- İleri Yönlendirme (Forward Auth) tekniğini kullanarak, uygulamayı değiştirmeden güvenliği bir ters proxy'ye devretme.
- Mevcut mimariyi basitleştirerek Redis'i kaldırıp her şeyi PostgreSQL'de merkezileştiriyoruz.
- OAuth2, OIDC, SAML ve LDAP protokolleriyle uyumlu Tekli Oturum Açma (SSO) sisteminin uygulanması.
Authentik kullanarak web uygulamasını değişiklik yapmadan nasıl koruyabilirsiniz? Sunucunuzda bir sürü araç kurulu olduğunu, ancak hiçbirinin düzgün bir giriş sistemine sahip olmadığını veya daha da kötüsü, her birinin farklı bir parola gerektirdiğini düşünün. Kullanıcıları tek tek yönetmek, özellikle de uygulamayı sürekli güncel tutmak istediğinizde, büyük bir baş ağrısıdır. verilerinizin tam gizliliği Ve bilgilerinizi saklayan teknoloji devlerine bağımlı olmak istemezsiniz. İşte burada kendi sunucumuzda barındırma devreye giriyor; bu felsefe bize dijital altyapımız üzerindeki kontrolü geri veriyor.
Bu karmaşayı çözmek için Authentik, erişim kontrolünün İsviçre çakısı gibi bir çözüm sunuyor. Sadece bir kullanıcı yöneticisi değil, aynı zamanda bir kimlik sağlayıcı (IdP) Tek oturum açma (SSO) ile tüm erişimi merkezileştirme özelliğine sahiptir. En güçlü özelliği ise güvenlik için tasarlanmamış uygulamaları koruyabilmesidir; istek son uygulamaya ulaşmadan önce kimin girip kimin çıkacağına karar veren bir bekçi görevi görür.
Authentik'in modern mimarisi
Eski kılavuzlara bakarsanız, Redis'in bulmacanın temel bir parçası olduğunu göreceksiniz. Ancak, 2025.10 sürümünden itibaren geliştirme ekibi, sistemi baştan aşağı yenilemeye karar verdi ve Redis'e olan bağımlılığı ortadan kaldırın.Artık minimum yığın çok daha hafif ve yalnızca üç konteynerden oluşuyor: PostgreSQL, sunucu ve çalışan. Bu basitleştirme, yapılandırma hatalarını azaltıyor; ancak PostgreSQL'in artık daha fazla yükü kaldırdığını bilmek önemli, bu nedenle yük sınırını gözden geçirmeniz önerilir. maksimum veritabanı bağlantıları.
Docker Compose ile kurulum yapanlar için, güncellemeler sırasında küçük sürümleri atlamamak çok önemlidir; veritabanını bozmamak için adım adım ilerlemeniz gerekir. Bir uzman tavsiyesi şudur: Öncelikle PostgreSQL'i başlatın.Veritabanı kilitlenmelerini önlemek için sunucudaki geçiş işlemleri tamamlanana kadar bekleyin ve ancak ondan sonra çalışan işlemi başlatın.
Uygulamayı değiştirmemenin sırrı: İleri Yönlendirmeli Kimlik Doğrulama (Forward Auth).
Burada meselenin özüne geliyoruz. Kendi yazdığınız bir web siteniz veya OAuth2 veya SAML'yi desteklemeyen üçüncü taraf bir araç kullanıyorsanız, bir giriş sistemi programlamanıza gerek yok. Çözüm şu... İleri YetkilendirmeBu mekanizma, uygulamanızın önüne bir ters proxy (Traefik veya Nginx gibi) yerleştirmeyi içerir. Birisi giriş yapmaya çalıştığında, proxy Authentik'e şu soruyu sorar: "Hey, bu kullanıcı giriş yapmış mı?" Cevap hayır ise, kullanıcı Authentik giriş sayfasına yönlendirilir; cevap evet ise, proxy isteğe izin verir.
- Proxy Sağlayıcısı: Authentik'te kimlik doğrulamanın nasıl yönetileceğini tanımlamak için oluşturulmuştur.
- Karakol: Bu, ters proxy'nin sorguladığı uç noktayı ortaya çıkaran bileşendir.
- Ara katman yazılımı: Traefik'te, trafik hedef noktaya ulaşmadan önce dış noktaya yönlendirilmesini sağlayan bir kural yapılandırılmıştır.
