Внешние поставщики идентификации — это когда ты добровольно отдаёшь логины и пароли чуж...
Внешние поставщики идентификации — это когда ты добровольно отдаёшь логины и пароли чужому дяде и говоришь: «Ты теперь главный, только, пожалуйста, не падай в пятницу вечером». Сначала все в восторге: — Мы больше не храним пароли! — У нас SSO, OAuth, OpenID, всё как у взрослых! Звучит как безопасность, а на деле — просто перенесли точку боли в другое место. Теперь, если у внешнего IdP «плановое обновление» или «неплановый апокалипсис», вся ваша прекрасная экосистема превращается в музей: посмотреть можно, потрогать нельзя. Любимая фраза архитекторов: — Мы используем единого поставщика идентификации, это уменьшает сложность. Перевод: — Мы так изящно завязались на одного вендора, что теперь это уже не вендор, а новый вид природного ресурса. Если он решит повысить цену или сменить политику, мы просто будем «адаптироваться». Протоколов тоже навалом: SAML, OAuth, OpenID Connect — прекрасный способ сделать вид, что всё стандартизировано. На практике: • половина сервисов еле понимает, что такое OIDC, • другая половина живёт на древнем SAML, который никто не трогал с 2012, • где‑то сбоку торчит один несчастный кастомный провайдер, который «потом перепишем», но его боятся больше, чем продовую базу. Отдельный жанр — риск «vendor lock‑in»: Сначала: «Этот провайдер нам идеально подходит, у него же все используют». Потом: «Почему сменить его — это проект на два года, три команды и лёгкую истерику безопасности?» Ну ничего, нарисуем пару слайдов про «стратегию по снижению зависимости», этого обычно хватает, чтобы все успокоились. А ещё прекрасно, как внешние IdP решают судьбы пользователей: — Этот аккаунт заблокирован по политике провайдера. — А можно объяснение? — Можно, но нет. Напишите в саппорт, создайте тикет, подождите 5–7 рабочих лет. В итоге получается духовная практика доверия: ты молишься, чтобы чужой IdP не упал, надеешься, что он правильно понял твои настройки, и делаешь вид, что всё под контролем, пока пользователи массово не летят в поддержку с сакраментальным: «Я просто хотел войти». А вы уже используете одного «бога идентичности» или у вас ещё политеизм с локальными логинами и встроенными аккаунтами в каждом сервисе?