如何在 Authentik 中创建用户并管理其权限

Authentik 可让您集中管理用于访问应用程序、服务器和内部服务的身份。您无需在每个平台上创建单独的帐户，只需维护一个统一的帐户即可。 通用用户目录 由一个评审小组决定哪些人可以参加每项申请。

该系统支持用户、外部客户端和用于自动集成的帐户。但是，每种用户类型的行为方式都不同。选择错误的类别可能会导致用户无法找到应用程序控制面板、更改密码或访问应受限制的服务。

本指南假设系统已在运行中。如果您尚未进行设置，则必须先…… 使用 Docker 安装 Authentik 并完成初始管理员用户设置。

Authentic 中存在哪些类型的用户？

创建账户之前，您必须决定账户的用途。Authentik 的区别 内部用户、外部用户和服务帐户最新的企业版还加入了代理帐户，用于代表人执行自动化操作。

账户类型	推荐用途	访问应用程序面板
内部用户	员工、管理员以及使用多个应用程序的人员	是的
外部用户	针对特定应用的客户、供应商或用户	不
服务帐户	脚本、集成、LDAP 和自动化	不
代理账户	代表用户执行操作的自动化程序	不

Un 内部用户 您可以打开 Authentik 应用程序面板，并从那里访问所有已分配的服务。您还可以访问个人设置，更改密码、配置多因素身份验证 (MFA) 设备以及查看您的数据。

Un 外部用户 它专为只需要登录应用程序的用户而设计。他们无法通过常规界面访问主控制面板或打开个人设置。如果他们需要更改密码或注册双重验证，您需要使用特定链接引导他们进入相应的流程。

一个 服务帐户 它不代表任何个人身份。它是为需要自动身份验证的应用程序、脚本和服务而设计的。它不应被用作内部或外部帐户的替代品。

如何创建内部或外部用户

要手动创建帐户，您需要使用具有目录管理权限的用户登录。

1. 打开 管理界面 来自 Authentik。
2. 进入 目录 > 用户.
3. 在文件夹区域中，选择要组织帐户的位置。
4. 按 新用户.
5. 选择 内部用户 o 外部用户.
6. 完成所要求的信息。
7. 按 创造.

创建过程中，您会看到以下字段：

• 用户名： 用户登录时使用的唯一标识符。
• 显示名称： 面板、日志和已连接应用程序中显示的名称。
• 电子邮件： 用于通知、邀请和凭证恢复的地址。
• 积极的： 确定账户是否可以进行身份​​验证。
• 小路： 用户将被保存到的组织文件夹。
• 属性： 使用 YAML 或 JSON 定义附加数据。

用户名必须唯一，但是 Authentic 默认情况下并不要求每个电子邮件地址都必须不同。如果电子邮件被用作访问标识符或用于恢复帐户，建议实施防止重复地址的策略。

领域 Path 它也不具备权限管理功能，而只是用于将用户分类到不同的文件夹中。 employees/marketing o customers/premium， 但 它不会修改可用的组、角色或应用程序。.

如何设置新用户的密码

手动创建账户时不会包含密码字段。保存用户名后，您必须单独设置密码。

1. 返回 目录 > 用户.
2. 点击新创建的用户名称。
3. 选择 重置密码.
4. 请输入并确认新密码。
5. 通过安全渠道向用户提供凭证。

此方法适用于测试帐户，但并非添加大量用户的最佳选择。管理员知道初始密码，并且必须将其发送给用户。在实际环境中，最好使用…… 邀请或恢复链接允许个人自行建立资质。

如果您使用管理器来存储初始凭据，您可以看到如何 使用 Bitwarden 填写密码和表格 无需手动复制数据。

如何创建群组和添加用户

随着目录的增长，逐个用户管理用户访问权限将变得难以管理。建议创建 按部门、职能或应用进行分组 并添加相应的账户。

1. 使用权 目录 > 组.
2. 按 创造.
3. 写一个描述性的名称，例如： jellyfin_users o marketing.
4. 如果要创建层级结构，请选择顶部组。
5. 分配必要的角色。
6. 添加可选属性并保存组。

要添加人员，请转到 目录 > 用户打开您的个人资料，选择选项卡 团体 并按 添加到现有组您也可以从同一屏幕创建新群组。

群组功能允许您在多个帐户之间共享设置。此外，用户还可以 从群体继承角色 它们所属的组。如果父组拥有角色，其子组也可以继承该角色的权限。

你必须格外谨慎地使用这个选项。 超级用户该群组的所有成员将拥有对 Authentik 的完全控制权，并且此权限还可以通过子群组继承。激活此权限之前，请审核所有直接和间接包含在群组中的用户。

