Single Sign-On, IAM e IGA: quais são as diferenças?

Single Sign-On, IAM e IGA fazem parte do mesmo universo de identidade e acesso, mas não resolvem o mesmo problema. SSO melhora a experiência de login. IAM organiza identidades, autenticação e autorização. IGA adiciona governança, aprovações, revisões e evidências para que a empresa saiba quem tem acesso a quê, por qual motivo e até quando.

Essa diferença é importante porque muitas empresas implantam login único e acreditam que a gestão de acessos está resolvida. Na prática, o SSO reduz senhas e padroniza autenticação, mas não garante sozinho que os acessos estejam corretos, revisados, aprovados e auditáveis.

Neste artigo, você verá o papel de cada camada, onde elas se complementam e por que uma estratégia madura de identidade precisa combinar experiência de acesso, segurança operacional e governança de identidades.

O que é Single Sign-On?

Single Sign-On, ou SSO, é uma forma de autenticação que permite ao usuário acessar múltiplas aplicações depois de se autenticar uma vez em um provedor de identidade. A AWS define SSO como uma solução de autenticação que permite login em várias aplicações e sites com uma única autenticação. Referência: AWS — What is SSO?

Em ambientes corporativos, o SSO costuma ser usado para reduzir múltiplas senhas, melhorar a experiência do colaborador, centralizar políticas de autenticação e diminuir chamados de reset de senha. Ele também facilita a adoção de MFA, acesso condicional e integrações com aplicações SaaS.

• O usuário acessa uma aplicação corporativa.
• A aplicação redireciona o usuário para um provedor de identidade.
• O provedor autentica o usuário e emite uma confirmação segura.
• A aplicação confia nessa confirmação e libera a sessão.
• Outras aplicações integradas podem usar a mesma autenticação, sem exigir novo login completo.

O benefício é claro: menos fricção para o usuário e mais centralização para TI e Segurança. Mas SSO responde principalmente à pergunta “como o usuário entra?”. Ele não responde completamente se aquele acesso deveria existir, quem aprovou, se ainda é necessário ou como será revisado.

O que é IAM?

IAM — Identity and Access Management — é o conjunto de práticas, políticas e tecnologias usadas para gerenciar identidades digitais e controlar o acesso a recursos corporativos. É um conceito mais amplo do que SSO.

Uma arquitetura de IAM pode incluir diretórios, provedores de identidade, autenticação multifator, SSO, administração de usuários, grupos, políticas de autorização, integrações com aplicações e controles de sessão. Em resumo, IAM organiza quem são as identidades e como elas acessam sistemas.

IAM responde principalmente:

• Quem é essa identidade?
• Como ela comprova que é quem diz ser?
• Quais aplicações ou recursos ela consegue acessar?
• Como autenticação, autorização e políticas técnicas são aplicadas?
• Como usuários, grupos e aplicações são administrados no dia a dia?

Na prática, SSO é um recurso comum dentro de uma estratégia de IAM. Para entender melhor esse contexto, veja também o artigo da AccessOne sobre PAM, IGA e AM em projetos de IAM.

O que é IGA?

IGA — Identity Governance and Administration — é a camada de governança de identidades e acessos. Ela complementa IAM ao incluir contexto de negócio, regras, aprovações, revisões, recertificações, segregação de funções, evidências e auditoria.

A IBM descreve IGA como a disciplina de cibersegurança que gerencia conformidade regulatória para identidades digitais e direitos de acesso, ajudando a controlar quem tem acesso, a quais recursos, por qual motivo e por quanto tempo. Referência: IBM — Identity Governance and Administration.

IGA responde principalmente:

• Por que esse acesso existe?
• Quem solicitou e quem aprovou?
• O acesso está alinhado ao cargo, área, unidade, centro de custo ou vínculo?
• Existe risco de privilégio excessivo ou conflito de função?
• O acesso deve expirar ou ser revisado periodicamente?
• Como a empresa prova solicitação, aprovação, execução, revisão e remoção em auditoria?

Essa visão conecta governança ao ciclo de vida completo de acessos: entrada, movimentação, afastamento, desligamento e revisão periódica. É o mesmo princípio detalhado no conteúdo sobre gestão de acessos.

