Unsere Vision zur Schließung der kritischen Lücken bei der B2B-SaaS-Autorisierung
Erinnern Sie sich, als das Erstellen einer Authentifizierung für jede App eine individuelle Aufgabe war? Vor einem Jahrzehnt war die selbst entwickelte Authentifizierung die Norm. Dank Standards wie OpenID Connect und SAML sowie darauf aufbauenden Diensten entwickeln Entwickler heutzutage nur noch selten Auth von Grund auf neu.
Die Autorisierung hinkt jedoch hinterher. Die meisten Unternehmen verlassen sich immer noch auf selbst entwickelte Systeme, die oft mit einer einfachen rollenbasierten Zugriffskontrolle (Role-Based Access Control) beginnen. Obwohl dies anfänglich ausreicht, wird dieser Ansatz schnell zu einem Engpass. Da Anwendungen skaliert werden und die Kundenanforderungen komplexer werden, wird die Autorisierungslogik tief in den Anwendungscode eingebettet, was die Innovation behindert und Risiken birgt.
Die Herausforderungen für selbst entwickelte Autorisierungslösungen
Der Aufbau und die Aufrechterhaltung einer robusten Autorisierung ist wirklich schwierig. B2B-SaaS-Entwickler stehen vor erheblichen Hürden:
- Sicherheitsrisiken: Drei der OWASP Top-10-Schwachstellen im Jahr 2023 bezogen sich auf die Autorisierung, was zeigt, dass selbst entwickelte Autorisierungsimplementierungen keine ausreichende Sicherheit bieten.
- Komplexität der Zusammenarbeit: B2B-SaaS-Apps benötigen eine feingranulare gemeinsame Nutzung von Ressourcen, Team-Workspaces und ressourcenspezifische Berechtigungen. Die Implementierung dieser in selbst entwickelten Systemen ist schwierig. In der Regel ist das Schreiben von Anwendungscode erforderlich, der Daten aus mehreren Datenquellen (Identitätsanbietern, Datenbanken, Diensten) abruft, was die Leistung beeinträchtigt und diese Systeme zusätzlich belastet.
- Enterprise-Kontrolle ist gefragt: Kunden erwarten von IT- und Sicherheitsteams, dass sie Berechtigungen über Identity-Governance-Tools wie Okta Identity Governance verwalten. Die Integration von selbst entwickelten Autorisierungssystemen in Identity-Governance-Produkte ist sehr schwierig, wenn überhaupt machbar.
- Audit- und Überwachungslücken: Die Integration mit SIEMs für eine umfassende Protokollierung von Zugriffsanfragen und Berechtigungsänderungen ist entscheidend für die Erkennung von Bedrohungen und forensische Analysen, wird aber in kundenspezifischen Systemen oft erst nachträglich berücksichtigt.
- Aufrechterhaltung der Sicherheitslage: Unternehmen benötigen einen kontinuierlichen Überblick darüber, wer Zugriff auf was hat, und verwenden dazu Tools wie Okta Identity Security Posture Management.
- Zugriff von KI-Agenten: Da KI-Agenten zunehmend integriert werden, müssen sie sich strikt an die Benutzerberechtigungen halten, was feingranulare, API-gesteuerte Autorisierungsprüfungen erfordert.
- Leistung in der Breite: B2B-SaaS-Anwendungen verarbeiten riesige Mengen an Autorisierungsprüfungen. Die Systeme müssen unter Druck geringe Latenzzeiten und hohe Verfügbarkeit bieten.
Die Bewältigung dieser Herausforderungen ist entscheidend, um Benutzern den sicheren Zugriff auf jede B2B-SaaS-Anwendung zu ermöglichen. Es beginnt mit dem Aufbau einer Autorisierungsschicht für Anwendungen auf Enterprise-Niveau, die sich nahtlos in das breitere Identitäts- und Sicherheits-Ökosystem integrieren lässt.
Auth0 Fine-Grained Authorization
Die Lösung von Okta ist Auth0 Fine-Grained Authorization (Auth0 FGA), die speziell für die Bewältigung dieser modernen Herausforderungen entwickelt wurde:
- Reduziert das Sicherheitsrisiko: Bietet einen zentralisierten, flexiblen und entwicklerfreundlichen Service, der die Wahrscheinlichkeit der Einführung von Schwachstellen minimiert.
- Zentralisiert Autorisierungsentscheidungen: Durch die Zentralisierung von Daten für latenzarme Prüfungen kann die Autorisierungslogik aus dem Anwendungscode ausgelagert werden. Dies ermöglicht differenzierte Berechtigungen für Kollaborations- und KI-Agentenszenarien ohne Leistungseinbußen.
