Kanidm

Identitet

Kanidm är en identitetsplattform i Rust som fungerar som enskild källa för konton, autentisering och auktorisering, med passkeys, OAuth2/OIDC, Linux-integration och CLI-administration.

Öppen källkodRust

Betyg 74 av 100 Preliminär (källbaserad)

Läs bedömningen

API · Officiellt

Förstapartsdokumentation i Kanidms bok (REST Interface).

Kanidm REST Interface · Kanidm-projektet

Källa: https://kanidm.github.io/kanidm/stable/developers/designs/rest_interface.html

Kontrollerat: 22 oktober 2026

Öppna dokumentation

MCP · Ej hittat

Inget MCP-stöd kunde verifieras: sökning i det officiella MCP-registret och på GitHub gav inga träffar för Kanidm (2026-10-22).

Källa: API/MCP-research 2026-10-22

Kontrollerat: 22 oktober 2026

Jämför med alternativ Källor

Kanidm: listan Person Management med de fem personkontona anna.lindqvist, johan.ek, karin.ahlund, mikael.sand och sara.berg samt deras UUID:n — 1 / 5 Personhanteringen: kontona i Nordljus AB:s katalog

Kanidm: detaljvyn för personen anna.lindqvist@idm.nordljus.example.com med UUID, SPN, namn, visningsnamn, e-postadressen anna.lindqvist@example.com och medlemskap i grupperna idm_all_persons, idm_all_accounts, drift och identitet — 1 / 5 Personhanteringen: kontona i Nordljus AB:s katalog

Bedömning

Så bedömer vi

Totalbetyg

74 av 100

Preliminär (källbaserad)

Bedömningsprofil: Self-hostad identitetsplattform i Rust där applikationer delegerar autentisering — med Linux/UNIX-integration, SSH-nyckeldistribution och RADIUS, administrerad via CLI.
Bedömningsdatum: 21 oktober 2026
Modellversion: 3.0.0

Öppenhet och kontroll

MPL-2.0 verifierad i repots LICENSE.md (2026-10-20); öppen kodbas.
Funktionell passform

Passar miljöer som vill self-hosta autentisering utan extern SQL-databas och med Linux/UNIX-integration; dock CLI-administration som kräver teknisk kompetens och inget omfattande GUI.
Dataflytt och interoperabilitet

Kräver ingen extern SQL-databas (till skillnad från flera alternativ enligt README) och körs som Linux-tjänster; dock Linux-plattform.
Mognad och trygghet

Yngre projekt än etablerade alternativ; senaste tagg v1.11.2 visar aktiv utveckling men kortare spårhistorik.
Framtidskraft

Modernt Rust-bygge med strikta defaultvärden och självläkande komponenter; aktiv utveckling mot komplett identitetsleverantör.
Drift och införande

Självläkande komponenter och enkel konfiguration hjälper, men administration sker främst via CLI och kräver kompetens; exakt API-dok-URL verifierades inte.
Kostnadsbild

Fri mjukvara under MPL-2.0; kostnaden är egen server och admin-kompetens.
Svensk användbarhet

Ingen svensk lokalisation verifierad i researchen; CLI och dokumentation på engelska.

Om Kanidm

Kanidm är en enkel och säker identitetsplattform skriven i Rust, som låter applikationer och tjänster lämna över autentiseringen och identitetslagringen till Kanidm. Projektets mål är en komplett identitetsleverantör: ni ska inte behöva ytterligare komponenter som Keycloak. Stränga standardvärden, enkel konfiguration och självhelande komponenter är grundidén, från hemmalabb till storföretag.

Funktionerna omfattar passkeys/WebAuthn inklusive attesterade passkeys, OAuth2/OIDC för webb-SSO, en applikationsportal, Linux/Unix-integration med offline-autentisering skyddad av TPM, SSH-nyckeldistribution till Unix-system, RADIUS för nätverks- och VPN-autentisering samt en läsbehörig LDAPS-gateway för äldre system. Administreringen sker via komplett CLI-verktyg, och en WebUI ger användarna självservice; tvånodig hög tillgänglighet stöds via databasreplikering.

Licensen är MPL 2.0 och dokumentationen är en utförlig bok med kom-igång-guide och uttalade supportriktlinjer som definierar vad teamet stödjer. Kraven är att ni driver servern själva och har Linux-kompetens. Kom ihåg att LDAP-gatewayen bara läser – skrivbehov löser ni via de inbyggda gränssnitten – och att ett yngre projekt ger färre förbyggda integrationer än de etablerade IAM-jättarna.

