Nossa visão para abordar as lacunas críticas na autorização de SaaS B2B
Lembra-se de quando construir a autenticação era um trabalho personalizado para cada aplicativo? Há uma década, a autenticação caseira era a norma. Hoje, graças a padrões como OpenID Connect e SAML, e serviços construídos sobre eles, os desenvolvedores raramente constroem a autenticação do zero.
A autorização, no entanto, está ficando para trás. A maioria das empresas ainda depende de sistemas caseiros, geralmente começando com um simples Role-Based Access Control. Embora suficiente inicialmente, essa abordagem rapidamente se torna um gargalo. À medida que os aplicativos são dimensionados e as demandas dos clientes se tornam mais complexas, a lógica de autorização fica profundamente incorporada no código do aplicativo, o que dificulta a inovação e introduz riscos.
Os desafios para soluções de autorização caseiras
Construir e manter uma autorização robusta é realmente difícil. Os desenvolvedores de SaaS B2B enfrentam obstáculos significativos:
- Riscos de segurança: Três das 10 principais vulnerabilidades da OWASP em 2023 estavam relacionadas à autorização, demonstrando que as implementações de autorização caseiras não fornecem segurança adequada.
- Complexidade da colaboração: Os aplicativos SaaS B2B precisam de compartilhamento de recursos refinado, espaços de trabalho em equipe e permissões específicas de recursos. Implementar isso em sistemas caseiros é difícil. Geralmente, requer a escrita de código de aplicativo que recupera dados de várias fontes de dados (provedores de identidade, bancos de dados, serviços), o que degrada o desempenho e adiciona carga adicional a esses sistemas.
- Demandas de controle empresarial: Os clientes esperam que as equipes de TI e seguran\[ç\[a gerenciem as permiss\[õ\[es por meio de ferramentas de governan\[ç\[a de identidade, como o Okta Identity Governance. Integrar sistemas de autoriza\[ç\[\[o desenvolvidos internamente com produtos de governan\[ç\[a de identidade \[é muito dif\[í\[cil, se n\[ã\[o mesmo invi\[á\[vel.
- Lacunas de auditoria e monitoramento: A integração com SIEMs para registro abrangente de solicitações de acesso e alterações de permissão é crucial para a detecção de ameaças e análise forense, mas geralmente é uma reflexão tardia em sistemas personalizados.
- Mantendo a postura de segurança: As empresas precisam de visibilidade contínua de quem tem acesso ao quê, usando ferramentas como o Okta Identity Security Posture Management
- Acesso do agente de IA: À medida que os agentes de IA se tornam cada vez mais integrados, eles devem aderir estritamente às permissões do usuário, exigindo verificações de autorização refinadas e orientadas por API.
- Desempenho em escala: As aplicações SaaS B2B lidam com volumes massivos de verificações de autorização. Os sistemas devem fornecer baixa latência e alta disponibilidade sob pressão.
Abordar esses desafios é essencial para permitir que os usuários acessem com segurança qualquer aplicação SaaS B2B. Começa com a criação de uma camada de autorização de aplicação de nível empresarial — uma que pode se integrar perfeitamente com o ecossistema de identidade e segurança mais amplo.
Autorização Granular do Auth0
A solução da Okta é o Auth0 Fine-Grained Authorization (Auth0 FGA), desenvolvido especificamente para enfrentar esses desafios modernos:
- Reduz o risco de segurança: Fornece um serviço centralizado, flexível e amigável ao desenvolvedor, minimizando a chance de introduzir vulnerabilidades.
- Centraliza as decisões de autorização: Centraliza os dados para verificações de baixa latência para permitir a movimentação da lógica de autorização para fora do código do aplicativo. Isso permite permissões granulares para colaboração e cenários de agente de IA sem perdas de desempenho.
