Beste Europese alternatieven voor Okta

Waarom mensen Okta verlaten

Okta wordt gekocht door een IT-afdeling, niet door een developer, en dat bepaalt elke klacht erover. Het is de directory waarin medewerkers inloggen, de plek waar nieuwe en vertrekkende medewerkers worden verwerkt, en het systeem dat vóór de veertig SaaS-producten zit waarvoor het bedrijf al betaalt. Als het werkt, merkt niemand er iets van, en daarom gaan de bezwaren bijna nooit over functies.

Het eerste bezwaar is de licentie. Abonnementen worden jaarlijks gefactureerd met een minimaal jaarcontract van $1,500, te beginnen bij $6 per gebruiker per maand voor single sign-on, multi-factor en de directory. Het niveau met adaptive MFA, lifecyclemanagement, geprivilegieerde toegang en governance kost $17 per gebruiker per maand. Een bedrijf van zestig medewerkers dat adaptive MFA wil, is dus voor ongeveer twaalfduizend dollar per jaar vooraf vastgelegd, voor een jaar.

Het tweede bezwaar is lastiger in een prijs uit te drukken. Op 20 oktober 2023 meldde Okta dat iemand toegang had gekregen tot zijn systeem voor supportcases en bestanden had ingezien die klanten bij supportcases hadden geüpload: HAR-bestanden, die sessiecookies en tokens kunnen bevatten.

Okta’s eigen verslag is duidelijk dat dit systeem los staat van de productieservice en dat de productie niet is getroffen, en dat is belangrijk: de les is niet onachtzaamheid. Het is dat wanneer identiteit een abonnement is, de helpdesk van de leverancier deel uitmaakt van je aanvalsoppervlak, en wat je in je eigen tenant instelt, verandert daar niets aan.

• De beveiligingsfuncties zitten in het dure niveau Single sign-on, multi-factor en de universal directory beginnen bij $6 per gebruiker per maand. Adaptive multi-factor, lifecyclemanagement, geprivilegieerde toegang en toegangsgovernance beginnen bij $17. Het verschil bestaat precies uit de controles waar een securityteam om vraagt na de eerste audit, dus de upgrade is in de praktijk niet optioneel, en de rekening loopt bijna drie keer zo hoog voor hetzelfde aantal medewerkers dat hetzelfde werk doet.
• Je legt je vast voor een jaar voordat je begint Elke suite wordt jaarlijks gefactureerd, met een minimaal jaarcontract van $1,500 voor Workforce Identity. Dat is een ondergrens en geen fortuin, en het sluit toch de manier uit waarop de meeste technische beslissingen nu worden genomen: een maand draaien, kijken of het team het overneemt, en opzeggen als dat niet zo is. Een open-source identity server kan op donderdag worden opgezet en op vrijdag weer worden weggegooid.
• De supportdesk van je leverancier valt binnen de scope In oktober 2023 waren de bestanden die klanten aan supporttickets hadden gehecht leesbaar voor een indringer, en HAR-opnames bevatten routinematig actief sessiemateriaal. Okta heeft de ingesloten sessietokens ingetrokken en gesteld dat de productieservice apart stond en onaangetast was. Neem dat op zijn waarde aan, en het structurele punt blijft staan: uitbesteden van identiteit betekent dat een tweede organisatie gegevens over je logins bewaart, en het ticketsysteem daarvan maakt nu deel uit van je dreigingsmodel.
• De jurisdictie van het bedrijf verandert niet Okta, Inc. is gevestigd aan 100 First Street in San Francisco en is gecertificeerd onder het EU-VS Data Privacy Framework, de UK Extension en het Zwitsers-VS-kader ernaast. Er is een Europese cel, dus Europese opslag is echt en beschikbaar. Juridische reikwijdte volgt de plaats van oprichting en niet de hosting, daarom belandt een bedrijf met een Europese vestigingseis op een pagina als deze, ongeacht in welke cel de org draait.

