快速结论
Quick Take: 第一份报价把 Duo Essentials 对上 Okta 全量 Workforce SSO。那不是价格战。一边后补 500 枚硬件令牌和 3 年 Premier 自适应，另一边停在第 1 年只要 MFA。ISE 席不是 MFA 席。把命名用户、MFA 还是 SSO、令牌数发给滔涵，按偏离表回两列。Essentials 对不上全量 SSO。净价待确认，可开 13% 增值税专票。
你写的不是文书,是评标委员会将来能比什么。先花两小时在清单上,还是后面花一轮重招,自己选。把草稿条款发来,我们把会收回不可比报价的行先标出来,赶在开标之前。
Duo Essentials 对 Okta 全量 SSO 定标，会出什么事？
Quick Answer: 把便宜 MFA 当平台——SSO 应用和 500 枚令牌事后才补。
典型场景：招标写「MFA」。一家回 Duo Essentials。另一家回 Okta 全量 Workforce SSO，再加 500 枚硬件令牌和 3 年 Premier 级自适应策略。采购按总价排名。应用数谁都没写。便宜那列后来补了 SSO，年限还停在第 1 年。
本页只锁：同一份身份 brief 里，Duo 和 Okta 怎么对齐命名用户、MFA 对 SSO、令牌再定标。按用户单价为行业估算 / 待确认。
不要把 ISE PSN 席或 EDR 代理写进这张表。ISE 对 ClearPass 是另一份询价。可开 13% 增值税专票，不把 Essentials 变成 Premier。
偏离表上能写哪些公开数字？
Quick Answer: 500 枚令牌加 3 年对不上第 1 年 Essentials；年限对齐 3 / 5 年。
只报第 1 年的 Essentials，不能对 500 枚令牌再加 3 年 Premier 自适应。支持年限对齐到 3 年 或 5 年。SSO 应用数或令牌漏写时，典型庄园会在 6 个月后重新询价。
滔涵不会印「Essentials 含 SSO」这种没有出处的格子。
| 维度 | Duo | Okta |
|---|---|---|
| 角色 | workforce MFA，Cisco Secure 邻接 | workforce MFA + SSO 平台 |
| 计费 | Essentials / Advantage / Premier，按命名用户 | MFA 底档对全量 Workforce SSO + 应用数 |
| 本行不要写 | ISE / ClearPass NAC | 整场 IdP 生命周期（除非招标点名） |
什么时候选 Duo，什么时候留 Okta？
Quick Answer: ISE 和 AnyConnect 庄园走 Duo。上百个 SaaS 走 Okta。
| 行 | Duo 路径 | Okta 路径 |
|---|---|---|
| 用户 | 同一命名数量，员工 + 外包 | 同一数量，服务账号只有写明才算 |
| 范围 | 只要 MFA，或 MFA 加点名的 SSO 应用 | 同一范围，不要藏全量 Workforce SSO |
| 令牌 | 同一 YubiKey/OTP 数量 + 备件 | 同一数量 |
| 年限 | 3 / 5 年 | 同一年限 |
ISE 姿态和 Secure Client 已经管 VPN MFA，偏向 Duo。SaaS 目录才是第二天的活，偏向 Okta。把 ISE 席塞进本行 MFA，两列都会输。
采购语境里「Duo 和 Okta」指什么？
Quick Answer: 好 = 用户、范围和令牌对齐，不是 Essentials 对平台的口号。
定义：Duo 是思科的 workforce MFA（Essentials / Advantage / Premier）。Okta Workforce 是 MFA 加可选全量 SSO。ISE 是 NAC。AnyConnect 是 VPN。这几格都不能当本行替代。
好比只买门锁，对一把锁加门禁再加 500 把备用钥匙。用户数和年数没对齐，不要先比套餐。Essentials 对全量 SSO，就是这种错位。
