Kanidm поддерживает:

• Passkeys (WebAuthn) для безопасной криптографической аутентификации
  • Аттестованные passkeys для сред с высокими требованиями безопасности
• Портал приложений, обеспечивающий лёгкий доступ к связанным приложениям
• Поставщик аутентификации OAuth2/OIDC для SSO
• Доступ к сервисам OAuth2/OIDC с помощью служб обмена токенами
• Интеграция с Linux/Unix с автономной аутентификацией, защищённой TPM
• Распространение SSH-ключей на системы Linux/Unix
• RADIUS для сетевой и VPN-аутентификации
• Шлюз LDAPs только для чтения для устаревших систем
• Полный набор CLI-инструментов для администрирования
• Высокая доступность из двух узлов с использованием репликации базы данных
• Веб-интерфейс для самостоятельного обслуживания пользователей
• И многое другое!

LLDAP — похожий проект, ориентированный на предоставление небольшого и простого в администрировании LDAP-сервера с веб-порталом администрирования. И LLDAP, и Kanidm используют привязки Kanidm LDAP и разделяют многие общие идеи проектирования.

Основное преимущество Kanidm перед LLDAP — более широкий встроенный набор функций, включая нативную поддержку OAuth2 и OIDC. В отличие от этого, LLDAP требует интеграции с внешним порталом, таким как Keycloak, для предоставления этих функций. Однако простота LLDAP — меньшее количество функций — может сделать его более простым в развёртывании и управлении для определённых случаев использования.

В то время как LLDAP предоставляет простой веб-интерфейс в качестве основного интерфейса управления пользователями, Kanidm в настоящее время предлагает административные функции в основном через свой CLI, а его веб-интерфейс больше предназначен для взаимодействия с пользователями, чем для администрирования.

Если Kanidm кажется вам слишком сложным, LLDAP — меньшая и более простая альтернатива. Но если вы хотите более функциональное решение «из коробки», Kanidm, скорее всего, подойдёт лучше.

И 389 Directory Server (389-ds), и OpenLDAP являются универсальными LDAP-серверами. Они предоставляют только функции LDAP, поэтому вам придётся самостоятельно обеспечивать компоненты управления идентификацией (IDM) — такие как портал OIDC, веб-интерфейс самообслуживания, инструменты командной строки для администрирования и многое другое.

Если вам требуется максимальная настройка вашего LDAP-развёртывания, 389-ds или OpenLDAP могут быть лучшим выбором. Однако если вы предпочитаете простой в настройке сервис, ориентированный именно на IDM, Kanidm — превосходный вариант.

Kanidm черпает вдохновение как из 389-ds, так и из OpenLDAP и уже соответствует или превосходит 389-ds по производительности и масштабируемости службы каталогов, предлагая при этом более богатый набор функций.

FreeIPA — это комплексная система управления идентификацией для Linux/Unix, объединяющая множество сервисов, включая LDAP, Kerberos, DNS и центр сертификации.

Однако FreeIPA сложен, состоит из многочисленных компонентов и конфигураций, что приводит к более высокому потреблению ресурсов и административным издержкам при установке и обновлении.

Kanidm стремится предложить такую же функциональность, как FreeIPA, но с меньшим потреблением ресурсов и более простым управлением. В тестах с 3000 пользователей и 1500 групп Kanidm продемонстрировал примерно в три раза более быстрые операции поиска и в пять раз более быстрые операции изменения и добавления (результаты могут варьироваться, но Kanidm обычно превосходит FreeIPA по скорости).

Если вам нужно полноценное решение IDM, которое проще управлять и которое более эффективно, Kanidm стоит рассмотреть.

Keycloak — это поставщик OIDC/OAuth2/SAML, который может добавлять WebAuthn- аутентификацию поверх существующих систем IDM. Хотя он может работать как самостоятельное решение IDM, обычно он используется вместе с LDAP-сервером или аналогичным внутренним компонентом.

Развёртывание Keycloak требует значительной настройки и опыта. Его обширные возможности настройки процессов аутентификации могут сделать первоначальную настройку сложной.

Kanidm не требует Keycloak для предоставления OAuth2 и других сервисов. Он включает многие из этих возможностей в более простой и оптимизированный способ прямо «из коробки».

Rauthy — минимальный поставщик OIDC, поддерживающий WebAuthn, использующий некоторые из тех же библиотек, что и Kanidm.

Однако Rauthy сосредоточен исключительно на OIDC и не поддерживает дополнительные сценарии использования, такие как RADIUS или аутентификация Unix.

Если вам нужен минимальный поставщик только для OIDC, Rauthy — отличный выбор. Но если вам требуется более широкий набор функций, Kanidm — лучший вариант.

Authentik (написан на Python), Authelia и Zitadel (оба написаны на Go) — это поставщики IDM, во многом похожие на Kanidm. Однако все три имеют более слабую поддержку аутентификации Unix и не предоставляют расширенных политик аутентификации или возможностей WebAuthn Attestation, которые предлагает Kanidm.

Кроме того, эти проекты полагаются на внешние SQL-базы данных, такие как PostgreSQL, что может создавать потенциальные единые точки отказа и узкие места производительности. В отличие от этого, Kanidm использует собственную высокопроизводительную базу данных и систему репликации, разработанную на основе опыта работы с корпоративными LDAP-серверами.