Notre vision pour combler les lacunes critiques en matière d'autorisation SaaS B2B
Vous souvenez-vous de l’époque où la création d’une authentification était une tâche personnalisée pour chaque application ? Il y a dix ans, l’authentification personnalisée était la norme. Aujourd’hui, grâce aux normes telles qu’OpenID Connect et SAML, et aux services basés sur ces normes, les développeurs créent rarement l’authentification de toutes pièces.
L’autorisation, cependant, est à la traîne. La plupart des entreprises s’appuient encore sur des systèmes développés en interne, souvent en commençant par un simple contrôle d’accès basé sur les rôles. Bien que suffisant au départ, cette approche devient rapidement un goulot d’étranglement. À mesure que les applications évoluent et que les demandes des clients deviennent plus complexes, la logique d’autorisation s’intègre profondément dans le code de l’application, ce qui entrave l’innovation et introduit des risques.
Les défis des solutions d'autorisation faites maison
Construire et maintenir une autorisation robuste est vraiment difficile. Les développeurs SaaS B2B sont confrontés à des obstacles importants :
- Risques de sécurité: Trois des 10 principales vulnérabilités d'OWASP en 2023 étaient liées à l'autorisation, ce qui démontre que les implémentations d'autorisation maison n'offrent pas une sécurité adéquate.
- Complexité de la collaboration: Les applications SaaS B2B nécessitent un partage granulaire des ressources, des espaces de travail d'équipe et des permissions spécifiques aux ressources. La mise en œuvre de ces éléments dans des systèmes développés en interne est difficile. Cela nécessite généralement l'écriture de code applicatif qui récupère des données à partir de multiples sources de données (fournisseurs d'identité, bases de données, services), ce qui dégrade les performances et ajoute une charge supplémentaire à ces systèmes.
- Exigences de contrôle d'entreprise: Les clients attendent des équipes informatiques et de sécurité qu'elles gèrent les autorisations via des outils de gouvernance des identités tels que Okta Identity Governance. L'intégration de systèmes d'autorisation développés en interne avec des produits de gouvernance des identités est très difficile, voire impossible.
- Lacunes en matière d’audit et de surveillance: l’intégration aux SIEM pour une journalisation complète des demandes d’accès et des modifications d’autorisation est essentielle pour la détection des menaces et l’analyse forensique, mais elle est souvent une réflexion après coup dans les systèmes personnalisés.
- Maintien de la posture de sécurité: Les entreprises ont besoin d'une visibilité continue sur qui a accès à quoi, en utilisant des outils comme Okta Identity Security Posture Management
- Accès des agents d'IA: À mesure que les agents d'IA sont de plus en plus intégrés, ils doivent strictement respecter les permissions des utilisateurs, ce qui exige des contrôles d'autorisation précis, basés sur l'API.
- Performance à l'échelle: les applications SaaS B2B gèrent des volumes massifs de vérifications d'autorisation. Les systèmes doivent offrir une faible latence et une haute disponibilité sous pression.
Il est essentiel de relever ces défis pour permettre aux utilisateurs d'accéder en toute sécurité à n'importe quelle application SaaS B2B. Cela commence par la construction d'une couche d'autorisation d'application de niveau entreprise, qui peut s'intégrer de manière transparente à l'écosystème d'identité et de sécurité plus large.
Auth0 Fine-Grained Authorization
La solution d'Okta est Auth0 Fine-Grained Authorization (Auth0 FGA), spécialement conçue pour relever ces défis modernes :
- Réduit le risque de sécurité: fournit un service centralisé, flexible et convivial pour les développeurs, minimisant ainsi le risque d'introduction de vulnérabilités.
- Centralise les décisions d’autorisation: Centralise les données pour les vérifications à faible latence afin de permettre le déplacement de la logique d’autorisation hors du code d’application. Cela permet d’obtenir des autorisations granulaires pour la collaboration et les scénarios d’agent d’IA sans perte de performance.
- Accélère l’adoption par les développeurs : Fournit un tableau de bord géré, un langage de définition de modèle qui permet à plusieurs équipes de collaborer à la définition et au test des politiques d’autorisation, une API REST, des kits de développement logiciel (SDK) open source pour les principaux langages, une intégration avec différents IDE comme VS Code et JetBrains, et une interface de ligne de commande (CLI).
