authentik или Keycloak: что выбрать для единого входа в сервисы компании

У компании пятнадцать сотрудников, CRM, база знаний и файловое хранилище. Единый вход, или SSO, позволяет подтвердить личность в одном месте и затем открывать подключённые сервисы. При действующей сессии повторный ввод пароля может не потребоваться.

При этом роль менеджера в CRM и право читать документы остаются настройками самих приложений. Система входа подтверждает, кто пришёл. Приложение решает, что этому человеку разрешено. Успешный вход не должен автоматически давать доступ ко всем сделкам или файлам.

• Способ подключения. Узнайте, поддерживает ли приложение OIDC или SAML — распространённые протоколы единого входа. Проверьте нужную редакцию: иногда такая возможность платная.

• Связь с прежним аккаунтом. Определите, по какому признаку новый вход найдёт уже существующего сотрудника. Старый аккаунт может владеть документами и историей сделок.

• Права и выход. Уточните, как приложение получает роли и как заканчивает работу пользователя. Вход через прокси и другие способы подключения не всегда дают одинаковый результат.

Не включайте автоматическое создание пользователей сразу на рабочей базе. Изменённый адрес почты или неверная привязка могут создать второй аккаунт с пустой историей. Сначала проверьте на учебном пользователе, что вход открывает нужную запись и сохраняет правильные права.

В authentik приложение связывают с провайдером — настройками обмена данными для входа. Затем задают группы, условия допуска и последовательность подтверждения личности. Ответственному специалисту полезна простая карта: какой сервис подключён, кого он пропускает и когда запрашивает дополнительное подтверждение.

В Keycloak пользователей и приложения объединяют в realm — отдельную область настроек доступа. Подключённое приложение называется client, или клиент. Для него задают роли и данные, передаваемые при входе. Выбирайте эту модель, если команде удобно поддерживать такие настройки.

Наличие большего числа настроек не уменьшает работу администратора. Для компании с тремя сервисами важнее одинаково понятно подключить все три и записать правила. Сравнивайте продукты на одном приложении, чтобы оценить реальные действия ответственного специалиста.

MFA — дополнительное подтверждение личности помимо пароля. Это может быть одноразовый код в приложении или аппаратный ключ. Выберите способ, доступный сотрудникам, и предусмотрите запасной вариант при потере устройства. Регистрация подтверждения и его обязательное использование — разные настройки.

• Сотрудник с настроенным подтверждением. Откройте новый браузер и убедитесь, что без второго шага вход не завершается. Активная сессия администратора для такой проверки не подходит.

• Новый сотрудник без подтверждения. Проверьте, предлагает ли система его настроить или запрещает вход. Пользователь не должен случайно пройти мимо обязательного шага.

• Потеря устройства. Проверьте запасной способ и порядок сброса. Право отключить дополнительное подтверждение должно быть только у назначенных ответственных.

В authentik этап проверки допускает разные действия, если у пользователя нет подходящего способа подтверждения: пропустить, отказать или предложить настройку. Выберите нужное поведение явно. В Keycloak проверьте условия последовательности входа и убедитесь, что она назначена выбранному приложению.

При сбросе подтверждения сначала установите личность сотрудника по принятому в компании порядку. Общий администраторский пароль не подходит как запасной вход для всех. Записывайте, кто выполнил сброс и почему: это действие напрямую влияет на защиту аккаунта.

Блокировка в системе единого входа может остановить новые входы, но не обязана немедленно закрыть уже открытые приложения. У CRM может оставаться собственная сессия — сохранённое состояние входа. Выданные токены, то есть временные ключи доступа, тоже имеют свой срок действия.

Поэтому выход со страницы authentik или Keycloak и выход из CRM нужно проверять отдельно. OIDC поддерживает способы передать приложению сообщение о выходе через браузер или напрямую между серверами. Их результат зависит от поддержки и настроек конкретного приложения.

• Новый вход. Отключите учебного сотрудника и попробуйте войти заново. Проверьте, что запрет применяется к нужному пользователю.

• Открытое приложение. Вернитесь в старую вкладку и откройте сохранённую ссылку. Запишите, сохраняется ли доступ и как его завершить.

• Другие подключения. Проверьте мобильные приложения, отдельные ключи доступа и технические аккаунты. Их отключение может потребовать дополнительных действий в самом сервисе.

Если компания требует немедленного запрета, предусмотрите завершение сессий и отключение пользователя внутри приложения. Для ухода сотрудника нужен перечень его доступов с ответственными. Одна кнопка блокировки в системе единого входа не заменяет этот порядок.

Не связывайте весь аварийный доступ с системой, которую требуется восстановить. Администратору могут понадобиться сервер, настройки домена, база данных и резервные копии. Он должен получить их и тогда, когда обычный единый вход недоступен.

Если приложение допускает отдельный локальный аварийный аккаунт, ограничьте его использование и периодически проверяйте вход. Зафиксируйте, кто вправе им пользоваться. Единственный сервер системы входа остаётся единственной точкой отказа; для устойчивости нужна отдельная схема работы и восстановления.

В authentik часть функций и поддержки относится к Enterprise. До выбора проверьте именно необходимые компании возможности. Открытый Keycloak также не даёт автоматически договорных сроков реакции службы поддержки: платная поддержка, работа интегратора и облачный сервис оцениваются отдельно.

Выбирайте authentik, если ответственному проще управлять приложениями, группами и шагами входа, а ваши сервисы подключаются нужным способом. Выбирайте Keycloak, если команде понятны его области настроек, клиенты и роли либо компания уже использует такую организацию доступа.

Для обоих продуктов назначьте обслуживание: резервные копии базы, конфигурации и ключей, контроль сертификатов и обновления подключений. После обновления повторите вход, проверку прав, обязательное подтверждение и выход в каждом приложении. Успешная проверка одного сервиса не подтверждает работу остальных.