开源SSO Authelia部署（Docker+Ubuntu）

最新推荐文章于 2024-04-26 08:00:00 发布
最新推荐文章于 2024-04-26 08:00:00 发布
阅读量3.7k 收藏 6
点赞数 1
分类专栏： 随便写点 文章标签： docker ubuntu 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Purpose_7/article/details/128103303
版权

1 环境说明

Ubuntu18.04

Docker version 20.10.21

部署版本 Authelia 4.37.2

2 Authelia介绍

官方站点：https://www.authelia.com/

image-20221129174506179

3 样例部署步骤

3.1 一些说明

Note: 部署过程踩了很多坑，由于英文水平不太行，所以看官方文档稍微有点费力，过程中基本上是按照官方文档来的，如果有不清楚的地方，可以查阅原版文档。

在https://www.authelia.com/integration/deployment/docker/中，提供了三种模式的部署方式：

  • Unbundled Example 👉 非绑定版本
  • Bundle:lite 👉 绑定版本
  • Bundle:local 👉 绑定版本

其中lite跟local可以理解为在线部署和离线部署，都提供了三个演示站点。lite版本根据docker-compsoe.yml文件中的内容去pull镜像，local版本则适用于已提前准备好镜像的情况。

本次部署使用Bundle:lite版本，基本上就是按照提供的docker-compose文件进行部署。

3.2 部署步骤

3.2.1 准备docker-compose.yml

在github中提供了docker-compose.yml文件，https://github.com/authelia/authelia/tree/master/examples/compose/lite

version: '3.3'

networks:
  net:
    driver: bridge

services:
  authelia:
    image: authelia/authelia
    container_name: authelia
    volumes:
      - ./authelia:/config
    networks:
      - net
    labels:
      - 'traefik.enable=true'
      - 'traefik.http.routers.authelia.rule=Host(`authelia.example.com`)'
      - 'traefik.http.routers.authelia.entrypoints=https'
      - 'traefik.http.routers.authelia.tls=true'
      - 'traefik.http.routers.authelia.tls.certresolver=letsencrypt'
      - 'traefik.http.middlewares.authelia.forwardauth.address=http://authelia:9091/api/verify?rd=https://authelia.example.com'  # yamllint disable-line rule:line-length
      - 'traefik.http.middlewares.authelia.forwardauth.trustForwardHeader=true'
      - 'traefik.http.middlewares.authelia.forwardauth.authResponseHeaders=Remote-User,Remote-Groups,Remote-Name,Remote-Email'  # yamllint disable-line rule:line-length
    expose:
      - 9091
    restart: unless-stopped
    healthcheck:
      ## In production the healthcheck section should be commented.
      disable: true
    environment:
      - TZ=Australia/Melbourne

  redis:
    image: redis:alpine
    container_name: redis
    volumes:
      - ./redis:/data
    networks:
      - net
    expose:
      - 6379
    restart: unless-stopped
    environment:
      - TZ=Australia/Melbourne

  traefik:
    image: traefik:v2.9.5
    container_name: traefik
    volumes:
      - ./traefik:/etc/traefik
      - /var/run/docker.sock:/var/run/docker.sock
    networks:
      - net
    labels:
      - 'traefik.enable=true'
      - 'traefik.http.routers.api.rule=Host(`traefik.example.com`)'
      - 'traefik.http.routers.api.entrypoints=https'
      - 'traefik.http.routers.api.service=api@internal'
      - 'traefik.http.routers.api.tls=true'
      - 'traefik.http.routers.api.tls.certresolver=letsencrypt'
      - 'traefik.http.routers.api.middlewares=authelia@docker'
    ports:
      - 80:80
      - 443:443
    command:
      - '--api'
      - '--providers.docker=true'
      - '--providers.docker.exposedByDefault=false'
      - '--entrypoints.http=true'
      - '--entrypoints.http.address=:80'
      - '--entrypoints.http.http.redirections.entrypoint.to=https'
      - '--entrypoints.http.http.redirections.entrypoint.scheme=https'
      - '--entrypoints.https=true'
      - '--entrypoints.https.address=:443'
      - '--certificatesResolvers.letsencrypt.acme.email=your-email@your-domain.com'
      - '--certificatesResolvers.letsencrypt.acme.storage=/etc/traefik/acme.json'
      - '--certificatesResolvers.letsencrypt.acme.httpChallenge.entryPoint=http'
      - '--log=true'
      - '--log.level=DEBUG'