Essentials 不是 Premier。ISE 席不是 MFA 席。令牌两列都要有。专票和报备不改变对齐规则。
把双 MFA 询价锁进招标，6 步怎么走？
Quick Answer: 用户 → MFA 对 SSO → 档位 → 令牌 → 拆 ISE → 同年限回表。
- 第 1 步 — 先锁命名用户 — 员工 + 外包同一数量。服务账号只有写明才算。
- 第 2 步 — 写 MFA 还是 SSO — 只要 MFA，或 MFA 加点名的 SSO 应用数。两列同一范围。
- 第 3 步 — 点名档位 — Duo Essentials / Advantage / Premier 对上同级 Okta Workforce。
- 第 4 步 — 锁令牌 — 两列同一 YubiKey/OTP 数量加备件。
- 第 5 步 — 拆开 ISE — NAC PSN 席离开本询价。
- 第 6 步 — 按偏离表回两行 — 滔涵一个工作日内映射。净价待确认，可开 13% 专票。
小步先行：询价抬头先写「Duo / Okta」和「用户 + MFA 或 SSO + 令牌」，再比价。
谁必须双列，谁该拿掉一列？
Quick Answer: workforce MFA 刷新双列。Cisco Secure 可留 Duo。SaaS 很重可留 Okta。
ISE 和 AnyConnect 已经在用。Duo 和 Okta 同一命名用户。仍要写 SSO 应用数——Essentials 藏不住整本目录。
上百个 SaaS，没有思科重心。Okta 可以单独留。仍要点名只要 MFA 还是全量 SSO。不要拿只要 MFA 对生命周期捆包。
刷新 NAC。另开 ISE 对 ClearPass。不要把 PSN 席混进本行。
- 适合：身份条款；把 Essentials 当成全量 SSO；漏写令牌。
- 不适合：单座个人买家；只比 NAC；索要编造的按用户目录价。
Duo 对 Okta 询价常见坑
Quick Answer: Essentials 对全量 SSO、ISE 串行、500 枚令牌一边有、1 年对 3 年、档位无名。
| 坑 | 后果 | 解法 |
|---|---|---|
| Essentials 对全量 SSO | 假价差 | 同一范围 + 同一应用数 |
| ISE 席写进本行 | 产品错了 | NAC 另开询价 |
| 只有一边 500 枚令牌 | 交期事后爆 | 同一令牌数 + 备件 |
| 第 1 年对 3 年 Premier | 年限错位 | 同一 3 / 5 年 |
| 档位没写名 | 深度事后爆 | 写 Essentials / Advantage / Premier |
跨品牌仍要同一命名行。不要把 Essentials 的零填进全量 SSO 格子，然后当定标数学。
常见问题
Quick Answer: 招标 BOM 是发标方的比价基准:同样的行、同样的单位、同样的授权年限。投标用偏离表答,委员会比行不比总价。
不一定。Cisco Secure 庄园偏向 Duo。SaaS 联邦很深偏向 Okta。同一用户数再双列。
不能。Essentials 只做 MFA。全量 Workforce SSO 是平台。要点名差距。
不能。NAC 另开一行。可以写 Duo-ISE 对接，不要把 PSN 席捆进来。
范围内就要。只有一边写 500 枚，对不上。
招标这么写才是。默认只做 workforce MFA/SSO，不做生命周期治理。
发来命名用户、MFA 对 SSO、令牌数，一个工作日内按偏离表回两行。可开 13% 增值税专票，净价待确认。
参考文献
Quick Answer: 买家行为数字来自 G2 与 TechnologyMatch 的 2026 调研;招标规模来自 DoNews 对 2026 年前 7 个月中标的跟踪。2026 年 10 月 21 日核对。
关键结论
Key Takeaway: 同一份身份 brief 双列 Duo 与 Okta：命名用户、MFA 对 SSO、令牌必须对齐。Essentials 不是全量 SSO。滔涵一个工作日内按偏离表回两行；净价待确认，可开 13% 增值税专票。