Okta如何管理多云部署及SaaS时代的身份认证

Okta这家公司提供的是IDaaS（身份即服务）。关系到企业的数据安全问题，IDaaS可能是多云部署及SaaS服务普及之后，企业用户必不可少要使用的一项服务。根据Okta发布的《 2019工作报告》，Okta客户平均拥有83个云应用，其中9%的客户拥有200多个云应用。

北京时间2020年3月6日，Okta公布其2020财年Q4季度收益及全年收益公告，其营收同比增长45%，高于市场预期；但在净亏损方面，本季度每股净亏损同比增长50%，亏损额度进一步扩大。作为身份认证领域的明星公司，Okta的业务开展，及营收和亏损的同步扩大值得深入探究。

IDaaS如何成为热门需求

IDaaS业务的兴起来源于企业IT应用的多元化和信息安全的复杂化，传统的防火墙、入侵监测等安全防护措施不再满足从内部人员身份认证出发的安全防护。

企业IT应用的SaaS化和移动化是挑战的两大来源。尽管中大型组织的SaaS采用率在2018年仅为5%，但Gartner预计，至2022年，40%的中大型组织将会转向SaaS模式，以及基于SaaS的身份和接入管理(IAM)。基于云的身份管理在SaaS时代将成为必需品。

伴随SaaS化出现的是企业应用的移动化，企业员工可以通过移动APP的形式远程访问企业的云端数据，这导致防止数据泄露的难度远超传统IT时代。2017年的Verizon数据泄露报告显示，81%的数据泄露都与身份被窃取有关系，身份逐渐成为重要的网络攻击对象。云、多终端设备、本地化部署的混合使得IDaaS逐渐成为各类型企业的热点需求。

在IDaaS这个新兴领域，创业型公司和传统IT巨头竞争焦灼。Okta这家企业连续三年在访问管理的Gartner象限上占据领先者的位置，在身份管理这个细分技术上领先于微软、Ping、IBM、Oracle等公司。同样的，Forrester也给予这家公司在IDaaS领域的最高评级。

2019年8月发布的Gartner Access Management

                                                                                                     来源：官网截图

发展历程及业务线

和很多表现出色的SaaS公司一样，Okta的两位创始人也具有Salesforce的中高层任职经历。Todd McKinnon曾在Salesforce担任过200人团队的工程主管，而Frederic Kerrest则有过Salesforce销售经历。2009年，两人选择出来创业后，考虑的方向是如何解决身份管理的难题。

两位创始人极有可能是在Salesforce的从业经历中感受到，SaaS在颠覆传统软件的同时，也给信息安全带来了新的挑战：随着企业中应用软件的不断增多，员工如何记住众多应用的密码？企业如何保证内部数据不被员工非法使用和窃取？

2010年，Okta推出首款单点登录SSO产品，为员工提供对所有Web应用程序的无缝访问，并使IT部门能够将云应用程序与其公司目录(corporate directory)和配置用户(provision users)安全地集成在一起。

从Okta平台单点登录到各应用中

                                                                                         来源：Okta官网截图

2013年，Okta推出通用目录(Universal Directory)产品，并将配置集成扩展到了云应用程序。通用目录提供了一种复杂目录基础结构合理化的方法，而预配置集成则提高了其保护应用程序访问的能力。

Okta集成安全目录

                                                                                                         来源：Okta官网截图

2014年，Okta推出移动管理(Mobility Management)产品，将Okta身份云( Identity Cloud)扩展到与其SSO和通用目录产品集成的方式来提供，管理和保护来自智能手机，平板电脑或笔记本电脑的应用程序访问。同年，Okta身份云的API对外开放，使得合作伙伴及第三方开发者可以在Web端及移动端的开发中集成Okta的产品。

Okta OAuth 2.0  API授权

                                   来源：Okta官网截图                    

2015年，Okta推出自适应多因素身份验证(Adaptive Multi-Factor Authentication)产品，以提供额外的应用程序和数据安全层。

  Multi-Factor Authentication多因素身份验证

                                                                                                                来源：官网截图

2016年，Okta推出生命周期管理(Lifecycle Management)产品，以扩展所有产品系列的预配置功能，并添加工作流程以自动执行与身份相关的业务流程。同年，Okta开始拓展平台，通过API访问管理(API Access Management)产品管理对应用程序访问，创建新一类的应用程序，服务和IoT应用实例。

                                           Okta员工权限生命周期管理

                                                                                                              来源：官网截图                           由于Okta于2017年提交招股说明书，因此很多信息都还未过时。招股说明书中披露，截止到2016年底数据，每个工作日其已经为超过200万用户提供单点登录服务，与第三方软件应用程序进行了5,000多次集成。截至2015、2016和2017年1月31日，与Okta的年度合同价值超过10万美元的客户数量分别为140、255和443家，大客户在其收入中所占的份额越来越大。

上市之后的Okta有过两次重要收购。

2018年7月18日，Okta收购零信任安全公司ScaleFT，ScaleFT的访问管理平台能够在没有VPN的情况下实现安全的远程访问。

2019年3月7日，Okta宣布计划以5250万美元的价格收购位于华盛顿州的工作流程自动化创业公司Azuqua。通过流程自动化技术，企业的IT部门可以通过预配置的流程简化身份创建的过程。

Okta的机遇与挑战

在与同行业独角兽的竞争中，Okta作为Okta、Ping、Onelogin这三巨头中最先上市的一家，已经初步具备了市场领先优势。作为提供身份认证API与预集成的独立平台，竞争优势主要体现在平台与更多的软件达成接入协议，并在一个平台上做权限管理是形成竞争壁垒的条件，Okta于2018年接入到10000多应用，其中2000多SaaS产品，8000多私有部署。

Okta的机遇还在于多云及多终端时代来临前的提前卡位。无论是彻底的云原生技术，还是云端+本地化部署的混合云，亦或是终端数量爆炸式增长的物联网时代，都离不开多因素身份验证、身份追踪及权限管理技术，身份认证作为移动安全的入口，未来的前景很值得想象。据Gartner预测，到2021年，身份和访问管理即服务( IDaaS )将成为新采购的主要访问管理交付模式。

但Okta同样存在挑战。从其目前的财务表现来看，IDaaS行业的盈利能力并不乐观。Okta作为行业龙头，仍处于持续亏损状态，且亏损规模甚至有扩大趋势，2018和2019财年的净亏损都在1亿美元以上，2020财年亏损更是超过2亿美元。

从Okta上市以来的季度财务数据表现来看，营收稳步增长的同时，各项成本及费用经历着更大幅度的增长，因此其净亏损额也在同步扩大，其营收的季度环比增速中枢稳定在10%左右，而销售费用的环比增幅却可以动辄大到接近40%的水平，这也从侧面体现出Okta面临的营销及销售困境，现阶段要在市场中抢夺客户数量并不容易。

2017年上市以来Okta主要成本项季度环比增速情况

                                                                                                           数据来源：历年财报

身份安全作为多云部署和多SaaS应用情况下的必要入口，巨头布局是理所当然的。微软、谷歌等公司都在积极布局自有的身份认证平台，在面对巨头挑战下，Okta是否能够有充足的自有现金来打赢这场身份认证的持久战值得观察，这也是对其高估值下隐含的最大担忧。

参考资料：

1、徐宁，《九州云腾获6000万元A轮融资，由启明、达晨投资》

2、 张苏月，《深耕身份安全领域11年，派拉软件的底气与坚守》

3、美股研究社，《Q4营收超预期但亏损加大，OKTA还能吸引投资者继续“上车”吗？》