- Centralisering av identiteter genom en identitetsleverantör (IdP) som eliminerar behovet av flera inloggningsuppgifter.
- Förenkla driftsättningen i Docker genom att slopa Redis i senare versioner och optimera arkitekturen till tre containrar.
- Tjänstskydd genom Forward Auth och flexibel hantering av protokoll som OAuth2, SAML och LDAP.
- Möjlighet att federera externa identiteter för att tillåta åtkomst med Microsoft Entra ID-konton eller andra tjänster.
Hur konfigurerar man enkel inloggning (SSO) med Authentik? Tänk dig att du har en massa tjänster som körs på din server: ett forum, ett chattrum, ett privat moln och några hanteringsverktyg. Normalt sett skulle användarna behöva ange sitt användarnamn och lösenord för var och en, vilket är en... ett enormt besvär och en mardröm att hantera. Det är här Single Sign-On eller SSO kommer in i bilden, en teknik som gör att någon kan autentisera sig bara en gång och, voilà!, ha tillgång till hela ekosystemet utan att behöva skriva en enda bokstav igen.
För att detta ska fungera behöver vi två nyckelkomponenter: en identitetsleverantör (IdP), som är den som säger "ja, den här användaren är den de utger sig för att vara", och en tjänsteleverantör (SP), som är den applikation som litar på IdP:n. I den här meningen, Authentik positionerar sig som en lösning En extremt kraftfull och flexibel öppen källkodslösning som kan hantera identiteter och åtkomst (IAM) i moderna infrastrukturer, vilket gör den till ett lättare och mer hanterbart alternativ till andra alternativ som Keycloak för medelstora projekt.
Arkitektur och driftsättning med Docker
Från och med version 2025.10 har Authentik genomgått en betydande strukturell förändring. Eliminera beroendet av RedisTidigare var det obligatoriskt att ha en separat container för cachning och uppgiftsköer, men nu hanterar PostgreSQL allt det arbetet. Detta förenklar distributionen och minskar antalet containrar från fyra till bara tre: servern, arbetaren och databasen. Tänk dock på att PostgreSQL nu arbetar hårdare, så det är lämpligt att... kontrollera anslutningsgränsen (max_connections) för att undvika flaskhalsar.
För att få igång Docker Compose behöver du en .env-fil där du definierar starka nycklar. Det är viktigt att generera en AUTHENTIK_SECRET_KEY slumpmässig och lång för att signera säkerhetstoken. Startprocessen har sitt knep: helst bör du starta PostgreSQL först, vänta på att servern ska slutföra databasmigreringarna, och först sedan, aktivera arbetsbehållarenOm du försöker ladda upp allt på en gång under den första installationen kan du stöta på databaslås som tvingar dig att avsluta sessioner manuellt.
Konfiguration av omvänd proxy och vidarebefordran av autentisering
Ett av de vanligaste användningsområdena är att skydda applikationer som inte har ett eget inloggningssystem. Detta görs med hjälp av... Vidarebefordra autentisering med Traefik eller NginxI grund och botten fångar den omvända proxyn upp begäran och frågar Authentik om användaren har en aktiv session; om inte, skickas de direkt till inloggningsskärmen.
Om du använder Traefik kan du skapa en kedja av mellanprogram för att göra det så enkelt som att lägga till skydd till en ny tjänst... ändra en etikett på routernDet finns dock punkter där folk ofta snubblar. Till exempel är det avgörande att domänen som konfigurerats i Authentik exakt matchar den som används av proxyn, för om det finns avvikelser, omdirigeringar kommer att misslyckas och användaren kommer att hamna i en loop eller på en felsida. Om du vill att inloggningen ska fungera över flera underdomäner måste du dessutom konfigurera cookiedomänen så att den pekar mot roten (t.ex. .minwebbplats.com).
Leverantörs- och applikationshantering
När man konfigurerar åtkomst uppstår frågan om man ska använda en separat leverantör för varje app eller en generell. Nyckeln är att förstå att Leverantör (t.ex. OAuth2 eller SAML) Det är "hur" användaren autentiseras, medan Ansökan Det är "var" den ansluter. Du kan ha en enda OpenID-leverantör och associera den med flera applikationer, vilket förenklar administrationen.
För att skapa ett grundläggande flöde definierar du först leverantören (väljer om auktoriseringsflödet är explicit eller implicit) och skapar sedan applikationen och binder den till den leverantören. Om du behöver att applikationen tar emot specifika användardata, till exempel e-postadress eller namn, måste du justera räckvidden från leverantören. Om du glömmer detta kommer användaren att logga in i appen, men den kommer inte att veta exakt vem de är eftersom IdP:n inte har skickat profilinformationen.
Integration med externa identiteter (Office 365 och Azure)
Ibland vill vi inte hantera användare internt, utan snarare utnyttja befintliga konton, till exempel Microsoft Entra ID:n (tidigare Azure AD). För att göra detta måste du registrera en applikation i Microsoft-portalen, hämta Klient-ID och klienthemlighetoch konfigurera en federationskälla i Authentik.
Processen är något mer mödosam eftersom den kräver en attributmappning med hjälp av uttryckDetta gör att Authentik kan förstå att Microsofts "post"-fält motsvarar "e-post"-fältet i sin egen katalog. Dessutom måste ett registreringsflöde skapas så att när en Office 365-användare loggar in för första gången, Ditt konto kommer att skapas automatiskt. på det lokala systemet utan manuell inblandning från administratören.
Felsökning och underhåll
Om Forward Auth slutar fungera efter en uppdatering beror det troligtvis på en ändring i HTTP-rubrikerna. Nyare versioner stöder inte längre den här funktionen. X-Original-Uri till förmån för X-Original-Url Av säkerhetsskäl. Lösningen är att uppdatera plugin-programmet för omvänd proxy så att det använder rätt header.
För att diagnostisera SAML-fel är ett viktigt verktyg tillägget SAML-spårare för ChromeDet låter dig inspektera POST-meddelanden som skickas mellan SP:n och IdP:n, vilket hjälper till att upptäcka eventuella felstavade attributnamn som kan orsaka att åtkomst nekas. Slutligen, kom ihåg Hoppa inte över huvud-/biversioner Under uppdateringar är det nödvändigt att gå steg för steg för att förhindra att databasmigreringar stör systemet.
Att ha en centraliserad identitetsinfrastruktur förenklar slutanvändarens upplevelse och stärker administratörernas säkerhet, vilket gör att de kan kontrollera detaljerad åtkomst och MFA från en enda panel, oavsett om det gäller att driftsätta lösningen från grunden med Docker, integrera tredjepartstjänster som Microsoft eller skydda applikationer med omvända proxyservrar.
Brinner för teknik sedan han var liten. Jag älskar att vara uppdaterad inom branschen och framför allt kommunicera den. Det är därför jag har varit dedikerad till kommunikation på teknik- och videospelswebbplatser i många år nu. Du kan hitta mig som skriver om Android, Windows, MacOS, iOS, Nintendo eller något annat relaterat ämne som du tänker på.