Europäische Alternativen zu Keycloak

Zu den europäischen Alternativen zu Keycloak zählen ZITADEL (Schweiz), Univention Nubus (Deutschland), cidaas (Deutschland), Nevis (Schweiz) und Curity (Schweden). Keycloak ist ein quelloffener Server für Identity und Access Management mit Single Sign-on über OpenID Connect und SAML. Hauptentwickler ist Red Hat, das zu IBM gehört, und das Projekt ist seit April 2023 als Incubating-Projekt in der Cloud Native Computing Foundation. Es ist unter der Apache-2.0-Lizenz kostenlos, Lizenzkosten sind deshalb selten der Grund für die Suche nach einer Keycloak Alternative. Alle fünf Optionen stehen auf der Kategorieseite für IAM- und Single-Sign-on-Lösungen.

Warum Teams von Keycloak wegwechseln

• Betriebsaufwand. Keycloak ist eine Java-Anwendung auf Quarkus. Das Team betreibt sie mit einer Datenbank und für Hochverfügbarkeit mit einem Cache-Cluster und führt jedes Update selbst durch.
• Support. Das Projekt bietet Hilfe aus der Community. Kommerziellen Support gibt es über den Red-Hat-Build von Keycloak oder über Partner.
• Anpassung. Anmeldeabläufe und Integrationen jenseits der Einstellungen entstehen über Themes und Java-Erweiterungen, was Java-Wissen voraussetzt.
• Anbieterwahl. Das Keycloak-Projekt bietet keinen eigenen gehosteten Dienst an. Wer ein europäisches Unternehmen als Vertragspartner oder einen Managed Service möchte, muss anderswo suchen.

So unterscheiden sich die europäischen Optionen

• ZITADEL: im Ansatz am nächsten, quelloffen unter AGPL und als Cloud-Dienst oder selbst gehostet nutzbar. Jünger und kleiner als Keycloak, und das Unternehmen hat eine US-Muttergesellschaft, worauf der Eintrag hinweist.
• Univention Nubus: Open Source aus Bremen, ein Verzeichnis für Benutzer und Geräte mit Single Sign-on, stark beim Ersatz von Active Directory. Es läuft auf Kubernetes oder als virtuelle Maschine und ist nicht für Millionen sich selbst registrierender Kunden gebaut.
• cidaas: eine kommerzielle deutsche Cloud-Plattform für Kunden- und Mitarbeiteridentitäten mit Einwilligungsverwaltung. Der Betrieb wird übernommen, der Code ist aber geschlossen.
• Nevis: eine kommerzielle Schweizer Plattform mit Schwerpunkt auf Banken und Versicherern, als Cloud-Dienst oder in der eigenen Umgebung.
• Curity: ein schwedischer Identity Server mit Schwerpunkt OAuth und OpenID Connect für APIs, kommerziell und für technische Teams gedacht.

Vor dem Wechsel

Zuerst die genutzten Realms, Clients und Identity Provider auflisten und prüfen, ob das Zielsystem dieselben Protokolle unterstützt. Ebenso klären, ob es Passwort-Hashes importieren kann, sonst müssen Nutzer ihr Passwort neu setzen. Beide Systeme sollten zunächst parallel laufen. Hat das Team die Kapazität für den Betrieb, bleibt Keycloak eine solide Wahl, die sich auf einem Server in Europa betreiben lässt. Ein Wechsel lohnt sich, wenn Betriebsaufwand oder fehlender Support das eigentliche Problem sind.