Wat je moet vervangen, niet alleen evenaren

Okta doet vier verschillende taken en de alternatieven hier dekken ze ongelijk af, dus de eerste stap is bepalen welke van de vier je eigenlijk betaalt.

Eén is de medewerkersdirectory en de federatie daarin, meestal Active Directory of Entra ID, wat alles op deze pagina kan. Twee is single sign-on naar SaaS-applicaties van derden, wat bijna volledig afhangt van hoeveel van die applicaties SAML of OIDC spreken. Drie is lifecyclemanagement: accounts die worden aangemaakt wanneer iemand wordt aangenomen en verwijderd wanneer die vertrekt, naar buiten doorgezet naar die SaaS-producten. Vier is governance: toegangsreviews, campagnes voor certificering en geprivilegieerde sessies.

Het eerlijke beeld is dat taken één en twee goed gedekt worden door open-source identity servers, taak drie wordt dun gedekt en eerder via extensies dan standaard, en taak vier wordt nauwelijks gedekt. Als je Okta-abonnement bestaat omdat een auditor kwartaalsgewijze certificering van toegang vraagt, vervangt geen enkele tool op deze pagina dat, en dat moet je intern zeggen voordat je begint.

De alternatieven vergeleken

Hoe elk alternatief zich verhoudt tot Okta

Wat er echt stukgaat als je overstapt

Tweede factoren zijn de zichtbare kosten en ze vallen op iedereen op dezelfde dag. Push-goedkeuringen, authenticatorgeheimen en geregistreerde beveiligingssleutels blijven bij de identity provider die ze heeft uitgegeven, dus elke medewerker registreert zich opnieuw op het nieuwe systeem.

Draai de twee providers twee weken naast elkaar, registreer mensen zodra ze binnenkomen en houd de oude tenant in leven tot de laatste medewerkers zijn overgezet. Een harde overstap in één keer geeft een wachtrij bij de servicedesk die niemand vergeet.

De stillere fout zit in provisioning. Als accounts nu in verbonden applicaties worden aangemaakt wanneer iemand wordt aangenomen en worden uitgeschakeld wanneer die vertrekt, komt dat mechanisme niet mee, en dat blijkt pas als een vertrekkende medewerker drie weken later nog een mailbox heeft. Schrijf elk systeem op dat nu automatisch wordt geprovisioned en beslis per systeem of het een script wordt, een aparte provisioningtool of een handmatige stap op een checklist.

Dan is er het auditprogramma. Toegangsreviews, certificeringscampagnes en de rapporten die daaruit komen, zijn meestal gebouwd rond wat de zittende leverancier exporteert, en geen van de tools hier levert die. Praat met degene die die reviews goedkeurt vóór de verlengingsdatum van het contract en niet erna, want het antwoord kan zijn dat je een governanceproduct houdt en alleen de login vervangt.

Verlaagt zelf hosten echt het risico, of verplaatst het het alleen?

Het verplaatst het, en de richting is het hele argument. Een eigen identity server haalt een externe organisatie weg die materiaal over je logins bewaart, supporttickets over je configuratie bijhoudt en een helpdesk heeft die kan worden aangevallen in plaats van jou. Het incident uit 2023 is het duidelijkste voorbeeld: de productieservice was in orde en het supportsysteem was de ingang.

Wat je er in de plaats voor krijgt, is patchen. Een identity server die aan het internet blootstaat en op een oude release blijft, is een slechtere uitkomst dan elke beheerde dienst, en de fout blijft onopgemerkt. Okta past op dinsdag patches toe, of je team nu druk is of niet.

De beslissing rust daarom op één vraag die niets met software te maken heeft: is er een benoemde persoon wiens taak dit systeem omvat, met een plaatsvervanger? Als het antwoord nee is, dan koopt het abonnement iets dat echt waarde heeft.

Behoud ik single sign-on naar al onze SaaS-tools?

