FreeIPA

Identitet

Central identitets-, policy- och granskningslösning för Linux/UNIX-miljöer med CLI, webbgränssnitt och JSON-RPC-API.

Öppen källkodPython

Betyg 68 Preliminär (källbaserad)

Läs bedömningen
API · Officiellt

Förstaparts JSON-RPC-API med kommandoreferens på freeipa.org och Python-SDK i samma repo.

FreeIPA API (JSON-RPC) · FreeIPA-projektet

Källa: https://www.freeipa.org/page/API

Kontrollerat:

Öppna dokumentation

MCP · Tredjepart

Gemenskapsserver mot FreeIPA/Red Hat IdM; ingen officiell integration.

mcp-freeipa (fredriksknese) · fredriksknese (gemenskap)

Källa: https://github.com/fredriksknese/mcp-freeipa

Kontrollerat:

Öppna dokumentation

Jämför med alternativ Källor
FreeIPA:s användarlista med kolumnerna användarnamn, förnamn, efternamn, status och e-post; raderna anna.lindqvist, johan.ek, karin.ahlund, mikael.sand och sofia.berg är aktiva
1 / 5 Användarkatalogen: fem konton på Nordljus AB med status, e-post och efternamn — samma identiteter som SSH, sudo och HBAC bygger på.

Bedömning

Så bedömer vi

Totalbetyg

68

Preliminär (källbaserad)

Bedömningsprofil
Central identitets- och policyhantering (Kerberos, DNS, SUDO, HBAC) för Linux/UNIX-serverpark, inklusive integration mot Active Directory via Kerberos-trust.
Bedömningsdatum
Modellversion
3.0.0

  1. Öppenhet och kontroll

    GPL-3.0-or-later verifierad i repots COPYING-fil (2026-10-20); öppen kodbas.

  2. Funktionell passform

    Passar Linux-miljöer som behöver central inloggning, SUDO, DNS och Kerberos samt AD-integration; dock tung installation främst riktad mot Fedora/RHEL-ekosystemet.

  3. Dataflytt och interoperabilitet

    Enbart Linux-plattformar och bunden till Fedora/RHEL-ekosystemet; kräver ordentlig DNS/Kerberos-planering vid inflyttning.

  4. Mognad och trygghet

    Etablerat projekt; senaste utgåva 4.13.4 enligt webbplatsen med flera aktiva release-grenar.

  5. Framtidskraft

    Fortfarande referenslösningen för Linux-identitet men nischad mot RHEL-världen; ingen MCP-integration verifierad.

  6. Drift och införande

    Tung installation av flera komponenter (389-ds, Kerberos, DNS) som kräver root-åtkomst och noggrann planering; CLI/Web UI/Python SDK underlättar däremot driften.

  7. Kostnadsbild

    Helt fri mjukvara; kostnaden består av egna servrar och admin-kompetens.

  8. Svensk användbarhet

    Ingen svensk översättning verifierad i researchen; dokumentation och gränssnitt är på engelska.

Om FreeIPA

FreeIPA är Red Hats öppna identitetsplattform för Linux och UNIX: en katalogtjänst byggd på 389 Directory Server, ett Kerberos-KDC, en Dogtag-certifikatutfärdare och ett webb- och kommandogränssnitt ovanpå. Installationen (ipa-server-install) sätter upp hela kedjan i ett svep — domän, realm, CA och HTTP-tjänst — och därefter administreras användare, grupper, värddatorer och tjänster med kommandot ipa eller i webbgränssnittet på /ipa/ui.

Policyn ligger i samma katalog som identiteterna: HBAC-regler avgör vem som får logga in på vilken värd och med vilken tjänst, sudo-reglerna styr förhöjda rättigheter, och lösenordspolicy, OTP, RADIUS, passkeys och certifikat (PKINIT) hanteras per användare eller grupp. En lokal DNS- och NTP-tjänst kan ingå, och via Kerberos-trusts kan domänen kopplas ihop med Active Directory.

Integration sker genom CLI:t, JSON-RPC-API:t på /ipa/json (Kerberos-autentiserat) och Pythons SDK:t; det finns ingen separat databas att hålla reda på, allt ligger i katalogen. Priset är en tung installation som kräver planerad DNS och tidsynk — FreeIPA är gjord för Fedora/RHEL-familjen och paketeras av projektet även som containeravbildning.

Användning

Passar för

  • Linux-miljöer som behöver central inloggning, SUDO, DNS och Kerberos
  • Organisationer med Active Directory som behöver förtroende/integration

Passar mindre bra för

  • Enbart Windows-miljöer utan Linux-klienter

Styrkor och begränsningar

Styrkor

  • Komplett identitetsstack (389-ds, Kerberos, DNS, SUDO) i en installation
  • API/CLI/SDK för automatisering
  • AD-integration via Kerberos-trusts

Begränsningar

  • Tung installation; främst för Fedora/RHEL-ekosystemet
  • Kräver ordentlig DNS/Kerberos-planering

Skärmbilder

5 skärmbilder. Välj en bild för att visa den i full storlek. Svep i sidled för fler.