  secure:
    image: traefik/whoami
    container_name: secure
    networks:
      - net
    labels:
      - 'traefik.enable=true'
      - 'traefik.http.routers.secure.rule=Host(`secure.example.com`)'
      - 'traefik.http.routers.secure.entrypoints=https'
      - 'traefik.http.routers.secure.tls=true'
      - 'traefik.http.routers.secure.tls.certresolver=letsencrypt'
      - 'traefik.http.routers.secure.middlewares=authelia@docker'
    expose:
      - 80
    restart: unless-stopped

  public:
    image: traefik/whoami
    container_name: public
    networks:
      - net
    labels:
      - 'traefik.enable=true'
      - 'traefik.http.routers.public.rule=Host(`public.example.com`)'
      - 'traefik.http.routers.public.entrypoints=https'
      - 'traefik.http.routers.public.tls=true'
      - 'traefik.http.routers.public.tls.certresolver=letsencrypt'
      - 'traefik.http.routers.public.middlewares=authelia@docker'
    expose:
      - 80
    restart: unless-stopped

对于以上文件，没有要修改的内容。其中redis用于构建authelia时存储相关数据，public、traefik和secure为验证站点，在之后的配置文件中会提及。关于traefik，是一个负载均衡设备。

3.2.2 准备配置文件

在docker-compose.yml文件中，authelia镜像设置了卷映射- ./authelia:/config，所以接下来准备相关的配置文件。

在docker-compose.yml同级目录下创建文件夹authelia，文件夹名任意，只要在其他文件中同步修改即可。

创建文件configuration.yml

###############################################################
#                   Authelia configuration                    #
###############################################################

jwt_secret: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyIiOltdLCJpYXQiOjE2Njk3MDU4MjAsImV4cCI6NDEwMjMyOTU5OSwiYXVkIjoiIiwiaXNzIjoiIiwic3ViIjoiIn0.m6l1XlodI_N4Yz9P5p57tbsPuSOmDiFfbTLRKMCrDy8
default_redirection_url: https://public.example.com

server:
  host: 0.0.0.0
  port: 9091

log:
  level: debug
# This secret can also be set using the env variables AUTHELIA_JWT_SECRET_FILE

totp:
  issuer: authelia.com

# duo_api:
#  hostname: api-123456789.example.com
#  integration_key: ABCDEF
#  # This secret can also be set using the env variables AUTHELIA_DUO_API_SECRET_KEY_FILE
#  secret_key: 1234567890abcdefghifjkl

authentication_backend:
  file:
    path: /config/users_database.yml

access_control:
  default_policy: deny
  rules:
    # Rules applied to everyone
    - domain: public.example.com
      policy: bypass
    - domain: traefik.example.com
      policy: one_factor
    - domain: secure.example.com
      policy: two_factor

session:
  name: authelia_session
  # This secret can also be set using the env variables AUTHELIA_SESSION_SECRET_FILE
  secret: 481F2EN0L2RQJHT882OSM
  expiration: 3600  # 1 hour
  inactivity: 300  # 5 minutes
  domain: example.com  # Should match whatever your root protected domain is

  redis:
    host: redis
    port: 6379
    # This secret can also be set using the env variables AUTHELIA_SESSION_REDIS_PASSWORD_FILE
    # password: authelia

regulation:
  max_retries: 3
  find_time: 120
  ban_time: 300

storage:
  encryption_key: 481F2EN0L2RQJHT882OSM
  local:
    path: /config/db.sqlite3

notifier:
  disable_startup_check: false
  filesystem:
    filename: /config/notification.txt