Single Sign-On, IAM e IGA: comparação prática

A forma mais simples de entender a diferença é separar o problema em três camadas: experiência de login, administração de identidade e governança de acesso.

Single Sign-On

SSO simplifica e centraliza o login. Seu foco é reduzir múltiplas autenticações, melhorar a experiência do usuário e permitir que aplicações confiem em um provedor de identidade.

IAM

IAM administra identidades, autenticação, autorização e políticas técnicas. Seu foco é garantir que identidades corretas consigam acessar recursos corretos por meio de controles consistentes.

IGA

IGA governa o ciclo de vida dos acessos. Seu foco é garantir que cada permissão tenha justificativa, aprovação, responsável, prazo, revisão e evidência auditável.

Em resumo: SSO facilita a entrada, IAM organiza a identidade e IGA governa o acesso ao longo do tempo.

Por que SSO não substitui governança de acessos

SSO é uma camada essencial, mas não elimina a necessidade de governança. Uma empresa pode ter login único bem configurado e ainda assim manter acessos indevidos, contas órfãs, permissões antigas, exceções sem dono e revisões feitas por planilhas.

• SSO não valida necessidade de negócio: ele autentica o usuário, mas não garante que a permissão esteja adequada à função atual.
• SSO não registra todo o fluxo de aprovação: em muitos casos, a justificativa e o aprovador continuam em chamados, e-mails ou planilhas.
• SSO não revisa acessos sozinho: campanhas de revisão exigem escopo, revisores, decisões, prazos e evidências.
• SSO não cobre todos os sistemas: ERPs, sistemas legados, bases internas e aplicações específicas podem ficar fora do provedor de identidade.
• SSO não resolve segregação de funções: conflitos entre perfis sensíveis exigem regras de negócio e análise de risco.

Por isso, controles de autenticação precisam ser combinados com revisão de acessos e processos de governança que mostrem se o acesso ainda faz sentido.

Exemplo prático: colaborador com login único, mas acesso excessivo

Imagine um colaborador que usa SSO para acessar e-mail, CRM, service desk, ERP e ferramentas internas. A experiência é boa: ele entra uma vez e acessa tudo com menos fricção.

O problema aparece quando esse colaborador muda de área. O login único continua funcionando, mas alguns acessos antigos podem permanecer. Ele pode manter perfis no CRM, permissões no ERP ou grupos herdados de uma função anterior. Se ninguém revisar, a empresa fica com privilégio acumulado e pouca evidência sobre por que aquele acesso continua ativo.

Com IGA, a movimentação interna pode disparar workflows de remoção, nova aprovação, recálculo de perfil e revisão. Assim, o SSO continua entregando boa experiência de login, enquanto a governança controla o ciclo de vida das permissões.

Quando usar cada camada

Use SSO quando a prioridade é melhorar login e reduzir senhas

• Centralizar autenticação em aplicações corporativas.
• Reduzir múltiplas credenciais e fadiga de senhas.
• Aplicar MFA e políticas de segurança no ponto de login.
• Melhorar a experiência de colaboradores e terceiros.

Use IAM quando a prioridade é administrar identidades e acesso técnico

• Organizar diretórios, usuários, grupos e aplicações.
• Padronizar autenticação e autorização.
• Integrar aplicações SaaS, cloud e ambientes híbridos.
• Gerenciar políticas de acesso e sessões.

Use IGA quando a prioridade é governar, auditar e automatizar o ciclo de vida

• Automatizar onboarding, movimentações, afastamentos e offboarding.
• Criar fluxos de solicitação, aprovação e revogação.
• Realizar campanhas de revisão e recertificação de acessos.
• Gerar evidências para auditoria, LGPD, ISO 27001 e controles internos.
• Controlar segregação de funções, exceções e acessos sensíveis.

Como SSO, IAM e IGA trabalham juntos

A melhor arquitetura não escolhe apenas uma camada. Ela combina as três. O SSO melhora a experiência de entrada. O IAM fornece a base técnica de identidade e acesso. A IGA governa o ciclo de vida, as regras e as evidências.

