一万个用户的 SaaS，人走了谁来收回权限

📋 概述

用户离开客户公司、管理员把他的账号移除时，所有人都默认访问权限已经被处理好了——但真的处理了吗？作者指出，流程可以由客户的管理员或身份提供方发起，但撤销对自己资源的访问必须是 SaaS 应用自己的责任。开了 SSO 之后，在身份提供方那边挡住登录只是第一步，已经建立的应用会话和已签发的令牌仍然有效，必须单独处理；开启 SCIM 则可以让身份提供方与应用之间自动同步用户和成员关系的变化。随着客户增长，企业客户会用 SSO、集中身份源和自动开通，应用需要一套可靠的方式响应人员离岗、角色变更和彻底离开组织，Keycloak 这类方案可以提供跨客户组织的集中身份层。