Önemli bir teknik detay çerez yönetimidir. Bir kullanıcının bir kez giriş yapıp birden fazla alt alan adına (örneğin app1.example.com ve app2.example.com) erişebilmesini istiyorsanız, çerez yönetimini yapılandırmanız gerekir. çerez alanı Kök dizine (.example.com) işaret etmelidir. Aksi takdirde, kullanıcının her hizmete ayrı ayrı giriş yapması gerekecek ve bu da SSO'nun büyüsünü bozacaktır.
Kimliğin karşılaştırılması ve alternatifleri
Açık kaynak ekosisteminde çeşitli seçenekler mevcut. Keycloak sektörün devi, inanılmaz derecede güçlü, ancak son derece ağır ve karmaşık Eğer özel bir BT ekibiniz yoksa yönetmesi zor olabilir. Öte yandan, Zitadel daha modern ve görsel, ancak henüz diğerlerinin olgunluğuna ulaşmadı. Authentik ise ideal noktada yer alıyor: orta ölçekli işletme ortamları için yeterince sağlam ve yeterli. ev laboratuvarı için çevik2 GB RAM ile rahatça çalışıyor.
Gelişmiş güvenlik ve menşe koruması
Kapıda kapıcı bulundurmanın bir anlamı yok, çünkü arkasında açık bir pencere var. Uygulamanızı korumak için bir proxy kullanıyorsanız, hiç kimsenin proxy'yi atlayıp doğrudan kaynak sunucunun IP adresine erişememesini sağlamalısınız. Bunu önlemek için aşağıdaki önlemler uygulanabilir: HTTP başlık doğrulamaları veya JSON Web Token'ların (JWT) kullanımı. Kaynak sunucu, doğru Authentik veya proxy imzasına sahip olmayan bir istek alırsa, bunu derhal reddetmelidir.
Ayrıca, gelen başlıkları temizlemek çok önemlidir. Kötü niyetli bir saldırgan, zaten doğrulanmış bir kimliği taklit eden sahte başlıklar gönderirse ve proxy'niz bunların geçmesine izin verirse, ciddi bir güvenlik açığınız olur. Bu nedenle, ciddi ileri kimlik doğrulama eklentisi İstemciden gelen kimlik başlıklarını, isteği sunucuya iletmeden önce mutlaka silmelisiniz.
İş akışları ve özelleştirme
Authentik'i öne çıkaran şey, sizi doğrusal bir yola zorlamamasıdır. Tasarımınızı dilediğiniz gibi yapabilirsiniz. özel kimlik doğrulama akışlarıÖrneğin, dahili kullanıcıların yalnızca parola ile giriş yapmasına, harici kullanıcıların ise iki faktörlü kimlik doğrulama (MFA) kullanmasına veya e-posta adreslerini doğrulamasına karar verebilirsiniz. Tüm bunlar, korunan uygulamada tek bir kod satırına dokunmadan, yönetim arayüzünden bir dizi adım ve kural sistemi aracılığıyla yapılır.
Kullanıcı yönetimi de esnektir. Hesapları dahili dizinde manuel olarak veya dış kimlikleri birleştirmekBu, kullanıcılarınızın Google Workspace veya Microsoft Giriş hesaplarını kullanarak oturum açmalarına izin verebileceğiniz, yönetimi merkezileştirebileceğiniz ancak kimlik doğrulamasını zaten bu yetkiye sahip olanlara devredebileceğiniz anlamına gelir.
Dijital kimlik üzerinde tam kontrol sahibi olmak, güvenliğin bir engel değil, görünmez bir katman olduğu güvenli ekosistemler oluşturmanıza olanak tanır. Etkin bir ters proxy'yi Authentik gibi bir kimlik sağlayıcıyla birleştirerek, ne kadar basit olursa olsun herhangi bir uygulama, parola tekrarını ortadan kaldırarak ve modern, hafif mimariler aracılığıyla hassas verilere erişimi güvence altına alarak profesyonel düzeyde koruma sağlayabilir.
Küçüklüğünden beri teknolojiye meraklı. Sektörde güncel olmayı ve her şeyden önemlisi iletişim kurmayı seviyorum. Bu yüzden uzun yıllardır teknoloji ve video oyunu web sitelerinde iletişime adadım. Beni Android, Windows, MacOS, iOS, Nintendo veya aklınıza gelen diğer ilgili konular hakkında yazarken bulabilirsiniz.