1. Fonte confiável: sistemas de RH, diretórios e bases oficiais informam dados da identidade, como vínculo, área, cargo, gestor e status.
2. Autenticação centralizada: SSO e MFA protegem o ponto de entrada nas aplicações.
3. Administração técnica: IAM organiza usuários, grupos, aplicações e políticas de autorização.
4. Governança: IGA define regras de elegibilidade, aprovações, revisões, expiração e segregação de funções.
5. Automação: integrações executam criação, alteração e remoção de acessos nos sistemas conectados.
6. Evidência: cada solicitação, aprovação, revisão e revogação fica registrada para auditoria.

Essa combinação é especialmente importante em empresas com múltiplos sistemas, integrações com RH, Microsoft 365, Google Workspace, SAP, TOTVS, Salesforce, Service Desk, aplicações cloud e sistemas legados.

Sinais de que sua empresa precisa ir além do SSO

• A empresa tem login único, mas ainda aprova acessos por e-mail ou planilha.
• Gestores não conseguem revisar todos os acessos de suas equipes com facilidade.
• Desligamentos removem o login principal, mas não garantem remoção em todos os sistemas.
• A auditoria pede evidências que precisam ser montadas manualmente.
• Mudanças de cargo não removem automaticamente permissões antigas.
• Terceiros e prestadores mantêm acessos depois do fim do contrato.
• Não há regra clara para perfis sensíveis, exceções e conflitos de função.

Se esses sinais aparecem, a organização provavelmente precisa evoluir para uma camada de governança integrada. O artigo sobre controles de acesso em sistemas corporativos aprofunda esse ponto sob a ótica de auditoria e LGPD.

Onde a AccessOne ajuda?

A AccessOne atua como plataforma brasileira de Governança de Identidades e Acessos para complementar ambientes de IAM, diretórios e SSO com processos de governança, automação e evidência.

• Conecta fontes de RH, diretórios, sistemas SaaS, ERPs, service desk e aplicações legadas.
• Automatiza criação, alteração, suspensão e remoção de acessos conforme eventos do ciclo de vida.
• Orquestra workflows de solicitação, aprovação e revogação.
• Apoia revisão e recertificação periódica de acessos.
• Ajuda a controlar perfis sensíveis, exceções e segregação de funções.
• Centraliza evidências para Segurança, TI, Compliance, Auditoria e gestores de negócio.

Assim, empresas que já usam SSO, Microsoft Entra ID, diretórios corporativos ou ferramentas de IAM podem ampliar o controle com governança de ponta a ponta. O objetivo não é substituir a camada de login, mas transformar autenticação e administração técnica em um processo auditável de criação, revisão e remoção de acessos.

Perguntas frequentes sobre Single Sign-On, IAM e IGA

SSO é a mesma coisa que IAM?

Não. SSO é um recurso de autenticação que permite login único em múltiplas aplicações. IAM é uma disciplina mais ampla, que inclui administração de identidades, autenticação, autorização, diretórios, políticas e integrações.

IAM é a mesma coisa que IGA?

Não. IAM foca na administração e no controle técnico de identidades e acessos. IGA adiciona governança, aprovações, revisões, recertificações, segregação de funções, evidências e compliance.

Minha empresa já tem SSO. Ainda preciso de IGA?

Depende da complexidade do ambiente. Se a empresa precisa controlar ciclo de vida, aprovações, revisões, evidências, acessos em múltiplos sistemas e auditoria, IGA complementa o SSO.

SSO reduz riscos de segurança?

Sim, principalmente ao reduzir senhas espalhadas, permitir MFA e centralizar autenticação. Mas ele precisa ser combinado com governança para evitar permissões excessivas, acessos antigos e falhas de auditoria.

Qual camada deve vir primeiro?

Depende da maturidade da empresa. Muitas começam por IAM e SSO para organizar autenticação. Depois evoluem para IGA quando precisam governar ciclo de vida, revisar acessos e gerar evidências auditáveis em vários sistemas.

Conclusão

Single Sign-On, IAM e IGA são complementares. SSO resolve a experiência de login. IAM estrutura a administração técnica de identidades e acessos. IGA garante que os acessos sejam concedidos, mantidos, revisados e removidos com contexto, aprovação e evidência.

Para empresas que precisam reduzir riscos, responder auditorias e controlar acessos em múltiplos sistemas, a pergunta não deve ser “SSO ou IGA?”. A pergunta correta é como integrar login, identidade e governança em uma arquitetura única, automatizada e auditável.