Nuestra visión para abordar las brechas críticas en la autorización de SaaS B2B
¿Recuerdas cuando crear la autenticación era un trabajo personalizado para cada aplicación? Hace una década, la autenticación de desarrollo propio era la norma. Hoy en día, gracias a estándares como OpenID Connect y SAML, y a los servicios construidos sobre ellos, los desarrolladores rara vez crean la autenticación desde cero.
Sin embargo, la autorización se está quedando atrás. La mayoría de las empresas aún confían en sistemas de desarrollo propio, que a menudo comienzan con un simple Control de Acceso Basado en Roles (RBAC). Si bien es suficiente inicialmente, este enfoque rápidamente se convierte en un cuello de botella. A medida que las aplicaciones se escalan y las demandas de los clientes se vuelven más complejas, la lógica de autorización se integra profundamente en el código de la aplicación, lo que dificulta la innovación e introduce riesgos.
Los desafíos de las soluciones de autorización internas
Construir y mantener una autorización robusta es realmente difícil. Los desarrolladores de SaaS B2B enfrentan obstáculos importantes:
- Riesgos de seguridad: Tres de las 10 vulnerabilidades principales de OWASP en 2023 estaban relacionadas con la autorización, lo que demuestra que las implementaciones de autorización de cosecha propia no proporcionan la seguridad adecuada.
- Complejidad de la colaboración: Las aplicaciones SaaS B2B necesitan compartir recursos de manera granular, espacios de trabajo en equipo y permisos específicos de recursos. Implementar esto en sistemas de desarrollo propio es difícil. Por lo general, requiere escribir código de aplicación que recupera datos de múltiples fuentes de datos (proveedores de identidad, bases de datos, servicios), lo que degrada el rendimiento y agrega carga adicional a esos sistemas.
- Demandas de control empresarial: Los clientes esperan que los equipos de TI y seguridad administren los permisos a través de herramientas de gobernanza de identidades como Okta Identity Governance. Integrar sistemas de autorización de desarrollo propio con productos de gobernanza de identidades es muy difícil, si es que es factible.
- Brechas de auditoría y monitoreo: La integración con SIEM para un registro exhaustivo de las solicitudes de acceso y los cambios de permisos es crucial para la detección de amenazas y el análisis forense, pero a menudo es una idea de último momento en los sistemas personalizados.
- Mantenimiento de la postura de seguridad: Las empresas necesitan visibilidad continua de quién tiene acceso a qué, utilizando herramientas como Okta Identity Security Posture Management.
- Acceso de agentes de IA: A medida que los agentes de IA se integran cada vez más, deben adherirse estrictamente a los permisos de usuario, lo que exige comprobaciones de autorización granulares basadas en API.
- Rendimiento a escala: Las aplicaciones SaaS B2B manejan volúmenes masivos de comprobaciones de autorización. Los sistemas deben ofrecer baja latencia y alta disponibilidad bajo presión.
Abordar estos desafíos es esencial para permitir a los usuarios acceder de forma segura a cualquier aplicación SaaS B2B. Comienza con la construcción de una capa de autorización de aplicaciones de nivel empresarial, una que pueda integrarse perfectamente con el ecosistema más amplio de identidad y seguridad.
Auth0 Fine-Grained Authorization
La solución de Okta es Auth0 Fine-Grained Authorization (Auth0 FGA), creada específicamente para abordar estos desafíos modernos:
- Reduce el riesgo de seguridad: Proporciona un servicio centralizado, flexible y fácil de usar para los desarrolladores, lo que minimiza la posibilidad de introducir vulnerabilidades.
- Centraliza las decisiones de autorización: Centraliza los datos para comprobaciones de baja latencia para permitir el movimiento de la lógica de autorización fuera del código de la aplicación. Esto permite permisos granulares para la colaboración y los escenarios de agentes de IA sin afectar el rendimiento.