相比于github中提供的文件，修改的字段有：

  • 所有路径换成了容器中的绝对路径

  • jwt_secret：使用一些在线站点生成就可以，但是没发现有什么用

  • session中的secret：生成随机字符串作为密钥

  • encryption_key：生成随机字符串作为密钥，不要求和上面的secret相同

  • notifier：github中还需要SMTP服务，还需要配置用户名密码，所以直接使用了最简单的方式

    notifier:
  disable_startup_check: false
  filesystem:
    filename: /config/notification.txt

在配置文件中，可以看到access_control选项，其中public.example.com站点对应bypass，表示不需要验证；traefik.example.com为one_factor，表示单次验证；secure.example.com对应one_factor，表示双重验证。

创建文件users_database.yml

users:
  john:
    displayname: "John Doe"
    password: "$argon2id$v=19$m=65536,t=3,p=4$U3/ys5gEgJ8kc89NUQwejg$KmJOz070CCDn2L19sVD+9woheCJ2T9PEOcnZXoP5hrU"
    email: john.doe@authelia.com
    groups:
      - admins
      - dev
  harry:
    displayname: "Harry Potter"
    password: "$argon2id$v=19$m=65536,t=3,p=2$BpLnfgDsc2WD8F2q$o/vzA4myCqZZ36bUGsDY//8mKUYNZZaR0t4MFFSs+iM"
    email: harry.potter@authelia.com
    groups: []
  bob:
    displayname: "Bob Dylan"
    password: "$argon2id$v=19$m=65536,t=3,p=2$BpLnfgDsc2WD8F2q$o/vzA4myCqZZ36bUGsDY//8mKUYNZZaR0t4MFFSs+iM"
    email: bob.dylan@authelia.com
    groups:
      - dev
  james:
    displayname: "James Dean"
    password: "$argon2id$v=19$m=65536,t=3,p=2$BpLnfgDsc2WD8F2q$o/vzA4myCqZZ36bUGsDY//8mKUYNZZaR0t4MFFSs+iM"
    email: james.dean@authelia.com

在同级目录下创建用户密码文件users_databases.yml，以如上文件为例：

  • 登录使用的用户名为john、harry、bob、james

  • john在管理组和开发组，bob在开发组

  • 登录使用的密码采用argon2id加密后存储在对应字段中，生成密码字符串的方法：

    • 在github的release中下载可执行程序包，解压后得到可执行程序authelia-linux-amd64

      wget https://github.com/authelia/authelia/releases/download/v4.37.2/authelia-v4.37.2-linux-amd64.tar.gz
tar xvzf authelia-v4.37.2-linux-amd64.tar.gz

    • 添加可执行权限

      chmod +x authelia-linux-amd64

    • 生成密码

      ./authelia-linux-amd64 hash-password -- '<password>'

      image-20221129183350779

    • 将生成的密码写入文件即可

3.2.3 配置域名解析

在Linux的/etc/hosts文件中加入如下域名解析内容：

127.0.0.1 authelia.example.com public.example.com traefik.example.com secure.example.com

在Windows主机的hosts文件中也加入域名解析：

10.2.4.36 authelia.example.com public.example.com traefik.example.com secure.example.com

3.2.4 docker-compose

执行docker-compose up -d

image-20221129183908915

3.3 验证

不需要验证

访问https://public.example.com/，不需要验证

image-20221129183954800

单次验证

访问https://traefik.example.com/，跳转到https://authelia.example.com，要求输入用户名密码进行验证

image-20221129184047474

输入用户名和密码（john/john@123）后访问到traefik的dashboard

image-20221129184215950

双重验证

访问https://secure.example.com，提示需要双重验证，要求注册设备。

image-20221129184255404

4 总结

在样例环境的部署中，通过configuration.yml文件指定要保护的站点，可以根据需求选择需要几次验证；验证的用户名和密码当前存储在文件中，更为保险和规范的方式是使用数据库，官方推荐的是Postgresql。此外，可以使用Nginx做反向负载，网上也有相关的文章。

由于在刚开始研究的时候只使用了单个镜像，所以没法验证是否生效，并且当时有点困，就被一些配置搞迷糊了，所以最终还是使用了官方的lite样例。实际上在单个镜像部署时，由于不会发生跳转，所以不太好验证，但是不代表不可行。

