Bei den meisten Anwendungen ist Identity-Management ein kleiner Nebenaspekt: Die Authentifizierung erfolgt innerhalb Anwendung. Autorisierungsprüfungen werden im Code festkodiert. Token werden zwischen Services übertragen. Das funktioniert, solange die Systeme nicht wachsen und Entscheidungen nicht für mehrere Repositories, Services und Teams getroffen werden müssen.

Dann wird Identity-Management für Entwickler schnell zur Last. Identity-Logik wird nicht mehr zentral geplant, sondern muss durch das genaue Lesen des Codes analysiert werden. Änderungen dauern länger und Zugriffsregeln werden inkonsistent, noch bevor ein Problem offensichtlich zutage tritt.