Användning

Passar för

Centralisera konton och autentisering för Linux-servrar med SSH-nyckeldistribution
Erbjuda webb-SSO till applikationer via OAuth2/OIDC och en applikationsportal
Rulla ut passkeys/WebAuthn som primär autentiseringsmetod
Hantera VPN- och nätverksautentisering via RADIUS

Passar mindre bra för

Om era äldre system kräver en LDAP-server man skriver till – gatewayen är läsbehörig
Om ni behöver SAML-federation som kärnkrav – Kanidm listar OAuth2/OIDC, inte SAML
Om ni vill slippa att drifta en identitetsserver – då krävs moln-IAM eller hanterad drift

Styrkor och begränsningar

Styrkor

Komplett identitetsleverantör: SSO, portal, Unix-integration och RADIUS i ett system
Passkeys/WebAuthn inklusive attesterade passkeys som förstaklassmedborgare
Stränga standardvärden och självhelande komponenter sänker driftkostnaden
Tvånodig hög tillgänglighet via databasreplikering
Rust-kodbas under MPL 2.0 med tydliga supportriktlinjer

Begränsningar

LDAPS-gatewayen är endast läsbar; skrivtrafik måste gå via de inbyggda gränssnitten
Inget SAML-stöd är listat bland funktionerna
Som yngre projekt är ekosystemet av förbyggda integrationer smalare än hos de stora IAM-lösningarna
Ni driver servern själva; supportnivån är definierad i projektets riktlinjer

Skärmbilder

5 skärmbilder. Välj en bild för att visa den i full storlek. Svep i sidled för fler.

Personhanteringen: kontona i Nordljus AB:s katalog
Ett personkonto med SPN, e-postadress och grupptillhörighet
Grupplistan med företagets grupper och Kanidms inbyggda roller
Gruppen drift med beskrivning och medlemmar
Appportalen: tjänsterna som använder Kanidm som inloggning

Tekniska resurser

Alternativ

Keycloak

Identitet · Identitets- och åtkomsthantering (IAM / single sign-on)

Keycloak är en självhostad plattform för identitets- och åtkomsthantering, med enkel inloggning via öppna standarder som OpenID Connect, OAuth 2.0 och SAML.

Öppen källkodJavaScriptTypeScript

Startår: 2014
Licens: Apache License 2.0
Öppen källkod: Ja
API: REST API · Annan

Betyg

90 av 100

Preliminär (källbaserad)

Läs bedömningen

Projektdata

37 695GitHub-stjärnor

Visa alla fakta och bedömningarVisa alla fakta

Startår: 2014
Licens: Apache License 2.0Öppen källkod (OSI-godkänd licens) · Verifierad i repots LICENSE.txt (github.com/keycloak/keycloak/blob/main/LICENSE.txt). · Licensmodeller
Öppen källkod: Ja
Plattformar: Linux · Windows · macOS
API: REST API · Annan Verifierat
MCP: Ej tillämpligt
Export: Finns Realm-konfiguration kan importeras och exporteras (kc.sh samt administrations-API). Ej verifierat
Språk: Gränssnitt: Svenska · Dokumentation: Engelska · Support: Engelska

Öppenhet och kontroll Gäller: Apache-2.0 (OSI-godkänd), Red Hat-förvaltad, egen drift och öppna standardprotokoll.

Funktionell passform Gäller: Komplett IAM med OIDC/OAuth2/SAML — täcker standard-SSO-behovet utan större luckor.

Dataflytt och interoperabilitet Gäller: Standardprotokoll (OIDC/OAuth2/SAML) ger fullständig interoperabilitet och inga leverantörslås.

Mognad och trygghet Gäller: Sedan 2014, Red Hat-styrt, regelbundna releaser och etablerad säkerhetshantering.

Framtidskraft Gäller: Väldokumenterat Admin REST-API för automation; MCP-rollen är auktorisationsserver (experimentell), inte en MCP-server — agentintegration via API.

Drift och införande Gäller: Komplext i drift och kräver IAM-kompetens; hanterbart för rätt organisation men inte trivialt.

Kostnadsbild Gäller: Fri Apache-2.0-licens; kostnaden är drift och kompetens — transparent.

Svensk användbarhet Gäller: Delvis svensk översättning via communityn; dokumentation och support är engelskspråkiga — partiell svensk anpassning.

Kostnad: .

Faktakontrollerad 1 november 2026

Vaultwarden

Identitet · Lösenordshantering

Lättviktig Bitwarden-kompatibel server som ger teamet ett eget lösenordsvalv med engångskoder, delning och samma klienter som Bitwarden.

Öppen källkodPostgreSQLRustSQLite

Startår: 2018
Licens: AGPL-3.0 (GNU Affero General Public License v3.0)
Öppen källkod: Ja
API: REST API
MCP: MCP-server, Tredjepart

Betyg

86 av 100

Praktiskt granskad

Läs bedömningen

Projektdata

70 217GitHub-stjärnor

Visa alla fakta och bedömningarVisa alla fakta

Startår: 2018
Licens: AGPL-3.0 (GNU Affero General Public License v3.0)Öppen källkod (OSI-godkänd licens) · Hela servern ligger under AGPL-3.0 i ett enda repo, utan låsta kataloger eller enterprise-modul. Licensens nätverksklausul gäller den som ändrar koden och erbjuder den som tjänst; den som bara driftar valvet berörs inte. · Licensmodeller
Öppen källkod: Ja
Plattformar: Linux · containers
API: REST API Uppgivet
MCP: MCP-server, Tredjepart
Export: Finns Valvet exporteras som JSON eller CSV ur webbvalven, krypterat eller i klartext, och importen tar samma format samt exportfiler från andra lösenordshanterare. Bilagor och pågående Send-delningar ingår inte i den vanliga exporten; hela databasen kan dock flyttas eftersom den ligger i SQLite eller en extern databas på den egna servern. Uppgivet
Språk: Gränssnitt: Svenska · Dokumentation: Engelska · Support: Engelska