下班了，886~

5 参考

《官方文档》https://www.authelia.com/integration/deployment/docker/

《官方github》https://github.com/authelia/authelia

《Authelia统一认证服务部署》https://xubiaosunny.top/post/authelia_deploy_gsc0.html

xxL7-
关注
  • 1
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
authelia：在unRAID操作系统中部署Authelia的说明和配置文件
02-05
authelia：在unRAID操作系统中部署Authelia的说明和配置文件
CAS + .net Client 实现 SSO部署说明.rar
07-25
CAS + .net Client 实现 SSO部署说明
八个开源免费单点登录（SSO）系统
leyang0910的博客
11-14 3093
使用SSO服务可以提高多系统使用的用户体验和安全性，用户不必记忆多个密码、不必多次登录浪费时间。下面推荐一些市场上最好的开源SSO系统，可作为商业SSO替代。单点登录（SSO）是一个登录服务层，通过一次登录访问多个应用。使用SSO服务可以提高多系统使用的用户体验和安全性，用户不必记忆多个密码、不必多次登录浪费时间。下面推荐一些市场上最好的开源SSO系统，可作为商业SSO替代。
开源 SSO 单点登录认证系统，支持与 Nginx 直接集成
非著名程序员
07-27 2900
【公众号回复 “1024”，免费领取程序员赚钱实操经验】大家好，我是你们的章鱼猫。今天推荐一个比较正规的开源项目，每个公司基本都会有类似的系统，那就是登陆系统。Authelia 是一个开...
SSO+的理解和实现
01-15
本文有两个部分： 第一部分： EOS 与 SSO有联系吗？ 第二部分：作者本人对SSO的理解和实现。
单点登录服务Authelia（上篇）
wbsu2004的博客
03-07 9200
Authelia 是一个开源的身份认证和授权服务器。
【 云原生 kubernetes 】- 单点登录Authelia + OpenLdap
ycloud
06-25 1450
Authelia是一个开源的单点登录身份验证系统，可以用于保护Web应用程序、API和其他服务
Win10部署Authelia（OAuth2授权框架）
Konan96的博客
10-10 2418
一、安装docker 二、下载authelia代码 # 下载代码并切换到本地运行例子 git clone https://github.com/authelia/authelia.git cd authelia/examples/compose/local 三、配置相关参数 打开configuration.yml查看配置 具体参数详解可查看： https://www.authelia.com/docs/configuration/ 1、访问控制 access_control: default_po
Outline使用Authelia实现本地认证
wbsu2004的博客
03-11 4111
通过 Authelia 的 OIDC 协议，让 Outline 实现本地化认证。
GitHub热度第一！开源SSO单点登录认证系统
<sdffdsfsdfdfs>sfsfsfsdfsdffds</sdfsDS>Fsd
10-05 3057
????????关注后回复“进群”，拉你进程序员交流群????????开源最前线（ID：OpenSourceTop） 猿妹 整编链接：https://github.com/authelia/authelia相...
单点登陆（sso+shiro+cas）
04-11
spring下使用shiro+cas配置单点登录，多个系统之间的访问，每次只需要登录一次。代码中配有一个word文档，用来配置及启动项目。
单点登录系统(SSO)+权限管理
01-06
SSO 单点登录系统 +源码 +部署文档+架构图+权限管，包含项目数据库
civism-sso:基于springmvc+redis+shiro 实现的分布式单点登录系统
05-14
说明 若需要springmvc版本，请切换到提交记录log:241cc8451ecef46e3b4467bd864c2768052f5123 介绍 civism-sso基于springmvc+redis+shiro 实现的分布式单点登录系统,继承了登录验证以及数据接口鉴权， 能很好的帮助其他项目做前后端分析，并且不需要其他子系统关心权限，并且该项目支持跨域请求 功能介绍 * sso登录：统一登录后，跳转任何子系统不需要再次登录 * 鉴权：在子项目中，filter拦截所有数据请求转发到sso的/authorize路径，根据sso返回值来判断是否有权限访问 * 跨域：sso支持不同域名的访问，采用了jsonp请求方式，返回可执行代码来达到跨域 * 前后端分离：sso只有json接口返回，没有页面，跳转逻辑完全由前端控制，能更好的促进前后端分离开发 操作步骤 1. 修改redis配置文件 2.