群体、角色和政策之间有什么区别？

这三个概念都与访问控制有关，但它们的功能并不相同：

• 团体： 它们将具有相似特征或需求的用户聚集在一起。
• 角色： 它们包含管理权限或对 Authentik 对象的权限。
• 政策： 它们评估各种情况，并返回是否应该允许或拒绝某项行动。

从当前版本的 Authentik 开始，权限是通过以下方式授予的： 分配给用户或组的角色例如，您可以创建一个角色，允许您查看用户而不对其进行修改，并将其分配给支持团队。

当决策取决于上下文时，就会使用策略。策略可以检查组成员身份、用户属性、IP 地址、国家/地区、时区或请求中包含的信息。

为了维护一个易于理解的系统，应根据组织的职能创建群组，为这些群组分配角色，并将政策保留给特定群组。 动态访问条件.

如何限制用户对应用程序的访问权限

将帐户添加到目录并不会自动决定它可以使用哪些应用程序。对每项服务的访问都由其自身控制。 用户、组和策略绑定.

这一点尤其重要，因为如果一个应用程序没有约束力， 所有用户默认都拥有访问权限。.

限制现有应用程序：

1. 进入 应用程序 > 应用程序.
2. 选择要保护的应用程序。
3. 打开 策略/组/用户绑定.
4. 按 创建或绑定.
5. 选择 绑定用户, 绑定一个组 或现有政策。
6. 选择用户、组或策略，然后保存绑定。

如果存在多个绑定，则该字段 策略引擎模式 决定如何评估它们：

• 全部： 用户必须遵守所有约束条件。
• 任何： 只要满足至少一项要求就足够了。

对于大多数安装而言，最简单的方法是将整个组链接到每个应用程序。例如，您可以链接 jellyfin_users 与媒体服务器和 jellyfin_admins 具备行政职能。这种结构也有利于…… 与 Jellyfin 建立真正的联系 无需单独管理每个账户。

从面板中隐藏应用并不会撤销其访问权限。 从应用程序仪表板中隐藏 它只会移除图标；已授权用户仍然可以通过直接链接登录。要真正阻止访问，您需要绑定或设置策略。

如何邀请用户创建帐户

邀请制避免了管理员创建和手动发送密码的麻烦。用户会收到一个注册链接，并在链接内填写自己的信息。 受控的注册流程.

1. 使用权 目录 > 邀请函.
2. 打开旁边的下拉菜单 新邀请.
3. 选择现有的注册流程，或者创建一个包含邀请阶段的新流程。
4. 选择创建内部用户还是外部用户。
5. 确定邀请函的名称和有效期。
6. 积极的 一次性使用 如果该链接只需要工作一次。
7. 复制链接或通过电子邮件发送。

如果您还没有邀请流程，邀请向导可以自动创建一个最简化的流程。它还允许您预先填写姓名、电子邮件地址、部门或某些自定义属性等信息。

要通过 Authentik 发送邀请，您需要配置外发邮件服务。如果您没有配置 SMTP，可以复制链接并通过其他安全方式发送。

设置较短的有效期，并尽可能启用一次性使用。这样，被过滤的链接就无法被无限期地用于创建账户。

如何创建服务帐户

当脚本、应用程序或集成需要进行身份验证但又不代表特定人员时，应使用服务帐户。例如，LDAP 查找用户、CI/CD 流程或使用 Authentik API 的自动化流程。

1. 打开 目录 > 用户.
2. 按 新用户.
3. 选择 服务帐户.
4. 请输入一个描述性的用户名。
5. 决定是否创建同名群组。
6. 启用过期功能，并在适当情况下设置过期日期。
7. 按 下一个.
8. 复制确认信息中显示的应用程序密码。

创建过程中会显示生成的密码，应立即将其保存到密钥管理器中。服务帐户 它不使用普通的交互式密码。无法完成 MFA 注册，也无法访问用户或管理界面。

如果集成需要调用 API，请从中创建令牌 目录 > 令牌和应用密码选择相关账户并进行设置 API令牌 作为一种意图。

为每个集成使用不同的帐户，仅分配必要的权限，并定期轮换凭据。这种分离方式允许 无需暴露凭据即可将代理连接到内部系统 也不共享管理帐户。

如何审查会话、令牌和多因素身份验证方法

每个用户的个人资料页面都允许您查看除姓名和电子邮件地址之外的更多信息。 目录 > 用户点击账户，查看可用的不同标签页。

• 会议： 它会显示具有活动会话的设备，并允许您关闭它们。
• 团体： 显示用户所属的群组。
• 角色： 它显示了直接角色和继承角色。
• 用户事件： 它会记录登录信息、更改信息和授权信息。
• OAuth刷新令牌： 它允许撤销已发送给应用程序的令牌。
• 多因素身份验证器： 显示已注册的身份验证器。
• 明确同意： 它允许您撤回之前授予的 OAuth 授权。