Öppenhet och kontroll Gäller: Hela servern ligger under AGPL-3.0 i ett enda repo utan låsta kataloger eller enterprise-modul: källkoden får läsas, ändras och köras själv, och det finns ingen utgåva med fler funktioner bakom ett avtal. Licensens nätverksklausul gäller den som ändrar koden och erbjuder den som tjänst – den rör inte den som bara driftar valvet. Det finns ingen leverantörsbindning i drift eller format: valvet kan läsas med SQLite-verktyg och flyttas till en annan kompatibel server.

Funktionell passform Gäller: I labbet skapades tre konton och ett valv med 21 poster i fem mappar: inloggningar, säker anteckning, ett betalkort, egna fält, engångskoder och flera webbadresser per post. Webbvalven visade engångskoden som rullande sexsiffrig kod, Send skickade fem hemligheter med utgångsdatum och rapportvyn listade svaga, återanvända och osäkra inloggningar. Det täcker användningsfallet väl. Avdraget gäller delningen: en inbjudan till en kollega kräver fungerande e-postutskick, och mobilapparnas pushnotiser går via Bitwardens relay-tjänst om man inte avstår från dem.

Dataflytt och interoperabilitet Gäller: Valvet exporteras som JSON eller CSV ur webbvalven, och importen tar samma format samt exportfiler från andra lösenordshanterare – flytten till eller från Bitwarden och andra kompatibla servrar är därmed en fil, inte en migrering. Hela databasen ligger dessutom i SQLite, MySQL eller Postgres på den egna servern. Avdraget gäller att den vanliga exporten inte är heltäckande: bilagor och pågående Send-delningar följer inte med, och den krypterade exporten kräver samma huvudlösenord.

Mognad och trygghet Gäller: Projektet började som bitwarden_rs i februari 2018 och bytte namn till Vaultwarden 2021. I november 2026 hade repot cirka 70 000 stjärnor, senaste push samma dag och ett tätt utgåveflöde – 1.37.5 kom 1 november 2026 med säkerhetsrättningar och säkerhetsrådgivningar publicerade. Det finns en skriven disclosure-policy i SECURITY.md och en omfattande wiki. Det som håller kvar vid fyra i stället för fem är förvaltningen: projektet leds av en liten krets maintainers utan organisation bakom sig, och web-valven är en modifierad Bitwarden-klient som släpar efter upstream.

Framtidskraft Gäller: Servern implementerar samma REST-API som Bitwardens egna klienter använder, vilket är den mest använda integrationsytan i praktiken: officiella CLI:t loggar in mot den, skapar poster och sköter organisationer, och i labbet seedades hela valvet med det. API:t täcker poster, mappar, samlingar, Sends och administration, och det finns tredjeparts-MCP-servrar som lägger ett verktygslager ovanpå CLI:t. Avdraget gäller att MCP-stödet är communityägt och litet, att det inte finns webhooks och att arkitekturen är en omimplementation som måste följa Bitwardens protokoll när det ändras.

Drift och införande Gäller: Driftsättningen är en container och en datakatalog. I labbet gick hela vägen från tom katalog till inloggat valv på några minuter: compose-filen, ett admin-token och sedan registrering i webbvalven. Uppgradering är att byta image och starta om, säkerhetskopia är att kopiera datakatalogen eller göra en databasdump, och konfigurationen sker med miljövariabler som är dokumenterade i wikin. Den enda friktionen är sådant som gäller varje självhostad tjänst: reverse proxy med TLS och e-postutskick om inbjudningar ska fungera.

Kostnadsbild Gäller: Det finns ingen licensavgift, ingen avgift per användare och ingen betalutgåva – hela produkten är densamma för alla. Kostnaden är en liten server eller container, och i labbet räckte en delad vCPU och några hundra megabyte minne. Avdraget gäller supportposten: det finns ingen kommersiell support att köpa, så den som behöver avtal eller garanterad svarstid får räkna in egen tid eller en tredje part i totalkostnaden.

Svensk användbarhet Gäller: Webbvalven är på svenska i labbet – inloggning, valvlista, mappar, Send, rapporter och inställningar visades med svenska etiketter, eftersom gränssnittet ärver Bitwardens språkfiler. Adminpanelen på /admin är däremot engelsk, wikin och supportforumet är engelskspråkiga och det finns ingen svensk dokumentation eller svensk support. Svensk lokal relevans är därmed belagd genom gränssnittet, men inte mer än så.

Kostnad: .

Faktakontrollerad 3 november 2026