- Acelera la adopción por parte de los desarrolladores: Proporciona un Panel administrado, un lenguaje de definición de modelos que permite a varios equipos colaborar en la definición y prueba de políticas de autorización, una API REST, SDK de código abierto para los principales lenguajes, integración con diferentes IDE como VS Code y JetBrains, y una CLI.
- Permite una auditoría y un monitoreo integrales: Permite la visibilidad de los eventos de acceso y los cambios de permisos.
- Escala sin esfuerzo: Demostrado que maneja cargas extremas (probado a 1 millón de RPS y 100 mil millones de relaciones) manteniendo la velocidad.
Construido sobre estándares y código abierto
Así como los estándares impulsaron la autenticación, tanto para los desarrolladores que crean aplicaciones B2B SaaS como para los profesionales de TI y seguridad que administran el acceso a aplicaciones B2B SaaS, creemos que son clave para resolver la autorización. Okta está totalmente comprometido con un enfoque abierto:
- OpenFGA Foundation: Auth0 FGA se basa en OpenFGA, un proyecto de CNCF Sandbox que se está convirtiendo rápidamente en el estándar para la autorización nativa de la nube, adoptado por empresas como Canonical, Grafana Labs, Docker y GoDaddy. Esto garantiza la flexibilidad y evita el bloqueo del proveedor; la migración entre OpenFGA y Auth0 FGA es sencilla.
- Soporte de OpenID AuthZen: Auth0 FGA será compatible con AuthZen de OpenID, una API estándar que simplifica la integración de la autorización en aplicaciones y puertas de enlace de API.
- Liderazgo en IPSIE: Okta está contribuyendo activamente al grupo de trabajo de OpenID para definir IPSIE, un estándar que permitirá sincronizar los datos de autorización entre los sistemas de autorización de aplicaciones (como Auth0 FGA) y los sistemas de gobernanza de identidades (como Okta Identity Governance). IPSIE tiene como objetivo cerrar la brecha entre la gobernanza de identidades y los sistemas de autorización de aplicaciones mediante la definición de estándares compartidos para la gestión de sesiones, usuarios y derechos, allanando el camino para una autorización consistente y sincronizada en toda la pila.
Invertir en una autorización amigable para los desarrolladores y lista para la empresa, y hacer que funcione a la perfección con su ecosistema de identidad más amplio, es estratégico para Okta. Okta necesita resolver la autorización para cumplir con la visión de nuestra empresa y maximizar el valor de nuestra línea de productos actual. Estamos liderando el camino para resolver este desafío para la industria.
Por qué Okta está en una posición única para resolver la autorización
La autorización es compleja y de misión crítica. Resolverlo exige una profunda experiencia en los dominios de identidad y seguridad. Okta es la única empresa de la que tenemos conocimiento que está invirtiendo significativamente en resolver la autorización para ambos lados de la ecuación:
- Para desarrolladores: Auth0 FGA proporciona una solución flexible, rápida, escalable y preparada para el futuro, construida sobre código abierto y estándares abiertos.
- Para los equipos de TI y seguridad: Okta Identity Governance, Okta Privileged Access Management y Okta Identity Security Posture Management permiten la visibilidad centralizada, la auditoría y la gobernanza del acceso para todas las identidades en las aplicaciones SaaS B2B, lo que permite el acceso con privilegios mínimos e impulsa mejores resultados de seguridad.
Entendemos que externalizar la autorización es una decisión estratégica con implicaciones a largo plazo. Una vez que toma una decisión, cambiar de solución es costoso y complejo. Es por eso que elegir el socio adecuado a largo plazo desde el principio es crucial.
Okta está totalmente comprometido a resolver la autorización a largo plazo. Nuestro compromiso minimiza la dependencia a través de un sólido soporte para el código abierto y los estándares, lo que permite el éxito de los desarrolladores, los profesionales de TI y los profesionales de la seguridad. Este enfoque integral hace de Okta el socio ideal para resolver sus desafíos de autorización.
Únase a nosotros. Construya con Auth0 FGA. Ayúdenos a dar forma al futuro de la autorización, juntos.
