用 Microsoft 365 的企业几乎都有 Entra ID（原 Azure AD）。那么还需要 Okta 吗？答案取决于你的应用构成。
Entra ID 的强项
- 与 Windows、Office 365、Intune 深度绑定
- 设备管理与条件访问整合紧密
- 已包含在 M365 许可中，边际成本低
Okta 的强项
- 异构应用覆盖：大量非微软 SaaS 与自建系统
- 跨云、跨目录的统一视图（AD + 多云 + 自建）
- 客户身份（CIAM）与身份治理的独立能力
- 不绑定单一云厂商，多云与并购场景更灵活
三种共存形态
Okta 作为统一入口，Entra ID 作为下游应用
员工从 Okta 登录，访问 M365 时通过联邦认证跳转到 Entra ID。适合应用高度异构、并购频繁的企业。
Entra ID 作为主身份，Okta 承载特定场景
以 M365 为中心的组织，可以让 Entra ID 承担主认证，Okta 负责客户身份或特定业务系统。
双目录并行
并购后短期无法合并目录时的过渡方案。需要明确账号匹配规则与冲突处理，否则会长期背着两套权限。
决策时该问的问题
- 非微软应用占比多少？超过一半时，统一入口的价值会明显上升。
- 是否存在多个权威身份源？如果是，谁来做合并层。
- 客户身份与员工身份是否要分离治理？
- 未来三年的云策略是单云还是多云？
把这些问题回答清楚，选择往往就自然浮现了。
