BuzzFeed開源SSO認證代理，為多網站提供單一登入服務

媒體BuzzFeed開源其受Google身份識別代理（Identity Aware Proxy）啟發所發展的單一登入認證代理（Single-Sign-On Authentication Proxy，SSO），以支援員工全球化的工作模式，為旗下多應用程式網站提供單一登入服務。

由於BuzzFeed的軟體生態系由數百個互相交互的微服務組成，部分這些應用程式會在網路上公開，有權限的人才可登入使用。BuzzFeed提到，由於全球員工成長，將工具曝露在網路上，供內部員工使用的需求明顯成長，因此安全方便的身分認證需求也跟著增加。

為了建立真實單一來源的身分，BuzzFeed過去使用了Bitly的開源Oauth2_proxy服務，這個反向代理使用第三方包括Google或是GitHub等OAuth2供應商服務來認證並授權請求，BuzzFeed以Oauth2_proxy加速應用程式的開發，讓開發人員不需要每次建置服務，都要重新實作身分驗證功能。過去有一段時間BuzzFeed大量的使用Oauth2_proxy解決方案，但是隨著服務成長，發現可擴展程度不如預期發展。

BuzzFeed提到，對營運商來說，要管理爆炸成長的樣板授權代理服務非常的困難，身分驗證功能的關鍵安全性修復程序，需要進行超過百次的補丁和部署，因為每一個受保護的微服務都有自己認證代理服務，使得控制這些服務存取，成為一項很大的挑戰。而可擴展性也不是只有系統營運和開發會遇到，對終端用戶也會造成困擾，這些用戶需要單獨登入每個應用程式，讓工作流程過於繁瑣，而且也養成盲目點擊OAuth2登錄流程的壞習慣，員工容易遭受釣魚攻擊。

BuzzFeed自行開發了SSO來解決這個問題，現在使用者只要登錄一次，就能夠授權存取所有的應用程式。SSO由sso-auth以及sso-proxy兩個部分組成，分別執行巢狀授權流程以及代理請求，sso-auth是一個中央授權服務，可以直接透過第三方服務完成OAuth流程。sso-proxy則能確保所有請求都經過授權，才將使用者請求導至上游服務。

用戶第一次登入受SSO保護的網站時，會被轉址到sso-auth進行認證，當用戶存取另一個受SSO保護的網站時，瀏覽器會先被轉址到sso-auth，由於身分已經過驗證，便會進行自動登入，接著被導向sso-proxy。SSO不只讓員工登入應用程式變得更容易，而且現在開發人員維護身分驗證服務的安全性也更輕鬆，只需要修復一個地方就可以了。