Kanidm prend en charge :

• Passkeys (WebAuthn) pour une authentification cryptographique sécurisée
  • Passkeys attestés pour les environnements à haute sécurité
• Portail applicatif permettant un accès facile aux applications liées
• Fournisseur d'authentification OAuth2/OIDC pour le SSO
• Accès aux services OAuth2/OIDC avec services d'échange de jetons
• Intégration Linux/Unix avec authentification hors ligne protégée par TPM
• Distribution de clés SSH vers les systèmes Linux/Unix
• RADIUS pour l'authentification réseau et VPN
• Passerelle LDAPs en lecture seule pour les systèmes existants (legacy)
• Outils CLI complets pour l'administration
• Haute disponibilité sur deux nœuds grâce à la réplication de base de données
• Une interface Web pour le libre-service des utilisateurs
• Et bien plus encore !

LLDAP est un projet similaire axé sur la fourniture d'un serveur LDAP petit et facile à administrer, avec un portail d'administration web. LLDAP et Kanidm utilisent tous deux les liaisons LDAP de Kanidm et partagent de nombreuses idées de conception communes.

Le principal avantage de Kanidm par rapport à LLDAP réside dans son ensemble de fonctionnalités intégrées plus large, notamment la prise en charge native d'OAuth2 et d'OIDC. En revanche, LLDAP nécessite l'intégration d'un portail externe comme Keycloak pour offrir ces fonctionnalités. Cependant, la simplicité de LLDAP — offrant moins de fonctionnalités — peut le rendre plus facile à déployer et à gérer pour certains cas d'utilisation.

Alors que LLDAP fournit une interface Web simple comme principale interface de gestion des utilisateurs, Kanidm propose actuellement des fonctionnalités d'administration principalement via son CLI, son interface Web étant davantage conçue pour les interactions des utilisateurs que pour l'administration.

Si Kanidm vous semble trop complexe pour vos besoins, LLDAP est une alternative plus petite et plus simple. Mais si vous souhaitez une solution plus riche en fonctionnalités prête à l'emploi, Kanidm conviendra probablement mieux.

Le serveur d'annuaire 389 (389-ds) et OpenLDAP sont tous deux des serveurs LDAP polyvalents. Ils ne fournissent que des fonctionnalités LDAP, vous devez donc fournir vos propres composants de gestion d'identité (IDM), tels qu'un portail OIDC, une interface Web en libre-service, des outils en ligne de commande pour l'administration, et plus encore.

Si vous avez besoin d'une personnalisation maximale de votre déploiement LDAP, 389-ds ou OpenLDAP peuvent être de meilleurs choix. Cependant, si vous préférez un service facile à mettre en place et spécifiquement axé sur l'IDM, Kanidm est une option supérieure.

Kanidm s'inspire à la fois de 389-ds et d'OpenLDAP, et atteint ou dépasse déjà 389-ds en termes de performances et d'évolutivité du service d'annuaire, tout en offrant un ensemble de fonctionnalités plus riche.

FreeIPA est un système complet de gestion d'identité pour Linux/Unix, regroupant de nombreux services, notamment LDAP, Kerberos, DNS et une autorité de certification.

Cependant, FreeIPA est complexe, composé de nombreux éléments et configurations, ce qui entraîne une utilisation plus élevée des ressources et une charge administrative importante lors de l'installation et des mises à niveau.

Kanidm vise à offrir la richesse fonctionnelle de FreeIPA, mais avec une empreinte de ressources plus légère et une gestion plus simple. Lors de tests comparatifs avec 3 000 utilisateurs et 1 500 groupes, Kanidm a démontré des opérations de recherche environ trois fois plus rapides et des modifications et ajouts cinq fois plus rapides (les résultats peuvent varier, mais Kanidm surpasse généralement FreeIPA en vitesse).

Si vous souhaitez une solution IDM complète, plus facile à gérer et plus efficace, Kanidm mérite d'être envisagé.

Keycloak est un fournisseur OIDC/OAuth2/SAML qui peut superposer l'authentification WebAuthn aux systèmes IDM existants. Bien qu'il puisse fonctionner comme une solution IDM autonome, il est couramment utilisé aux côtés d'un serveur LDAP ou d'un backend similaire.

Le déploiement de Keycloak nécessite une configuration et une expertise importantes. Ses nombreuses options de personnalisation des flux d'authentification peuvent rendre la configuration initiale difficile.

Kanidm n'exige pas Keycloak pour fournir OAuth2 et d'autres services. Il intègre de nombreuses capacités de manière plus simple et plus rationalisée, prête à l'emploi.

Rauthy est un fournisseur OIDC minimal prenant en charge WebAuthn, en utilisant certaines des mêmes bibliothèques que Kanidm.

Cependant, Rauthy se concentre exclusivement sur OIDC et ne prend pas en charge d'autres cas d'utilisation tels que RADIUS ou l'authentification Unix.

Si vous avez besoin d'un fournisseur minimal uniquement OIDC, Rauthy est un excellent choix. Mais si vous avez besoin d'un ensemble de fonctionnalités plus large, Kanidm est la meilleure option.

Authentik (écrit en Python), Authelia et Zitadel (tous deux écrits en Go) sont des fournisseurs IDM similaires à Kanidm à bien des égards. Cependant, ces trois projets offrent une prise en charge plus faible de l'authentification Unix et ne fournissent ni les politiques d'authentification avancées ni les capacités d'attestation WebAuthn que propose Kanidm.

De plus, ces projets s'appuient sur des bases de données SQL externes telles que PostgreSQL, ce qui peut introduire des points de défaillance uniques et des goulots d'étranglement de performances. En revanche, Kanidm utilise sa propre base de données haute performance et son propre système de réplication, développés sur la base d'une expérience de serveur LDAP d'entreprise.