Как да свържа Authentik с Immich чрез SSO

Как да свържа Authentik с Immich? Ако настройвате собствен фото сървър у дома, вероятно вече знаете това Имих е истинско бижуНо управлението на потребителите един по един може да бъде главоболие. За да избегнете въвеждането на паролата хиляди пъти или ръчното създаване на акаунти за цялото семейство, най-умното нещо, което можете да направите, е да създадете система от Единично влизане (SSO)И тук се намесва Authentik.

Идеята е проста: Authentik действа като пазител на вашия сървър, валидирайки кой сте, за да можете след това влизане в Имих без усложненияВъпреки че конфигурирането на OIDC (OpenID Connect) може да изглежда като цяло като цяло с технически усложнения, след като разберете как двете приложения комуникират, това е лесна задача и прави внедряването изключително лесно. професионално покритие и много по-безопасно.

Свързана статия:

Как да защитите с парола Open WebUI и да ограничите регистрацията на потребители

Подготовка на почвата в Authentik

Преди да докоснем каквото и да било в Immich, трябва да кажем на Authentik, че има приложение за снимки, което иска да позволи на потребителите си да използват. За да направите това, първата стъпка е да отидете в администраторския интерфейс и да създадете Доставчик тип OpenIDКогато конфигурирате този доставчик, ще видите, че системата автоматично генерира Клиентски идентификатор и клиентска тайнаЗапишете тези данни в бележник, защото това са главните ключове, които по-късно ще поставим в конфигурацията на Immich.

Важен детайл е процесът на оторизация: ако искате потребителите ви да не е необходимо да приемат разрешения всеки път, когато влизат, можете да изберете имплицитен поток за да ускорите процеса. Що се отнася до URI адресите за пренасочване, не прекалявайте и използвайте точните, посочени в документацията на Immich, защото дори един символ е грешен, системата ще издаде грешка и ще ви попречи да влезете. Ако използвате много стари версии на Authentik (преди 2026.5), имайте предвид, че Всички URI се третират като тип оторизация.Така че не усложнявайте нещата, като конфигурирате URI адреси за излизане.

След като доставчикът е готов, следващата стъпка е да го създадете Самото приложение в панела Authentik. Просто трябва да му дадете име (като „Моите снимки“ или „Immich“) и да го свържете с доставчика, който току-що създадохте. Накрая се върнете в данните за доставчика и копирайте URL адрес на издателя (издател на конфигурация на OpenID), което е адресът, който Имих ще използва, за да разбере как да се удостовери.

Подробна конфигурация в Имих

Сега преминаваме към уебсайта на Immich. Трябва да отидете в раздела за Администрация, след това Настройки и потърсете секцията OAuth Authentication. Активирайте полето за активиране и ще видите формуляр, който изглежда плашещ, но всъщност е много лесен за разбиране. Тук поставяте URL адрес на издателя, клиентски идентификатор и клиентска тайна които сте запазили преди това.

За безпроблемно изживяване препоръчвам да активирате Автоматична регистрациякоето автоматично създава Immich акаунта на потребителя при първото му влизане чрез Authentik, и Автоматично стартиранекоето пренасочва потребителя директно към входа в Authentik, без да преминава през началния екран на Immich. Забележка: ако активирате автоматичното стартиране, Може да бъдете изключени от вашия локален администраторски акаунт. За да влезете с оригиналния администраторски акаунт, ще трябва да използвате специалния URL адрес, като добавите ?autoLaunch=0 в края на адреса за вход.

Пъзелът на URI и мобилния достъп

Тук много хора правят грешки. Immich се нуждае от няколко URI за пренасочване в зависимост от това откъде осъществявате достъп до него. За уеб ще трябва да добавите /auth/login и /user-settings заедно с вашия домейн. Но най-важното е мобилното приложение: трябва да включите URI адреса. app.immich:///oauth-callbackАко вашият сървър за удостоверяване не приема тази персонализирана схема, решението е да конфигурирате HTTP крайна точка, която действа като мост и пренасочва трафика към този адрес, като го посочите по-късно в Опция за замяна на URI за мобилно пренасочване от Имих.

Ако срещнете грешка 500 или проблеми с мрежата, особено в Docker или Unraid среди, проблемът може да е, че контейнерите не могат да се виждат един друг, използвайки своите публични имена на домейни. Някои потребители са решили това, използвайки Локални IP адреси вместо домейни или чрез настройване на хост мрежата, така че трафикът да протича правилно между обратния прокси сървър и услугите за удостоверяване.

Управление на потребители и разрешения

За да проверите дали всичко работи, не използвайте администраторския акаунт на Authentik. Отидете в потребителската директория, създаване на нов потребител със собствената си парола и опитайте да влезете в Immich с този акаунт. Ако всичко е наред, ще бъдете пренасочени към Authentik, въведете данните си и бам!, ще бъдете във вашата фотогалерия. Не забравяйте, че можете да експериментирате с Искове за съхранение в конфигурацията на Immich, за да се зададат специфични дискови квоти на всеки потребител въз основа на информацията, която Authentik изпраща в токена.

Интегрирането на тези два инструмента ви позволява да централизирате сигурността и да избегнете „умората“ от пароли, като делегирате валидирането на самоличността на надеждна система. Чрез правилно конфигуриране на OIDC потоци и пренасочващи маршрути, както в уеб, така и в мобилното приложение, вие създавате екосистема, където достъпът е прозрачен за крайния потребител, но строго контролиран от администратора, оптимизирайки управлението на самоличността във вашата лична лаборатория.

Кристиан Гарсия

Страстен към технологиите от малък. Обичам да съм в крак с новостите в сектора и най-вече да го комуникирам. Ето защо вече много години съм посветен на комуникацията в уебсайтове за технологии и видеоигри. Можете да ме намерите да пиша за Android, Windows, MacOS, iOS, Nintendo или всяка друга свързана тема, която ви хрумне.