  • FreeIPA:s användarlista med kolumnerna användarnamn, förnamn, efternamn, status och e-post; raderna anna.lindqvist, johan.ek, karin.ahlund, mikael.sand och sofia.berg är aktiva
    Användarkatalogen: fem konton på Nordljus AB med status, e-post och efternamn — samma identiteter som SSH, sudo och HBAC bygger på.
  • FreeIPA:s detaljvy för anna.lindqvist med identitetsuppgifter, titel IT-drift, avdelning Drift och medlemskap i grupperna drift och sakerhet
    En användares samlade behörigheter: identitet, kontaktuppgifter, gruppmedlemskap och vilka HBAC-regler kontot omfattas av.
  • FreeIPA:s värdlista med app-01, app-02, db-01, fil-02 och vpn-01 i domänen nordljus.example.com, samtliga med beskrivning
    Värdregistret: fem servrar med FQDN och beskrivning. Varje värd får ett Kerberos-principal och kan knytas till åtkomstregler.
  • FreeIPA:s lista över HBAC-regler med reglerna drift-ssh och support-portal, båda aktiverade, med beskrivning av vilka grupper och värdar de gäller
    HBAC-reglerna avgör vem som får logga in var: driftgruppen mot alla servrar, supportgruppen bara mot app-01 och app-02.
  • FreeIPA:s detaljvy för sudo-regeln drift-sudo med regelnamn, beskrivningen Drift far administrera servrarna, kategorin alla kommandon och medlemmarna i driftgruppen
    Sudo-regeln ger driftgruppen fulla sudo-rättigheter på alla värdar — samma regelverk som styr både inloggning och förhöjda rättigheter.

Tekniska resurser

Alternativ

Keycloak

Identitet · Identitets- och åtkomsthantering (IAM / single sign-on)

Keycloak är en självhostad plattform för identitets- och åtkomsthantering, med enkel inloggning via öppna standarder som OpenID Connect, OAuth 2.0 och SAML.

Öppen källkodJavaScriptTypeScript
Startår
2014
Licens
Apache License 2.0
Öppen källkod
Ja
API
REST API · Annan

Betyg

90

Preliminär (källbaserad)

Läs bedömningen

Projektdata

37 707GitHub-stjärnor
Visa alla fakta och bedömningarVisa alla fakta
Startår
2014
Licens
Apache License 2.0Öppen källkod (OSI-godkänd licens) · Verifierad i repots LICENSE.txt (github.com/keycloak/keycloak/blob/main/LICENSE.txt). · Licensmodeller
Öppen källkod
Ja
Plattformar
Linux · Windows · macOS
API
REST API · Annan Verifierat
MCP
Ej tillämpligt
Export
Finns Realm-konfiguration kan importeras och exporteras (kc.sh samt administrations-API). Ej verifierat
Språk
Gränssnitt: Svenska · Dokumentation: Engelska · Support: Engelska
Öppenhet och kontroll Gäller: Apache-2.0 (OSI-godkänd), Red Hat-förvaltad, egen drift och öppna standardprotokoll.
Funktionell passform Gäller: Komplett IAM med OIDC/OAuth2/SAML — täcker standard-SSO-behovet utan större luckor.
Dataflytt och interoperabilitet Gäller: Standardprotokoll (OIDC/OAuth2/SAML) ger fullständig interoperabilitet och inga leverantörslås.
Mognad och trygghet Gäller: Sedan 2014, Red Hat-styrt, regelbundna releaser och etablerad säkerhetshantering.
Framtidskraft Gäller: Väldokumenterat Admin REST-API för automation; MCP-rollen är auktorisationsserver (experimentell), inte en MCP-server — agentintegration via API.
Drift och införande Gäller: Komplext i drift och kräver IAM-kompetens; hanterbart för rätt organisation men inte trivialt.
Kostnadsbild Gäller: Fri Apache-2.0-licens; kostnaden är drift och kompetens — transparent.
Svensk användbarhet Gäller: Delvis svensk översättning via communityn; dokumentation och support är engelskspråkiga — partiell svensk anpassning.

Kostnad: .

Faktakontrollerad

Vaultwarden

Identitet · Lösenordshantering

Lättviktig Bitwarden-kompatibel server som ger teamet ett eget lösenordsvalv med engångskoder, delning och samma klienter som Bitwarden.

Öppen källkodPostgreSQLRustSQLite
Startår
2018
Licens
AGPL-3.0 (GNU Affero General Public License v3.0)
Öppen källkod
Ja
API
REST API
MCP
MCP-server, Tredjepart

