Налог на SSO

«Налог на SSO» — отраслевое прозвище распространённой практики, когда единый вход (вход по SAML или OIDC, а вместе с ним нередко и SCIM-провижининг) доступен только в самом дорогом тарифе вендора. Компании, которая хочет управлять доступом к приложению через собственного поставщика идентификации, приходится переходить с самостоятельного командного плана на корпоративный договор, и цена за пользователя при этом часто вырастает в несколько раз. Название закрепилось благодаря публичному списку, который сообщество ведёт по вендорам, чей апгрейд ради SSO кратно увеличивает счёт. Покупателю это важно потому, что SSO — не удобство, а средство защиты: без него у каждого сотрудника отдельный пароль к инструменту, отключение доступа при увольнении держится на том, что кто-то вручную вспомнит удалить учётную запись, а у службы безопасности нет единой точки, где можно потребовать MFA или условный доступ. Вендоры объясняют такую упаковку тем, что покупатели SSO — это корпоративные клиенты с более дорогой поддержкой, юридическим сопровождением и комплаенсом, а интеграции с провайдерами идентификации действительно дороги в разработке и поддержке. Критики отвечают, что наценка за контроль, который предотвращает утечки, оставляет самые маленькие и наименее защищённые команды в самой небезопасной конфигурации. На практике налог на SSO стоит закладывать в расчёт до подписания, а не после. Инструмент, который выглядит доступным на сорок мест в командном тарифе, может оказаться на корпоративном уровне с минимальным числом мест, годовым обязательством и другой схемой скидок ровно в тот момент, когда служба безопасности признаёт SSO обязательным, — а это решаете обычно не вы. Выясните три вещи ещё на этапе выбора: есть ли SSO именно в том тарифе, который вы собираетесь купить; входит ли туда SCIM с автоматическим отключением учётных записей или только вход; какой минимум мест привязан к этому тарифу. Некоторые вендоры под общественным давлением опустили SSO в средние тарифы или сделали его бесплатным, поэтому ответ стоит проверять по текущей странице цен.