Orçamento para implementação de SSO com Keycloak em sistemas legados

Por Kevin Marcondes · Publicado em 24/09/2026 · Atualizado em 13/10/2026 · 7 min de leitura

Mulher segurando tablet em frente a racks de servidores com reflexo no vidro — Profissional revisando servidores — adequada para integração de SSO, LDAP/AD e Keycloak. Foto: Christina Morillo / Pexels

Precisa de um orçamento para implementação de Single Sign-On (SSO) com Keycloak em sistemas legados no Brasil? Este guia explica o que considerar no escopo, integrações com LDAP/AD, suporte a SAML e OIDC, riscos, etapas do projeto e como estimar esforço. Use como base para solicitar uma proposta objetiva e comparável entre fornecedores.

O que um orçamento de SSO com Keycloak deve incluir

Um bom orçamento deixa claro o que será entregue e o que fica fora do escopo. Em SSO com Keycloak, a definição correta evita surpresas durante a integração com sistemas legados.

Os itens abaixo ajudam a comparar propostas de forma justa e reduzir riscos ao longo do projeto.

Mapeamento de aplicativos alvo e suas formas de login atuais.
Integração com diretórios (LDAP/Active Directory) e fontes de identidade adicionais.
Protocolos por aplicação: OIDC, OAuth 2.0 ou SAML 2.0.
Desenho de fluxos: auto-provisionamento, vinculação de contas, recuperação de senha.
Requisitos de MFA, políticas de senha e auditoria.
Ambiente: dev, homologação e produção, com rollback definido.
Treinamento e transferência de conhecimento, quando aplicável.
Plano de testes e critérios de aceite por aplicação.

Integração com diretórios corporativos (LDAP/AD)

Keycloak se conecta a LDAP/Active Directory como provedor de usuários. Essa ponte permite manter fontes de verdade existentes, sem duplicar cadastros.

Em ambientes legados, atenção a atributos obrigatórios, sincronização de grupos e regras de mapeamento. Conflitos de esquema e normalização de nomes são comuns e devem entrar no plano.

Quando for necessário criar adaptadores ou middlewares, considere um escopo de desenvolvimento sob medida. Veja também a página de software personalizado.

Mapeamento de atributos: sAMAccountName, mail, uid, groups.
Sincronização: somente leitura, escrita controlada ou espelhamento parcial.
Conectividade segura: LDAPS/TLS, certificados e firewalls.
Fallback e alta disponibilidade do diretório.

Protocolos e padrões: SAML 2.0, OIDC e OAuth 2.0

Keycloak suporta SAML 2.0 e OpenID Connect (OIDC). Em sistemas legados, a escolha depende do suporte nativo de cada aplicação e do esforço de adaptação.

OIDC costuma ser preferido em aplicações modernas. SAML é comum em softwares corporativos mais antigos. Em ambos os casos, defina claims/atributos e assinaturas com cuidado.

Ajustes no aplicativo podem exigir desenvolvimento de integrações. Para isso, consulte desenvolvimento de software.

OIDC: tokens JWT, scopes e claims configuráveis.
SAML: assertions assinadas, bindings e mapeamentos de atributos.
Logout unificado (SLO) e controle de sessão distribuído.
Rotação de chaves e gestão de certificados.

Estimativa de esforço: fatores que impactam o custo

Sem números, é possível antecipar o tamanho do esforço com base em variáveis técnicas e de negócio. Isso ajuda a solicitar propostas comparáveis.

Use a classificação por complexidade para orientar cronograma, equipe e riscos. O objetivo é tornar explícitas as dependências e os pontos críticos.

Quantidade de aplicativos e diversidade de tecnologias.
Disponibilidade de suporte nativo a SAML/OIDC ou necessidade de adaptadores.
Complexidade do diretório (múltiplos domínios, trusts, atributos).
Requisitos de MFA, auditoria e conformidade.
Restrições de janelas de manutenção e rollback.
Qualidade da documentação dos sistemas legados.

Cenário	Características	Integrações típicas	Risco de impacto
Piloto controlado	1–2 apps, suporte nativo a OIDC/SAML, poucos ajustes	OIDC com claims básicos	Baixo
Integração padrão AD/LDAP + OIDC	Várias apps web, grupos e perfis, MFA opcional	AD/LDAP + OIDC com roles e mapeamentos	Médio
Ambiente heterogêneo com legados	Apps sem suporte nativo, necessidade de adaptadores	SAML misto com OIDC; bridges e middlewares	Médio–Alto
Alta criticidade e múltiplas dependências	Muitos logins e sessões ativas, zero-downtime	SLO, rotação de chaves, canary releases	Alto

Etapas recomendadas do projeto em sistemas legados

Definir etapas reduz incertezas e melhora o controle de riscos. Em ambientes legados, a validação incremental é essencial.