Betyg

86

Praktiskt granskad

Läs bedömningen

Projektdata

70 250GitHub-stjärnor
Visa alla fakta och bedömningarVisa alla fakta
Startår
2018
Licens
AGPL-3.0 (GNU Affero General Public License v3.0)Öppen källkod (OSI-godkänd licens) · Hela servern ligger under AGPL-3.0 i ett enda repo, utan låsta kataloger eller enterprise-modul. Licensens nätverksklausul gäller den som ändrar koden och erbjuder den som tjänst; den som bara driftar valvet berörs inte. · Licensmodeller
Öppen källkod
Ja
Plattformar
Linux · containers
API
REST API Uppgivet
MCP
MCP-server, Tredjepart
Export
Finns Valvet exporteras som JSON eller CSV ur webbvalven, krypterat eller i klartext, och importen tar samma format samt exportfiler från andra lösenordshanterare. Bilagor och pågående Send-delningar ingår inte i den vanliga exporten; hela databasen kan dock flyttas eftersom den ligger i SQLite eller en extern databas på den egna servern. Uppgivet
Språk
Gränssnitt: Svenska · Dokumentation: Engelska · Support: Engelska
Öppenhet och kontroll Gäller: Hela servern ligger under AGPL-3.0 i ett enda repo utan låsta kataloger eller enterprise-modul: källkoden får läsas, ändras och köras själv, och det finns ingen utgåva med fler funktioner bakom ett avtal. Licensens nätverksklausul gäller den som ändrar koden och erbjuder den som tjänst – den rör inte den som bara driftar valvet. Det finns ingen leverantörsbindning i drift eller format: valvet kan läsas med SQLite-verktyg och flyttas till en annan kompatibel server.
Funktionell passform Gäller: I labbet skapades tre konton och ett valv med 21 poster i fem mappar: inloggningar, säker anteckning, ett betalkort, egna fält, engångskoder och flera webbadresser per post. Webbvalven visade engångskoden som rullande sexsiffrig kod, Send skickade fem hemligheter med utgångsdatum och rapportvyn listade svaga, återanvända och osäkra inloggningar. Det täcker användningsfallet väl. Avdraget gäller delningen: en inbjudan till en kollega kräver fungerande e-postutskick, och mobilapparnas pushnotiser går via Bitwardens relay-tjänst om man inte avstår från dem.
Dataflytt och interoperabilitet Gäller: Valvet exporteras som JSON eller CSV ur webbvalven, och importen tar samma format samt exportfiler från andra lösenordshanterare – flytten till eller från Bitwarden och andra kompatibla servrar är därmed en fil, inte en migrering. Hela databasen ligger dessutom i SQLite, MySQL eller Postgres på den egna servern. Avdraget gäller att den vanliga exporten inte är heltäckande: bilagor och pågående Send-delningar följer inte med, och den krypterade exporten kräver samma huvudlösenord.
Mognad och trygghet Gäller: Projektet började som bitwarden_rs i februari 2018 och bytte namn till Vaultwarden 2021. I november 2026 hade repot cirka 70 000 stjärnor, senaste push samma dag och ett tätt utgåveflöde – 1.37.5 kom 1 november 2026 med säkerhetsrättningar och säkerhetsrådgivningar publicerade. Det finns en skriven disclosure-policy i SECURITY.md och en omfattande wiki. Det som håller kvar vid fyra i stället för fem är förvaltningen: projektet leds av en liten krets maintainers utan organisation bakom sig, och web-valven är en modifierad Bitwarden-klient som släpar efter upstream.
Framtidskraft Gäller: Servern implementerar samma REST-API som Bitwardens egna klienter använder, vilket är den mest använda integrationsytan i praktiken: officiella CLI:t loggar in mot den, skapar poster och sköter organisationer, och i labbet seedades hela valvet med det. API:t täcker poster, mappar, samlingar, Sends och administration, och det finns tredjeparts-MCP-servrar som lägger ett verktygslager ovanpå CLI:t. Avdraget gäller att MCP-stödet är communityägt och litet, att det inte finns webhooks och att arkitekturen är en omimplementation som måste följa Bitwardens protokoll när det ändras.
Drift och införande Gäller: Driftsättningen är en container och en datakatalog. I labbet gick hela vägen från tom katalog till inloggat valv på några minuter: compose-filen, ett admin-token och sedan registrering i webbvalven. Uppgradering är att byta image och starta om, säkerhetskopia är att kopiera datakatalogen eller göra en databasdump, och konfigurationen sker med miljövariabler som är dokumenterade i wikin. Den enda friktionen är sådant som gäller varje självhostad tjänst: reverse proxy med TLS och e-postutskick om inbjudningar ska fungera.
Kostnadsbild Gäller: Det finns ingen licensavgift, ingen avgift per användare och ingen betalutgåva – hela produkten är densamma för alla. Kostnaden är en liten server eller container, och i labbet räckte en delad vCPU och några hundra megabyte minne. Avdraget gäller supportposten: det finns ingen kommersiell support att köpa, så den som behöver avtal eller garanterad svarstid får räkna in egen tid eller en tredje part i totalkostnaden.
Svensk användbarhet Gäller: Webbvalven är på svenska i labbet – inloggning, valvlista, mappar, Send, rapporter och inställningar visades med svenska etiketter, eftersom gränssnittet ärver Bitwardens språkfiler. Adminpanelen på /admin är däremot engelsk, wikin och supportforumet är engelskspråkiga och det finns ingen svensk dokumentation eller svensk support. Svensk lokal relevans är därmed belagd genom gränssnittet, men inte mer än så.

Kostnad: .

Faktakontrollerad

Källor

  1. COPYING i repot
  2. README i repot
  3. Officiell webbplats