvara drugo upravljanje korisnicima. To smanjuje administrativni trud, povećava prihvaćanje u timu i daje dokaze koje traže revizije i zaštita podataka. Password Depot Enterprise Server donosi te integracije i pritom ostaje u potpunosti pod vašom kontrolom.

Provjerite to u vlastitom okruženju: testirajte Enterprise Server 30 dana besplatno sa svojim Active Directoryjem, doživite rješenje u demonstraciji uživo ili zatražite neobvezujuću ponudu za svoj broj korisnika.

Česta pitanja o Active Directoryju, SSO-u i MFA-u

Što donosi upravitelj lozinki s Active Directoryjem?

Korisnici i grupe dolaze iz postojećeg direktorija umjesto iz dvostrukog održavanja: prava slijede organizacijsku strukturu, onboarding ide preko dodjele u grupu, offboarding preko središnje deaktivacije računa. Same lozinke pritom ostaju šifrirane u upravitelju lozinki – ne u AD-u.

Zašto je SSO koristan kod enterprise upravitelja lozinki?

SSO uklanja najveću prepreku korištenju: zaposlenici pristupaju svojim pristupima bez zasebnog rituala prijave. To povećava prihvaćanje rješenja i smanjuje slučajeve za podršku zbog zaboravljenih dodatnih lozinki.

Zašto bi upravitelj lozinki trebao podržavati MFA?

U upravitelju lozinki objedinjeni su pristupi mnogim drugim sustavima. MFA štiti taj fond i onda kada pristupni podaci budu kompromitirani – posebno važno za administratorske račune i timske baze podataka.

Može li upravitelj lozinki koristiti korisničke grupe iz Active Directoryja?

Da. Password Depot Enterprise Server uvozi korisnike i sigurnosne grupe iz Active Directoryja – i preko više domena jedne šume – te ih sinkronizacijom održava aktualnima, ručno ili automatski prema rasporedu.

Koja je razlika između SSO-a i MFA-a?

SSO pojednostavnjuje prijavu: postojeća prijava u tvrtki otvara i upravitelja lozinki. MFA pojačava prijavu: uz lozinku je potreban drugi faktor, primjerice hardverski ključ ili jednokratni kod. Jedno drugo nadopunjuju – udobnost i zaštita ne isključuju se.

Je li upravitelj lozinki s Active Directoryjem koristan za GDPR i usklađenost?

Da. Centralno upravljani, grupno temeljeni pristupi i evidentirane izmjene podržavaju tehničke i organizacijske mjere prema čl. 32 GDPR-a te daju pouzdane odgovore u ISO revizijama i pri pripremi za NIS2. Opširno u članku GDPR upravitelj lozinki za tvrtke.

Podržava li Password Depot Enterprise Server Active Directory, SSO i MFA?

Da: AD uvoz i sinkronizacija (i preko više domena), Microsoft Entra ID i OIDC pružatelji, Kerberos SSO te MFA s FIDO2/WebAuthn i TOTP-om. Sve detalje pokazuje pregled funkcija Enterprise Servera.