authelia：适用于Web应用程序的Single Sign-On Multi-Factor门户
02-02
Authelia是一种开源身份验证和授权服务器，可通过Web门户为您的应用程序提供2要素身份验证和单点登录（SSO）。 它充当反向代理（如 ， 或的伴侣，以使他们知道查询是否应该通过。 未经身份验证的用户将重定向到Authelia登录门户。 可从获得文档。 下图显示了该体系结构。 Authelia可以作为独立服务从 ， ，也可以使用或来利用入口控制器和入口配置进行安装。 非常感谢您协助发布。 这是Authelia的门户网站的样子 功能概要 以下是主要可用功能的列表： 第二种因素： 带有 。 使用。 带有。 使用电子邮件确认通过身份验证重置密码。 提供仅单因素身份验证方法。 尝试过多身份验证后的访问限制。 每个子域，用户，资源和网络的细粒度访问控制。 支持受单一因素保护的端点的基本身份验证。 使用远程数据库具有很高的可用性，Redis可作为高可用性KV存储使用。 开箱即用与Kubernetes 控制器兼容。 有关功能的更多详细信息，请遵循。 如果您想进一步了解路线图，请遵循。 代理支持 Authelia与 ， 或结合使用。 它可以使用Docker部署在裸
poetize部署文档
01-10
poetize部署文档
开源项目“单点登陆SSO”
01-15
SSO开源项目，基于https的，大家可以在网上搜索研究一下！
SSO:Win10+CAS+SpringBoot Project(二) 样例源码
12-09
https://blog.csdn.net/chenyang_wei/article/details/128057260 SSO:Win10+CAS+SpringBoot Project(二) 样例源码
Docker 基本管理
2301_81307988的博客
04-22 799
Docker是一个开源的应用容器引擎，基于go语言开发并遵循了apache2.0协议开源。Docker是在Linux容器里运行应用的开源工具，是一种轻量级的“虚拟机”。Docker 的容器技术可以在一台主机上轻松为任何应用创建一个轻量级的、可移植的、自给自足的容器。Docker的Logo设计为蓝色鲸鱼，拖着许多集装箱。鲸鱼可看作为宿主机，集装箱可理解为相互隔离的容器，每个集装箱中都包含自己的应用程序。Docker的设计宗旨。
【Docker】Docker的网络与资源控制
最新发布
Mo_nor的博客
04-26 560
直接使用bridge模式，是无法支持指定IP运行docker的，例如执行以下命令就会报错可以先定义网络，再使用指定IP运行docker#docker1 为执行 ifconfig -a 命令时，显示的网卡名，如果不使用 --opt 参数指定此名称，那你在使用 ifconfig -a 命令查看网络信息时，看到的是类似 br-110eb56a0b22 这样的名字，这显然不怎么好记。#mynetwork 为执行 docker network list 命令时，显示的bridge网络模式名称。
CAS SSO + redis
08-26
CAS (Central Authentication Service) 是一种单点登录 (SSO) 协议，它旨在为多个应用程序提供统一的身份验证和授权机制。CAS SSO 基于票据 (ticket) 的方式进行身份验证，用户只需要登录一次就可以访问多个应用程序，而无需为每个应用程序单独登录。CAS SSO 的工作原理是，用户登录后，CAS 服务器会颁发一个票据给用户，然后用户在访问其他应用程序时，将该票据作为凭证携带过去，应用程序通过与 CAS 服务器交互来验证该票据的有效性。 Redis 是一种开源的高性能键值存储系统，它支持丰富的数据类型，并提供了快速的读写操作。Redis 可以用于缓存、消息队列、分布式锁等多种场景。在 CAS SSO 中，Redis 可以被用作存储票据信息的后端存储介质。当用户登录成功后，CAS 服务器会将票据信息存储到 Redis 中，然后在用户访问其他应用程序时，应用程序可以通过查询 Redis 来验证票据的有效性。 总结来说，CAS SSO 是一种单点登录协议，而 Redis 是一种常用的后端存储介质，在 CAS SSO 中可以用来存储和验证票据信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值