Учётные записи и SSO: Часть 2 — FusionAuth

FusionAuth — сервер аутентификации и управления пользователями, который разработчики строили вокруг API: всё, что можно сделать в панели администратора, можно сделать и запросом к REST API. Его можно разместить на своём сервере бесплатно или взять облачную версию от разработчика.

Модель лицензирования

Главное, что нужно знать до выбора: FusionAuth не является проектом с открытым исходным кодом. Редакция Community бесплатна, её можно устанавливать на собственные серверы, но код закрыт. Это отличает его от Keycloak, где открыт весь код под лицензией Apache 2.0.

Тарифы на сентябрь 2026 года (по данным сайта FusionAuth):

Размещать FusionAuth на своём сервере разрешено на всех тарифах. Протокол SAML v2 входит во все тарифы, включая бесплатный, — прежнее утверждение, что SAML доступен только за деньги, неверно.

Что умеет

• OAuth 2.0, OpenID Connect и SAML v2 — вход в веб- и мобильные приложения и корпоративные системы.
• Регистрация и профили пользователей, группы и роли на уровне приложений.
• Многофакторная аутентификация и вход через внешних провайдеров.
• API на каждое действие и клиентские библиотеки для популярных языков — удобно, когда учётные записи создаются из кода, например при регистрации в вашем продукте.
• Веб-хуки о событиях: регистрация, вход, изменение пользователя.

Как запустить

Официальный способ для знакомства — Docker Compose из репозитория fusionauth-containers:

curl -o docker-compose.yml https://raw.githubusercontent.com/FusionAuth/fusionauth-containers/main/docker/fusionauth/docker-compose.yml
curl -o .env https://raw.githubusercontent.com/FusionAuth/fusionauth-containers/main/docker/fusionauth/.env
# в .env заменить пароли базы данных
docker compose up -d

Состав установки: сам FusionAuth, база данных (PostgreSQL по умолчанию или MySQL) и поисковый сервис OpenSearch или Elasticsearch. По документации поиск формально необязателен, но в стандартной сборке он присутствует. Панель администратора открывается на порту 9011, при первом входе запускается мастер начальной настройки.

Для рабочей установки нужны те же меры, что и для любого сервера аутентификации: HTTPS на обратном прокси, база данных с резервными копиями, закрытый доступ к панели администратора и регулярные обновления.

Сравнение с Keycloak

Ограничения

• Закрытый код. Нельзя самостоятельно проверить или исправить код, и условия бесплатной редакции определяет компания-разработчик.
• Цена платных тарифов. Разрыв между Starter и Essentials большой; для небольшой компании платные функции могут оказаться недоступными по бюджету.
• Россия. Облачную версию и платные тарифы оплачивают иностранной картой; Visa и Mastercard, выпущенные в России, за рубежом не работают. Бесплатная редакция на собственном сервере в России от оплаты не зависит, а данные пользователей остаются у вас, что соответствует требованию хранить персональные данные граждан в базах на территории страны.

Типичные ошибки

• Считать FusionAuth открытым проектом и закладывать на это аудит кода или форк.
• Оставить пароли базы из примера .env.
• Открыть порт 9011 с панелью администратора в интернет без обратного прокси и ограничения доступа.
• Не делать резервные копии базы данных: в ней все пользователи и настройки.

Когда выбирать

FusionAuth удобен, если вы разрабатываете продукт и хотите управлять пользователями из кода через аккуратный API, а открытый код не принципиален. Если важны открытость, крупное сообщество и интеграция с корпоративными каталогами, логичнее выбрать Keycloak.