Die SCIM-belasting: gebruikersvoorsiening is loodgieterswerk, nie 'n premie nie
SCIM is die minste glansryke protokol in identiteit. Dit is 'n REST-API vir gebruikersrekords: skep, opdateer, deaktiveer, gestandaardiseer as RFC 7644 sodat gidse en toepassings dit net een keer hoef te bou. Wanneer jou klant se IT-span hul Entra- of Okta-gids aan jou produk koppel, is SCIM wat maak dat nuwe aanstellings op dag een in jou toepassing verskyn en vertrekkers verdwyn die dag wat hulle vertrek. Dit is loodgieterswerk in die mees letterlike sin: sonder toesig, onsigbaar, en dit word eers opgemerk wanneer dit ontbreek.
Die gangbare tarief vir hierdie loodgieterswerk is merkwaardig. WorkOS vra $125 per maand per Directory Sync-verbinding, bo-op die $125 per maand wat dit per SSO-verbinding vra. 'n SaaS met tien ondernemingsklante wat elk die standaardpaar wil hê, aanmelding plus voorsiening, betaal $2,500 per maand voordat 'n enkele een van hul gebruikers aanmeld. Auth0 speel die ander klassieke skuif: die gratis vlak bundel tegnies 'n ondernemingsverbinding, maar die betaalde verbruikersvlakke stroop ondernemingsfunksies uit, en stuur enigiemand wat hulle werklik nodig het na B2B-planne waar verbindings byvoegings van sowat $100 elk is. Watter vorm dit ook al aanneem, die boodskap bly dieselfde: voorsiening woon agter die ondernemingshek, langs SAML, geprys per verbinding.
Dit is dus die moeite werd om te vra wat 'n SCIM-verbinding die verskaffer kos om te bedien. Aan die verskafferkant is 'n verbinding 'n draertoken en 'n basis-URL. Die verkeer is 'n druppeltjie: een HTTP-versoek wanneer iemand aansluit, een wanneer hulle van span of naam verander, een wanneer hulle vertrek. Geen uitwaaiering nie, geen berekening werd om te noem nie, geen bergingstorie nie. Die spesifikasie bestaan juis sodat die implementering 'n eenmalige koste is: sodra jy /Users en /Groups met PATCH-semantiek gebou het, kos verbinding nommer tweehonderd presies wat verbinding nommer twee gekos het, naamlik 'n ry in 'n tabel. $125 per maand per verbinding is nie kosteverhaling nie. Dit is 'n segmentasieheining, geplaas waar ondernemingskopers staan omdat ondernemingskopers kan betaal. Ons het daardie rekening reeds in dollars getel vir SSO; SCIM is dieselfde belasting wat by 'n tweede tolhek ingevorder word.
Maar SCIM is nie SSO nie, en die verskil lê in wat gebeur wanneer jy nie betaal nie. Weier die SSO-fooi en aanmeldings word slegter: meer wagwoorde, meer uitvissingsoppervlak, 'n geïrriteerde IT-afdeling. Ongerieflik, maar oorleefbaar. Weier die SCIM-fooi en die uittreeproses breek. Die belangrikste boodskap wat SCIM ooit dra, is die een wat sê hierdie persoon het die maatskappy verlaat, deaktiveer hulle oral, nou. Daarsonder is deprovisionering 'n mens wat moet onthou om deur die administrasiekonsole van elke SaaS-produk wat die maatskappy gebruik te klik, op die dag wat iemand uitgestap word, sonder om 'n enkele stap te mis. In die praktyk beteken dit dat oudwerknemers vir dae, soms maande, werkende rekeninge behou. Ouditeure vra met rede in elke SOC 2- en ISO 27001-hersiening oor tydige deprovisionering: die slapende rekening van 'n vertrekte werknemer, wagwoord onveranderd, is een van die oudste toegangspunte vir 'n inbraak wat daar is.
Dit beteken deprovisionering is nie 'n gerieflikheidsfunksie nie. Dit is 'n sekuriteitskontrole, en 'n per-verbinding-fooi op SCIM is 'n prysetiket op daardie kontrole. Let op waarheen die risiko gaan wanneer 'n koper die fooi weier: nêrens aan die verskaffer se kant nie. Die verskaffer bedien presies dieselfde produk. Die gaping gaan oop aan die klant se kant, in die uittree-kontrolelys wat nou van geheue in plaas van outomatisering afhang. Om vir SCIM te vra, is om te vra vir die slot op 'n deur wat jy reeds verkoop het.
Daar is 'n eenvoudige manier om enige verskaffer se prysblad te lees: dinge wat werklik geld kos om te bedien, word volgens gebruik geprys, en dinge wat niks kos nie, word geprys volgens wat jy kan weier. Per-gebruiker- en per-MAU-pryse volg werklike koste. 'n Per-verbinding-fooi op 'n gestandaardiseerde protokol volg hefboomkrag, en SCIM dra die meeste hefboomkrag van almal, omdat ondernemings se sekuriteitsvraelyste dit verpligtend maak. Die koper kan nie nee sê nie, en die prys word daarvolgens vasgestel. Dit is die SCIM-belasting: nie 'n fooi vir 'n diens nie, maar 'n tol op 'n voldoeningsvereiste.
Ons dink die tolhek is die verkeerde besigheid. Authagonal sluit SCIM by elke plan in, die gratis vlak inkluis, met onbeperkte verbindings, net soos SSO. Voorsiening is loodgieterswerk. Ons vra geld vir die ding wat ons werklik iets kos, naamlik aktiewe gebruikers, en die skakelaar wat 'n vertrekker se rekening oral afskakel, is nie 'n premie nie. Dit is die werk.