如果用户丢失了手机或安全密钥，您可以从系统中移除受影响的身份验证器。 多因素身份验证器接下来，您需要注册一个新方法。在整个组织内实施之前，建议您先审查一下如何操作。 在身份验证中启用双重验证 并制定恢复方案。

如何恢复您的帐户或重置密码

当用户忘记凭据时，管理员可以直接更改密码，也可以使用恢复流程。

要设置新密码，请打开用户个人资料并按 重置密码为了方便用户独立完成注册流程，Authentik 提供了两种选项：

• 创建恢复链接： 它会生成一个链接，管理员可以复制该链接并提供给用户。
• 电子邮件恢复链接： 将链接发送到账户中注册的地址。

两种方案都要求存在恢复流，并且选择恢复流作为恢复流。 默认恢复流程 在活跃品牌模式下，自动发送还需要流程中的邮件阶段以及配置正确的 SMTP 服务器。

避免通过电子邮件或短信发送永久密码。恢复链接允许用户自行选择凭据，而无需与管理员共享。

如何停用或删除用户

当有人离开组织时，最安全的做法是 首先，请停用您的帐户。此操作会阻止身份验证并撤销活动会话，但会保留审计所需的身份数据和历史记录。

1. 进入 目录 > 用户.
2. 选择用户。
3. 按 停用.
4. 检查更改并确认 更新.
5. 同时检查您分配的令牌、组和应用程序。

删除操作不可逆。仅当您确定无需恢复身份或访问关系时才使用此选项。如果删除操作与数据泄露有关，建议您也查看相关信息。 何时关闭泄露的账户 并撤销相关凭证。

在 Authentic 中创建用户时常见的错误

用户存在，但无法登录。

确认账户已激活并设置了密码。手动创建内部或外部用户时， 初始表单中未设置密码。您必须稍后使用以下方式添加它 重置密码 或者使用邀请或检索流程。

外部用户收到“访问被拒绝”页面。

外部用户无法打开应用程序面板。他们必须通过相关应用程序发起身份验证，或者被重定向到品牌中配置的默认应用程序。

用户可以打开他们不应该看到的应用程序。

检查每个应用程序的绑定。如果不存在绑定，Authentik 会假定…… 所有用户均可访问隐藏面板图标并不能取代访问限制。

该群组未授予预期权限

加入某个群组并不意味着自动获得管理权限。请确认该群组已被分配了相应的角色，并检查是否继承了父群组的角色。

“路径”字段不限制访问权限

领域 Path 它仅将用户组织到文件夹中。要控制访问权限，您必须使用组、角色、应用程序绑定或策略。

两个用户拥有相同的电子邮件地址

Authentik 默认要求用户名唯一，但不要求邮箱地址唯一。如果邮箱地址用作标识符或恢复方式，请添加策略以拒绝重复的邮箱地址。

用户未收到恢复链接

确认账户拥有有效的电子邮件地址，存在恢复流程，且该流程包含电子邮件阶段，并且 SMTP 配置正常工作。检查系统任务是否存在投递错误。

服务帐户无法登录面板。

这是预期行为。服务帐户旨在用于非交互式身份验证，并使用应用程序密码或令牌。您必须为每个人创建一个内部用户或外部用户。

用户的第二重验证失败，已被锁定。

打开其记录并从中删除受影响的设备。 多因素身份验证器在此之前，它会通过内部程序验证用户身份，以防止攻击者绕过第二因素。

一名用户意外成为了管理员。

检查您的用户组及其父组。超级用户权限可以通过层级结构继承。将帐户从受影响的组中移除，并查看事件记录，了解其执行了哪些操作。

在 Authentik 中创建用户不仅仅是输入用户名和密码那么简单。您还必须选择合适的帐户类型，将其组织成组，通过角色分配权限，并使用绑定来控制可用的应用程序。

为了安全地引导用户加入，邀请函和恢复链接比手动发送密码更为可取。同样，集成也应使用带有有效期的独立服务帐户和凭据。从一开始就建立清晰的结构有助于审计，减少意外访问，并允许在不丢失目录控制权的情况下管理用户移除。