в keycloak  и авторизацию накрутили. Там полно всего

только миллионы юзеров не факт что потянет

что значит миллионы?

Ну, надо считать сколько запросов в секунду на аутентификацию, сколько запросов на авторизацию и смотреть.
Но вообще keycloak на миллион+ пользователей использовать - очень не просто, в каком-то чатике мне описывали проблемы.

миллионы одновременно? в среднем в час? на пике?

или просто просто кто-то смигрячит базу на десятки миллионов пользователей, а потом решением никто пользоваться не будет

кто-то клон ЕАИС пишет :)

тогда нужно с нуля писать:)

...на Си

ну тогда конечно всё будет сразу быстро) и дорого

если не знаешь как сделать быстро - бери С

Была кассандра, для неё не нашли бизнес-моделей, не научились на ней зарабатывать, в отличие от кафки (канфлюент). Начали пилить сциллу на С.

я бы взял keyclock и и когда он не справится с ростом нагрузки - сделать свой кастомный. просто на начальном этапе проекта
а) вряд ли вы сможете оценить правильно нагрузку и профиль нагрузки
б) не все проекты переживают переход 10.000 -> 1.000.000 клиентов, так что нет смысла вкладываться прямо с начала

да, самый разумный совет. Внутри просто заложиться на openID connect протокол. А конкретное решение подобрать потом. Начать с keycloak

С другой стороны, если сразу делать на keyclock, то нужно продумывать (инвестировать) в абстрации, которые позволят сделать решение независимым от имлементации.

Альтернатива - сделать просто собственное решение.

Но, опять же, нужны цифры, показатели назначения (арх. характеристики). А ещё ведь есть отказоустойчивость/катастрофоустойчивость, SLA и т.д.

Впрочем, лично я бы взял keyclock не раздумывая для этой задачи, но постарался бы всё же спроектировать абстракции

При решении таких задач есть обычно, а на самом деле всегда, всего три альтернативы:

- сделать с нуля из навоза и потом выкинуть
- взять что-то готовое и потом выкинуть
- сразу делать правильно и развивать

В первых двух случаях нужно продумывать абстракции, чтобы была потом возможность выкинуть. Иначе потом придётся жить с этим вечно (почти).

Это позволит выиграть время и определить для себя метрики, когда уже пора готовиться к тому, чтобы выкинуть.

И есть разумный компромисс - сделать правильные абстрации и имлементацию из навоза

Ну и авторизацию делать на каком-нибудь Kong, не на keycloak.

Во всех случаях абстрациями (дизайном, будь он неладен) стоит озаботиться, то есть немного поднатужиться и подумать

да, согласен, в данном случае  (что бы не делать свою собственную имплетментацию OIDC/Auth)  - - "взять что-то готовое и потом выкинуть", выглядит лучше.