SSO aziendale: Keycloak o Microsoft Entra ID? Come scegliere

Scritto da Davide Ferraretto

Quando un sistema B2B/B2C deve integrarsi con l'identità digitale già in uso in azienda, la domanda non è se adottare il Single Sign-On ma quale provider usare. Keycloak e Microsoft Entra ID sono le due opzioni che valuto più spesso, e la scelta dipende più dal contesto aziendale che dalle funzionalità tecniche in sé.

Keycloak: controllo e flessibilità

Keycloak è open source e self-hosted: offre pieno controllo su realm, provider di identità federati e policy di autenticazione, oltre alla possibilità di personalizzare temi e flussi. È la scelta naturale quando serve indipendenza dal cloud di un singolo vendor, o quando l'azienda ha già un'infrastruttura on-premise con cui integrarsi.

Microsoft Entra ID: integrazione nativa nell'ecosistema Microsoft

Quando l'azienda utilizza già Microsoft 365, Azure AD Connect o altri servizi Microsoft, Entra ID riduce drasticamente il lavoro di integrazione: utenti, gruppi e policy di sicurezza sono già condivisi con il resto degli strumenti aziendali. Il rovescio della medaglia è una minore flessibilità di personalizzazione rispetto a una soluzione self-hosted.

Criteri pratici per la scelta

Valuto in particolare tre fattori: dove risiede già l'identità degli utenti (azienda Microsoft-centric o multi-vendor), i requisiti di data residency e compliance, e il carico di manutenzione che il team è disposto a sostenere in autonomia. In molti progetti B2B/B2C il fattore decisivo è semplicemente quale sistema di identità è già in produzione presso il cliente.

Non esiste una risposta valida per ogni contesto: entrambe le soluzioni implementano correttamente OAuth2/OIDC e si integrano bene con backend REST. La differenza reale sta nell'ecosistema in cui il sistema deve inserirsi, ed è da lì che parto ogni volta che progetto l'autenticazione di una nuova piattaforma.