- Acelera a adoção do desenvolvedor: Fornece um painel gerenciado, uma linguagem de definição de modelo que permite que várias equipes colaborem na definição e teste de políticas de autorização, uma API REST, SDKs de código aberto para as principais linguagens, integração com diferentes IDEs como VS Code e JetBrains e uma CLI.
- Permite auditoria e monitoramento abrangentes: Permite visibilidade dos eventos de acesso e alterações de permissão.
- Escala sem esforço: Comprovadamente capaz de lidar com cargas extremas (testado em 1 milhão de RPS e 100 bilhões de relacionamentos) mantendo a velocidade.
Construído em padrões e código aberto
Assim como os padrões impulsionaram a autenticação, tanto para desenvolvedores que criam aplicativos B2B SaaS quanto para profissionais de TI e segurança que gerenciam o acesso a aplicativos B2B SaaS, acreditamos que eles são fundamentais para resolver a autorização. A Okta está totalmente comprometida com uma abordagem aberta:
- Fundação OpenFGA: O Auth0 FGA é construído em OpenFGA, um projeto CNCF Sandbox que está se tornando rapidamente o padrão para autorização nativa da nuvem, adotado por empresas como Canonical, Grafana Labs, Docker e GoDaddy. Isso garante flexibilidade e evita o bloqueio do fornecedor; a migração entre OpenFGA e Auth0 FGA é direta.
- Suporte a OpenID AuthZen: O Auth0 FGA oferecerá suporte ao AuthZen do OpenID, uma API padrão que simplifica a integração de autorização em aplicativos e gateways de API.
- Liderança IPSIE: A Okta está contribuindo ativamente para o grupo de trabalho OpenID para definir o IPSIE, um padrão que permitirá sincronizar dados de autorização entre sistemas de autorização de aplicativos (como Auth0 FGA) e sistemas de governança de identidade (como Okta Identity Governance). O IPSIE visa preencher a lacuna entre a governança de identidade e os sistemas de autorização de aplicativos, definindo padrões compartilhados para gerenciamento de sessão, usuário e direitos — abrindo caminho para uma autorização consistente e sincronizada em toda a pilha.
Investir em autorização amigável para desenvolvedores e pronta para empresas — e fazê-la funcionar perfeitamente com seu ecossistema de identidade mais amplo — é estratégico para a Okta. A Okta precisa resolver a autorização para cumprir a visão de nossa empresa e maximizar o valor de nossa linha de produtos atual. Estamos liderando o caminho para resolver esse desafio para o setor.
Por que a Okta está em uma posição única para resolver a autorização
A autorização é complexa e de missão crítica. Resolvê-la exige profundo conhecimento em domínios de identidade e segurança. A Okta é a única empresa que conhecemos que está investindo significativamente na resolução da autorização para ambos os lados da equação:
- Para desenvolvedores: Auth0 FGA fornece uma solução flexível, rápida, escalável e preparada para o futuro, construída em código aberto e padrões abertos.
- Para equipes de TI e Segurança: Okta Identity Governance, Okta Privileged Access Management e Okta Identity Security Posture Management permitem visibilidade centralizada, auditoria e governança de acesso para todas as identidades em aplicações SaaS B2B, permitindo o acesso com o mínimo de privilégios e impulsionando melhores resultados de segurança.
Entendemos que externalizar a autorização é uma decisão estratégica com implicações de longo prazo. Depois de fazer uma escolha, trocar de solução é caro e complexo. É por isso que escolher o parceiro certo a longo prazo desde o início é crucial.
A Okta está totalmente investida em resolver a autorização a longo prazo. Nosso compromisso minimiza o lock-in por meio de um suporte robusto para código aberto e padrões, permitindo o sucesso para desenvolvedores, profissionais de TI e segurança. Essa abordagem abrangente torna a Okta o parceiro ideal para resolver seus desafios de autorização.
Junte-se a nós. Desenvolva com Auth0 FGA. Ajude-nos a moldar o futuro da autorização — juntos.
