Выбираем IAM в 2023 или, что есть кроме Keycloak

[alexrett]

Спасибо за сравнение. Хотел бы добавить, что еще есть Permify, который кажется тоже очень перспективным решением среди open-source IAM решений на go. Правда в проде еще не довелось поэксплуатировать, но как замена keycloak вполне мои задачи решил в тестовых сценариях.

[alex1t]

Тут я совсем не эксперт, но мне интересно - могут ли указанные продукты позволить такую схему:

У нас развёрнут один из этих сервисов и обеспечивает авторизацию и т.д. Один из клиентов хочет подключить свой сервис для управления пользователями и ролям и ещё с SSO в придачу. Возможно ли вообще такое?

[MrAwesome]

Зависит от сервиса клиента, если он поддерживает OIDC / SAML / LDAP то да.

[alex1t]

Спасибо, насколько я помню тогда речь шла про SAML

[MiT_73]

Тоже недавно интересовался данным вопросом. Помимо того что есть в стате, нашёл эти проекты:
https://github.com/ory
https://github.com/authorizerdev/authorizer
https://github.com/logto-io/logto

[LordImperious]

Дополню список, по моему мнению такие продукты как authentik и gluu тоже имеют место быть

goauthentik.io
gluu.org/gluu-4

[Apokalepsis]

А кто-нибудь спрыгнул на Casdoor c Keycloak? Мне кажется выглядит очень интересной заменой.

[MrAwesome]

Надеюсь, что в ближайшее время появятся успешные или не очень истории внедрения.
Если у меня такой появится, обязательно поделюсь.

[stilet69]

Достаточно плотно поработал с Zitadel в крайние 3 дня. Сначала продукт вызывает восторг, но потом увы начинаются сложности. С чем столкнулся я:

1. smtp сервер Яндекса не работает. Все настройки правильные, а письма не отправляются. А ведь это основополагающая вещь в таких решениях!

2. Кнопки выхода из панели управления для залогиненного пользователя нет. Есть кнопка "Выход для всех пользователей". Это конечно предельно странно. Мне нужно самому выйти, а мне предлагают всех выкинуть.

3. Action крайне обрезанные - нет реакций на действия внутри панели управления. Например я создаю пользователя в панели и хочу вызвать API для создания оного еще и в другом приложении. Action не вызывается. А если пользователь сам зарегистрировался, то тогда вызывается. Кроме того если ошибка в коде Action, то в панель не войти )). Нужно обязательно не забыть поставить галочку в коде action, что если ошибка в коде, то продолжить работу. Если забыл поставить - то будь добр лезь в sql и удаляй запись с этой action.

4. В claims поле роли выглядит достаточно экспрессивно - длинная строка с доменами и прочей информацией. Впрочем это вкусовщина.

5. Ключевые поля в primary key базы имеют тип text. Нафига это если есть uuid? Сейчас большинство использует uuid. Это выливается с танцы с бубном при попытке как то синхронизировать например таблицы users стороннего приложения. У одного uuid, у второго text. А учитывая то, что action не работает на всех сценариях, то связка Цидатели и своего приложения через костыли.

6. Ссылка регистрации на странице входа тупо отсутствует, хотя разрешение на регистрацию установлено.

7. Настройка самих страниц входа рудиментарная - цвет, шрифт. Свой css нельзя.

В общем швейцарское качество увы, тут отдыхает...

[MrAwesome]

Спасибо за отзыв, да продукт крайне еще молод, к примеру на момент написания статьи было 0 примеров Action, сейчас уже, что-то стало понятнее. Вопрос в том, на сколько возможно доработать самим, то, чего не хватает в Цитадели. Как мне показалась их кодовая база местами излишне переусложнена.

[vserge]

Большое спасибо за статью!

Пожелание: На сайте решения authentik есть интересная сравнительная таблица решений относительно поддерживаемых протоколов.

Было бы хорошо, если бы можно было дополнить статью еще в части поддерживаемых протоколов.