Kanidm admite:

• Passkeys (WebAuthn) para autenticación criptográfica segura
  • Passkeys atestiguados para entornos de alta seguridad
• Portal de aplicaciones que permite un acceso fácil a las aplicaciones vinculadas
• Proveedor de autenticación OAuth2/OIDC para SSO
• Acceso a servicios OAuth2/OIDC con servicios de intercambio de tokens
• Integración Linux/Unix con autenticación sin conexión protegida por TPM
• Distribución de claves SSH a sistemas Linux/Unix
• RADIUS para autenticación de red y VPN
• Pasarela LDAP de solo lectura para sistemas heredados
• Herramientas CLI completas para administración
• Alta disponibilidad de dos nodos mediante replicación de base de datos
• Una interfaz web para autoservicio de usuarios
• ¡Y mucho más!

LLDAP es un proyecto similar centrado en proporcionar un servidor LDAP pequeño y fácil de administrar con un portal de administración web. Tanto LLDAP como Kanidm utilizan los enlaces LDAP de Kanidm y comparten muchas ideas de diseño comunes.

La principal ventaja de Kanidm sobre LLDAP es su conjunto de funciones integradas más amplio, incluida la compatibilidad nativa con OAuth2 y OIDC. Por el contrario, LLDAP requiere integración con un portal externo como Keycloak para ofrecer estas funciones. Sin embargo, la simplicidad de LLDAP (que ofrece menos funciones) puede facilitar su implementación y gestión para ciertos casos de uso.

Mientras que LLDAP proporciona una interfaz web simple como principal interfaz de gestión de usuarios, Kanidm ofrece actualmente funcionalidad administrativa principalmente a través de su CLI, y su interfaz web está diseñada más para interacciones de usuarios que para administración.

Si Kanidm te parece demasiado complejo para tus necesidades, LLDAP es una alternativa más pequeña y simple. Pero si quieres una solución más rica en funciones lista para usar, Kanidm probablemente sea una mejor opción.

Tanto 389 Directory Server (389-ds) como OpenLDAP son servidores LDAP de propósito general. Solo proporcionan funcionalidad LDAP, por lo que debes suministrar tus propios componentes de gestión de identidades (IDM), como un portal OIDC, interfaz web de autoservicio, herramientas de línea de comandos para administración y más.

Si necesitas una personalización máxima de tu implementación LDAP, 389-ds u OpenLDAP pueden ser mejores opciones. Sin embargo, si prefieres un servicio fácil de configurar centrado específicamente en IDM, Kanidm es una opción superior.

Kanidm se inspira en 389-ds y OpenLDAP, y ya iguala o supera a 389-ds en rendimiento y escalabilidad del servicio de directorio, al tiempo que ofrece un conjunto de funciones más rico.

FreeIPA es un sistema integral de gestión de identidades para Linux/Unix que agrupa muchos servicios, incluidos LDAP, Kerberos, DNS y una autoridad certificadora.

Sin embargo, FreeIPA es complejo y consta de numerosos componentes y configuraciones, lo que conlleva un mayor uso de recursos y una mayor carga administrativa durante la instalación y las actualizaciones.

Kanidm tiene como objetivo ofrecer la riqueza de funciones de FreeIPA, pero con una huella de recursos más ligera y una gestión más simple. En pruebas comparativas con 3000 usuarios y 1500 grupos, Kanidm demostró operaciones de búsqueda aproximadamente tres veces más rápidas y modificaciones y adiciones cinco veces más rápidas (los resultados pueden variar, pero Kanidm generalmente supera a FreeIPA en velocidad).

Si quieres una solución IDM completa que sea más fácil de gestionar y más eficiente, vale la pena considerar Kanidm.

Keycloak es un proveedor OIDC/OAuth2/SAML que puede añadir autenticación WebAuthn sobre sistemas IDM existentes. Aunque puede funcionar como una solución IDM independiente, se usa comúnmente junto con un servidor LDAP o un backend similar.

Implementar Keycloak requiere una configuración y experiencia significativas. Sus amplias opciones de personalización para flujos de autenticación pueden hacer que la configuración inicial sea desafiante.

Kanidm no requiere Keycloak para proporcionar OAuth2 y otros servicios. Integra muchas de estas capacidades de una manera más simple y optimizada, lista para usar.

Rauthy es un proveedor OIDC mínimo compatible con WebAuthn, que utiliza algunas de las mismas bibliotecas que Kanidm.

Sin embargo, Rauthy se centra exclusivamente en OIDC y no admite casos de uso adicionales como RADIUS o autenticación Unix.

Si necesitas un proveedor mínimo solo OIDC, Rauthy es una excelente opción. Pero si necesitas un conjunto de funciones más amplio, Kanidm es la mejor opción.

Authentik (escrito en Python), Authelia y Zitadel (ambos escritos en Go) son proveedores IDM similares a Kanidm en muchos aspectos. Sin embargo, los tres tienen un soporte más débil para la autenticación Unix y no proporcionan las políticas de autenticación avanzadas ni las capacidades de atestación WebAuthn que ofrece Kanidm.

Además, estos proyectos dependen de bases de datos SQL externas como PostgreSQL, que pueden introducir posibles puntos únicos de fallo y cuellos de botella de rendimiento. En contraste, Kanidm utiliza su propia base de datos de alto rendimiento y sistema de replicación, desarrollados basándose en la experiencia con servidores LDAP empresariales.