Autenticazione come servizio è una piattaforma di identità ospitata che gestisce l'accesso degli utenti, il ciclo di vita dell'account, l'emissione delle sessioni e la gestione dei token per le applicazioni. Invece di creare internamente i flussi di login, i team delegano queste funzioni a un provider che supporta standard come OAuth 2.0, OpenID Connect e talvolta SAML. AaaS spesso fornisce anche autenticazione multifattore, federation e supporto per passkey o WebAuthn.
AaaS è importante perché l'autenticazione è un piano di controllo della sicurezza, non solo una funzionalità di comodità. Il provider e la sua configurazione influenzano il modo in cui le credenziali vengono protette, come le sessioni vengono convalidate e quanto rapidamente le difese possono rispondere agli abusi. Negli attacchi reali, gli avversari prendono di mira questo livello con credential stuffing, phishing, abusi automatizzati delle registrazioni e acquisizione degli account. I difensori usano AaaS per centralizzare i criteri, imporre l'MFA, ridurre l'esposizione delle password e aggiungere un accesso resistente al phishing. Il compromesso è che il team dell'applicazione deve comunque convalidare le sessioni, delimitare le credenziali del servizio e configurare con attenzione claims e autorizzazioni, perché esternalizzare l'autenticazione non significa esternalizzare la responsabilità.