- Permet un audit et une surveillance complets : Permet la visibilité des événements d'accès et des modifications d'autorisations.
- S’adapte sans effort : Éprouvé pour gérer des charges extrêmes (testé à 1 million de requêtes par seconde et 100 milliards de relations) tout en maintenant la vitesse.
Basé sur des standards et l'open source
Tout comme les normes ont fait progresser l'authentification, tant pour les développeurs qui créent des applications SaaS B2B que pour les professionnels de l'informatique et de la sécurité qui gèrent l'accès aux applications SaaS B2B, nous pensons qu'elles sont essentielles pour résoudre les problèmes d'autorisation. Okta s'engage pleinement en faveur d'une approche ouverte :
- OpenFGA Foundation : Auth0 FGA est basé sur OpenFGA, un projet de bac à sable CNCF qui devient rapidement la norme pour l’autorisation native du cloud, adopté par des entreprises telles que Canonical, Grafana Labs, Docker et GoDaddy. Cela garantit la flexibilité et évite l’enfermement propriétaire ; la migration entre OpenFGA et Auth0 FGA est simple.
- Prise en charge d'OpenID AuthZen: Auth0 FGA prendra en charge AuthZen d'OpenID, une API standard simplifiant l'intégration de l'autorisation dans les applications et les passerelles API.
- Direction IPSIE: Okta contribue activement au groupe de travail OpenID pour la définition d'IPSIE, une norme qui permettra de synchroniser les données d'autorisation entre les systèmes d'autorisation d'application (comme Auth0 FGA) et les systèmes de gouvernance des identités (comme Okta Identity Governance). IPSIE vise à combler le fossé entre la gouvernance des identités et les systèmes d'autorisation d'application en définissant des normes partagées pour la gestion des sessions, des utilisateurs et des droits d'accès, ouvrant ainsi la voie à une autorisation cohérente et synchronisée dans l'ensemble de la pile.
Investir dans une autorisation conviviale pour les développeurs et adaptée aux entreprises, et la faire fonctionner de manière transparente avec votre écosystème d'identité plus large, est stratégique pour Okta. Okta doit résoudre l'autorisation pour réaliser la vision de notre entreprise et maximiser la valeur de notre gamme de produits actuelle. Nous ouvrons la voie à la résolution de ce défi pour l'industrie.
Pourquoi Okta est idéalement positionné pour résoudre l'autorisation
L'autorisation est complexe et essentielle. Sa résolution exige une expertise approfondie dans les domaines de l'identité et de la sécurité. Okta est la seule entreprise dont nous ayons connaissance qui investit de manière significative dans la résolution de l'autorisation pour les deux côtés de l'équation :
- Pour les développeurs: Auth0 FGA fournit une solution flexible, rapide, évolutive et pérenne, basée sur l'open source et les normes ouvertes.
- Pour les équipes informatiques et de sécurité: Okta Identity Governance, Okta Privileged Access Management et Okta Identity Security Posture Management permettent une visibilité, un audit et une gouvernance centralisés de l'accès pour toutes les identités dans les applications SaaS B2B, permettant un accès avec le moindre privilège et générant de meilleurs résultats en matière de sécurité.
Nous comprenons que l'externalisation de l'autorisation est une décision stratégique ayant des implications à long terme. Une fois que vous avez fait un choix, changer de solution est coûteux et complexe. C'est pourquoi il est essentiel de choisir le bon partenaire à long terme dès le départ.
Okta est pleinement investi dans la résolution de l’autorisation à long terme. Notre engagement minimise l’enfermement propriétaire grâce à une prise en charge robuste de l’open source et des normes, ce qui permet aux développeurs, à l’équipe IT et aux professionnels de la sécurité de réussir. Cette approche globale fait d’Okta le partenaire idéal pour résoudre vos problèmes d’autorisation.
Rejoignez-nous. Créez avec Auth0 FGA. Aidez-nous à façonner l'avenir de l'autorisation, ensemble.