Quando precisar de apoio de planejamento mais amplo, veja a página de consultoria de TI.

Descoberta e assessment: inventário de apps, fluxos de login e requisitos.
Desenho da arquitetura: realms, clients, provedores de usuários, rotas seguras.
Prova de conceito (PoC): validar protocolo, claims e SSO básico.
Piloto: um conjunto de usuários e uma aplicação crítica com SLO.
Ampliação: incluir demais aplicações por ondas, com métricas e rollback.
Operação: monitoramento, rotação de chaves e política de acessos.

Riscos comuns e como mitigar

Projetos de SSO tocam identidade, disponibilidade e segurança. Antecipar riscos evita incidentes em produção.

Planeje testes de regressão e cenários de falha. Uma estratégia de rollback clara é parte do orçamento.

Vinculação de contas: garantir correspondência entre usuários já existentes e o novo IdP.
Gerenciamento de sessão: alinhar timeouts entre Keycloak e apps.
Rotação de chaves: automatizar para evitar interrupções de validação de tokens.
SLO parcial: tratar apps que não suportam logout unificado.
MFA: políticas realistas, com exceções para sistemas sem suporte.
Operação contínua: documentar procedimentos. Veja também manutenção de software.

Requisitos técnicos e pré-requisitos do ambiente

Alguns itens aceleram a integração e diminuem retrabalho. Reunir essas informações ao solicitar proposta deixa o orçamento mais assertivo.

Inventário de aplicações, versões e métodos de autenticação atuais.
Acesso ao diretório (LDAP/AD), esquema e política de grupos.
Certificados, DNS, balanceadores e portas necessárias.
Ambientes de testes e dados de usuários de prova.
Requisitos de conformidade e retenção de logs.
Planos de contingência e janelas de mudança.

Como solicitar proposta: checklist objetivo

Ao pedir um orçamento, inclua informações práticas. Isso reduz estimativas vagas e acelera a comparação entre fornecedores.

Se houver necessidade de integrações sob medida, consulte também consultoria de software.

Objetivo do SSO e sistemas prioritários para a primeira onda.
Lista de aplicativos, protocolos suportados e acessos esperados.
Detalhes do AD/LDAP, domínios, trusts e atributos-chave.
Requisitos de MFA, auditoria e relatórios.
Restrições de cronograma e janelas de manutenção.
Critérios de sucesso e aceite por aplicação.

Perguntas frequentes

Quanto custa implementar SSO com Keycloak em sistemas legados?

Depende do escopo, número de aplicativos, protocolos suportados e complexidade do diretório. Projetos com suporte nativo a OIDC/SAML exigem menos esforço que ambientes com muitos legados sem adaptadores. Forneça inventário de apps, requisitos de MFA e janelas de mudança para receber uma estimativa mais precisa.

É possível integrar Keycloak ao Active Directory ou LDAP existentes?

Sim. Keycloak trabalha com AD/LDAP como fonte de usuários. O orçamento deve prever mapeamento de atributos, sincronização de grupos, conectividade segura e testes de autenticação. Em cenários complexos, considere validações de esquema e criação de adaptadores para cobrir lacunas de atributos.

Como tratar usuários e permissões já existentes durante a migração?

Planeje vinculação de contas com base em atributos estáveis, como e-mail corporativo ou identificadores únicos. Defina regras para mesclar perfis, preservar grupos e aplicar políticas de MFA gradualmente. Faça pilotos com amostras reais e tenha rollback preparado para evitar perda de acesso.

Qual o tempo de um projeto de SSO com Keycloak?

Varia conforme a quantidade de aplicações, protocolos disponíveis e dependências. Estruture por fases: descoberta, PoC, piloto e expansão por ondas. Essa abordagem reduz riscos e permite ajustes. Informe prioridades de negócio e restrições de manutenção para obter cronogramas estimados mais realistas.

Keycloak exige licença paga?

Keycloak é um software open source. Custos costumam estar na integração, configuração, desenvolvimento de adaptadores, testes e operação contínua. Inclua esses itens no pedido de orçamento, bem como requisitos de auditoria, alta disponibilidade e suporte a MFA, para evitar lacunas de escopo.

Pronto para solicitar seu orçamento de SSO com Keycloak?

Envie a lista de aplicações, detalhes de AD/LDAP, protocolos suportados e requisitos de MFA. Com essas informações, você recebe uma proposta objetiva, focada no seu ambiente legado.

Enviar detalhes do ambiente