身份安全的钱，被切成了五张账单

身份安全的钱，被切成了五张账单

打开任何一份 2026 年的身份安全选型清单，你都会产生同样的错觉：这是一个繁荣的大市场。

但把 JIT 特权访问、细粒度授权、证书生命周期管理三份对比清单摆在一张桌子上看，结论恰恰相反——身份安全不是一个市场，而是至少五张互相看不懂的账单。有人买的其实早就包含在 E5 许可里，有人在为一条开发者 API 付费，还有人是被 47 天的证书有效期逼着掏钱。本文基于 GBHackers 2026 年的三份工具横评，拆解各赛道的头部玩家、计费逻辑和正在发生的整合。

🔑 JIT 特权访问：你付的钱，可能早就在 E5 里了

最能激怒一位 CISO 的话，不是漏洞报告，而是采购部的一句提问：这个功能，我们 E5 里不是已经有了吗？

场景很典型：安全团队兴冲冲推 just-in-time 特权访问方案，理由充分——长期 standing access 是横向移动的温床，临时授权能大幅压缩攻击面。预算批到一半，有人翻开了 Microsoft Entra PIM 的文档。它就是「多数企业已经许可」的 JIT 基线，微软把它捆在身份套件里，几乎等于白送。

但横评数据说明了事情没这么简单：对比清单共收录 11 个独立选项——表里是 12 个，因为 BeyondTrust 在收购 Entitle 之后被计了两次。这 11 个选项横跨五条赛道：捆绑方案、PAM 存量阵营、云原生阵营、基础设施阵营、治理融合阵营，而且各按自己的单位计价。云原生方向的领跑者是 Britive，born-cloud 架构天然贴合多云环境；ConductorOne 和 Opal 则走另一条路，把 JIT 与访问治理（access governance）焊在一起卖。

产业逻辑很清楚：JIT 不是产品品类，而是一种能力，正在被五类厂商各自变现。微软用捆绑压制价格底线，PAM 老牌厂商用存量客户续命，云原生厂商靠技术差异化收溢价，治理融合派则试图把「临时给权限」和「定期审权限」合并成一张合同。选型者的第一个动作不该是看产品，而是盘点已有许可——否则你只是在为微软已经收过的钱再付一次。

🎯 细粒度授权：Zanzibar 之后，谁在收编谁

微服务拆到第一百个的时候，团队会突然发现：谁能读这条数据，已经没人说得清了。

这就是细粒度授权（fine-grained authorization）市场存在的理由。传统的 RBAC 角色模型在多租户 SaaS、动态共享场景下彻底失灵，行业集体转向 Google 内部系统 Zanzibar 开创的关系型授权模型。2026 年的对比清单收录了 12 款工具，格局分成三条泾渭分明的路线：Okta 的 Auth0 FGA 是 Zanzibar 风格授权的最佳托管锚点，与现代 CIAM 方案在多租户环境中无缝互补；Oso 和 Cerbos 领跑开发者路线，把授权做成开发者爱用的库和服务；Axiomatics、PlainID、SGNL 则占据企业级策略编排的高地，服务的是有复杂合规诉求的大客户。

但这份清单真正值得读的，是那些「稳定性标记」：Warrant 已经并入 WorkOS。一个赛道里玩家开始成对消失，通常意味着两件事——要么技术路线收敛，要么资本失去了耐心。授权是一个典型的「重要但不性感」的市场：每家 SaaS 公司都需要它，但很少有公司愿意把它当成核心竞争力的主战场，所以买方倾向托管，卖方倾向抱团。

产业判断：这个市场正在进入整合中段。对选型者而言，现在最重要的评估维度不是功能清单，而是存活概率——你写进代码里的授权模型，迁移成本极高，供应商倒闭等于给自己埋雷。开发者路线和企业编排路线短期内不会合并，因为买方根本不是同一批人。

🔐 证书生命周期：47 天倒计时逼出来的刚需

过去运维团队处理证书过期的流程是：告警拉群、凌晨手动换、第二天写复盘。这套流程正在被一个数字宣判死刑——47 天。

证书有效期被压缩到 47 天的时代，意味着手动管理在数学上就不成立：一年要换 7 次以上，任何一次人工疏漏都是一次全局宕机风险。这不是厂商制造的焦虑，而是行业规则的硬性变化。于是证书生命周期管理（CLM）从一个边缘小品类，变成了自动化程度不足的团队必须补的课。

2026 年的对比清单收录了 12 款工具，分成四类：商业 CA、中立平台、开源方案、捆绑 Microsoft。头部定位清晰：Keyfactor 是「PKI 和生命周期一起拥有」的全能首选；CyberArk 旗下的 Venafi 是多 CA 环境的中立控制面——大型企业往往同时持有多个 CA 发证，需要一个不站队的层来统一管理；而 Let's Encrypt 则是每个自动化计划都应该利用的免费 ACME 底座，它把行业门槛拉到了零。

产业逻辑：这是三个赛道里被合规趋势推着走的一个，需求增长不依赖安全意识，依赖的是日历。选型要点只有两条：一是自动化覆盖率——能不能覆盖云上、容器、负载均衡器、IoT 的全部证书；二是中立性——你的 CLM 平台是否偏向某一家 CA。证书是信任的基座，控制面一旦锁死在某家 CA 的生态里，议价权和迁移能力都会跟着蒸发。

🧭 三张账单背后：身份安全正在重新划地盘

把三份清单叠起来看，会发现一个此前被行业叙事掩盖的结构。

JIT 特权访问管的是运行时的权限发放——谁在什么时间拿到什么权限；细粒度授权管的是决策层——每一次访问请求如何被判定；证书生命周期管的是信任基座——机器和服务之间的身份如何被证明。三层技术、三类买方、三套采购语言：JIT 的预算在安全团队，授权的预算在平台工程，CLM 的预算在基础设施运维。这正是「JIT 跨越五种不同账单」这句话的真正含义——计费单位的分裂，本质是组织边界的分裂。

从四象限看，头部厂商正沿着两个方向卡位：一端是 Microsoft、Okta、CyberArk 这类平台型玩家，用捆绑和中立控制面锁定高商业价值区；另一端是 Britive、Cerbos、Oso 这类高技术门槛的垂直玩家，赌的是「大平台做不深」的缝隙。私下交流里，不少安全负责人的感受很一致：预算没变多，但要对付的供应商数量翻了一倍——这正是垂直化带来的组织成本。

给 2026 年选型者的操作顺序因此变得明确：第一步盘点已有许可，第二步评估供应商存活概率，第三步才看功能与价格。顺序反了，大概率会为重复能力买单。

下表是三个赛道的选型速览：

小结

2026 年身份安全市场的关键词不是增长，是切分：JIT 被切成五张账单，授权市场进入收编阶段，证书管理被 47 天倒计时推向刚需。三层能力（发放、决策、信任）对应三类买方，决定了这个市场短期内不会出现「一站式赢家」。真正的机会属于两类人：能把三张账单合并成一张的平台厂商，和能在整合浪潮中活着把垂直做深的独立玩家。对买方而言，2026 年最值钱的能力，是看得懂账单。