Grotendeels, met twee kanttekeningen die het waard zijn om te controleren voordat je iets tekent. De eerste is protocolondersteuning: elke applicatie die SAML 2.0 of OpenID Connect aanbiedt, werkt met Keycloak, Authentik of Zitadel zonder speciale behandeling, wat vandaag het grootste deel van de bedrijfssoftware dekt.

De tweede is de catalogus. Okta levert duizenden vooraf gebouwde applicatie-integraties, dus het koppelen van een bepaald product is vaak een zoekbalk en twee velden in plaats van de documentatie lezen en claims met de hand in kaart brengen. Met een open-source server doe je die mapping zelf. Het kost een uur per applicatie en is geen blokkade, maar vermenigvuldig dat met het aantal applicaties voordat je het project inschat.

De applicaties die echt weerstand bieden, zijn die zonder federatie. Daar verdient de proxy van Authentik zijn plek, want die zet een login voor iets dat er nooit een had.

Hoe zit het met nieuwe medewerkers, verhuizingen en vertrekkers?

Hier wordt de vergelijking ongemakkelijk. Okta’s lifecyclemanagement zet accountcreatie, attribuutupdates en deactivering door naar verbonden applicaties, en dat is een groot deel van de reden waarom organisaties met echte HR-wisselingen blijven.

Keycloak en Authentik zijn allebei sterk in het inkomende deel: lezen uit LDAP of Active Directory en de bestaande directory leidend houden. Ze verschillen in het uitgaande deel. Authentik spreekt SCIM, dus accounts doorzetten naar een applicatie die ook SCIM spreekt, is configuratie. Keycloak heeft standaard geen equivalent, dus uitgaande provisioning is extensiewerk of een aparte provisioningtool, en geen van beide haalt de breedte van de connectors die Okta als lifecyclemanagement verkoopt.

Als iemand die het bedrijf verlaat nu automatisch de toegang tot dertig systemen verliest, schrijf dan op wat dat mechanisme vervangt voordat je opzegt, want de dag dat dit stilletjes stopt, is de dag dat een oud-medewerker nog een mailbox heeft.

Is de Europese cel genoeg voor ons complianceteam?

Dat hangt af van de eis die je beantwoordt, en die twee worden in dezelfde vergadering vaak door elkaar gehaald. Als de eis is dat gegevens van medewerkers in Europa worden verwerkt, beantwoordt de EMEA-cel die, en de org-URL op okta-emea.com is het bewijs.

Als de eis is dat geen bedrijf buiten de Unie kan worden gedwongen die gegevens over te leggen, beantwoordt de cel die niet. Okta, Inc. is gevestigd in San Francisco en vertrouwt voor doorgiften op het EU-VS Data Privacy Framework, dus de verplichting hangt aan het bedrijf en niet aan het datacenter.

Een nuttige toets: vraag of de regel door inkoop of door risicomanagement is opgesteld. Inkoopregels over locatie worden door de cel gehaald. Risicoanalyses over buitenlandse dwang niet, en geen enkele configuratie-instelling verandert dat.

Welke kies je

Als je een echte directory hebt en een gemengde applicatieomgeving, is Keycloak de vervanging die is gebouwd voor jouw soort organisatie, en de besparing is het verschil tussen een suite per medewerker en een server.

Als een aanzienlijk deel van wat Okta voor je doet, is het plaatsen van een login voor interne software die er geen heeft, dan doet Authentik die specifieke taak beter dan al het andere hier, en het schrapt de SSO-toeslag van de leverancier op alles wat je zelf host.

Als de conclusie is dat niemand in het gebouw de identity server moet draaien, dan houdt Zitadel de beheerde relatie en verplaatst de leverancier naar Sankt Gallen. Dat is een kleinere verandering dan het klinkt, en het beantwoordt de jurisdictievraag eerlijk.

En als je verplichting kwartaalsgewijze certificering van toegang is, vervangt niets hiervan Okta. Verplaats de authenticatie als je wilt, houd een governanceproduct, en wees duidelijk tegenover je auditor dat je één abonnement in twee dingen hebt gesplitst in plaats van het te schrappen.