- Beschleunigt die Akzeptanz durch Entwickler: Bietet ein verwaltetes Dashboard, eine Modelldefinitionssprache, die es mehreren Teams ermöglicht, gemeinsam Autorisierungsrichtlinien zu definieren und zu testen, eine REST-API, Open-Source-SDKs für wichtige Sprachen, Integration mit verschiedenen IDEs wie VS Code und JetBrains sowie eine CLI.
- Ermöglicht umfassende Audits und Überwachung: Ermöglicht die Einsicht in Zugriffsereignisse und Berechtigungsänderungen.
- Mühelose Skalierung: Erprobt zur Bewältigung extremer Lasten (getestet mit 1 Mio. RPS und 100 Milliarden Beziehungen) bei gleichzeitiger Aufrechterhaltung der Geschwindigkeit.
Basiert auf Standards und Open Source
So wie Standards die Authentifizierung vorangetrieben haben, sind sie unserer Ansicht nach der Schlüssel zur Lösung des Autorisierungsproblems – sowohl für Entwickler, die B2B-SaaS-Anwendungen erstellen, als auch für IT- und Sicherheitsexperten, die den Zugriff auf B2B-SaaS-Anwendungen verwalten. Okta bekennt sich uneingeschränkt zu einem offenen Ansatz:
- OpenFGA Foundation: Auth0 FGA basiert auf OpenFGA, einem CNCF-Sandbox-Projekt, das sich schnell zum Standard für Cloud-Native Authorization entwickelt und von Unternehmen wie Canonical, Grafana Labs, Docker und GoDaddy übernommen wurde. Dies gewährleistet Flexibilität und vermeidet Vendor-Lock-in; die Migration zwischen OpenFGA und Auth0 FGA ist unkompliziert.
- OpenID AuthZen support: Auth0 FGA wird OpenID's AuthZen unterstützen, eine Standard-API, die die Autorisierungsintegration in Apps und API-Gateways vereinfacht.
- IPSIE-Führung: Okta leistet einen aktiven Beitrag zur OpenID Arbeitsgruppe zur Definition von IPSIE, einem Standard, der die Synchronisierung von Autorisierungsdaten zwischen Anwendungsautorisierungssystemen (wie Auth0 FGA) und Identity-Governance-Systemen (wie Okta Identity Governance) ermöglichen wird. IPSIE zielt darauf ab, die Lücke zwischen Identity Governance und Anwendungsautorisierungssystemen zu schließen, indem gemeinsame Standards für Sitzungs-, Benutzer- und Berechtigungsmanagement definiert werden – und ebnet so den Weg für eine konsistente, synchronisierte Autorisierung über den gesamten Stack hinweg.
Investitionen in entwicklerfreundliche und unternehmensgerechte Autorisierungslösungen – und deren nahtlose Integration in Ihr bestehendes Identitätsökosystem – sind für Okta von strategischer Bedeutung. Okta muss die Autorisierungsproblematik lösen, um unsere Unternehmensvision zu verwirklichen und den Wert unserer aktuellen Produktpalette zu maximieren. Wir sind Vorreiter bei der Bewältigung dieser Herausforderung für die Branche.
Warum Okta einzigartig positioniert ist, um die Autorisierung zu lösen
Autorisierung ist komplex und unternehmenskritisch. Um dies zu lösen, ist fundiertes Fachwissen in den Bereichen Identität und Sicherheit erforderlich. Okta ist das einzige Unternehmen,das wir kennen, das erheblich in die Lösung der Autorisierung für beide Seiten der Gleichung investiert:
- Für Entwickler: Auth0 FGA bietet eine flexible, schnelle, skalierbare und zukunftssichere Lösung, die auf Open Source und offenen Standards basiert.
- Für IT- und Sicherheitsteams: Okta Identity Governance, Okta Privileged Access Management und Okta Identity Security Posture Management ermöglichen eine zentrale Übersicht, Überwachung und Steuerung des Zugriffs für alle Identitäten über B2B-SaaS-Anwendungen hinweg, wodurch der Zugriff mit den geringsten Berechtigungen ermöglicht und bessere Sicherheitsergebnisse erzielt werden.
Wir verstehen, dass die Externalisierung der Autorisierung eine strategische Entscheidung mit langfristigen Auswirkungen ist. Sobald Sie eine Wahl getroffen haben, ist der Wechsel der Lösung kostspielig und komplex. Deshalb ist es entscheidend, von Anfang an den richtigen langfristigen Partner zu wählen.
Okta investiert voll und ganz in die langfristige Lösung der Autorisierung. Unser Engagement minimiert den Lock-in durch robuste Unterstützung von Open Source und Standards und ermöglicht den Erfolg für Entwickler, IT- und Sicherheitsexperten. Dieser umfassende Ansatz macht Okta zum idealen Partner, um Ihre Autorisierungsherausforderungen zu lösen.
Mach mit. Bau mit uns. Auth0 FGA. Gestalten Sie mit uns die Zukunft der Autorisierung.
