698 lines
24 KiB
Markdown
698 lines
24 KiB
Markdown
# Authentik: 搭建属于自己的单点登录服务
|
||
|
||
!!! tip "建议"
|
||
|
||
本文篇幅较长，请善于页内搜索 ++ctrl+f++ 与右侧的文章目录
|
||
|
||
## 准备/环境条件
|
||
|
||
- 域名
|
||
- Ubuntu 24.04 LTS
|
||
- Authentik 2026.2.1
|
||
- Traefik (Nginx / Caddy 亦可)
|
||
- Docker & Docker Compose
|
||
|
||
## 安装
|
||
|
||
安装步骤基本依照 [Docker Compose installation - authentik](https://docs.goauthentik.io/install-config/install/docker-compose/) 完成。
|
||
|
||
首先，编写 `docker-compose.yml`，Authentik 由 `PostgreSQL` `Server` `Worker` 三部分构成。
|
||
|
||
``` yaml title="docker-compose.yml"
|
||
services:
|
||
authentik_postgresql:
|
||
image: docker.io/library/postgres:16-alpine
|
||
container_name: authentik_postgresql
|
||
volumes:
|
||
- /path/to/authentik/database:/var/lib/postgresql/data
|
||
networks:
|
||
- authentik_network
|
||
environment:
|
||
POSTGRES_PASSWORD: ${PG_PASS:?database password required}
|
||
POSTGRES_USER: ${PG_USER:-authentik}
|
||
POSTGRES_DB: ${PG_DB:-authentik}
|
||
healthcheck:
|
||
interval: 30s
|
||
retries: 5
|
||
start_period: 20s
|
||
test:
|
||
- CMD-SHELL
|
||
- pg_isready -d $${POSTGRES_DB} -U $${POSTGRES_USER}
|
||
timeout: 5s
|
||
env_file:
|
||
- .env
|
||
restart: unless-stopped
|
||
|
||
authentik_server:
|
||
image: ${AUTHENTIK_IMAGE:-ghcr.io/goauthentik/server}:${AUTHENTIK_TAG:-2026.2}
|
||
container_name: authentik_server
|
||
command: server
|
||
ports:
|
||
- "9000:9000" # For authentik embedded outpost
|
||
networks:
|
||
- basic_network
|
||
- authentik_network
|
||
volumes:
|
||
- /path/to/authentik/data:/data
|
||
- /path/to/authentik/custom-templates:/templates
|
||
environment:
|
||
AUTHENTIK_POSTGRESQL__HOST: authentik_postgresql
|
||
AUTHENTIK_POSTGRESQL__USER: ${PG_USER:-authentik}
|
||
AUTHENTIK_POSTGRESQL__NAME: ${PG_DB:-authentik}
|
||
AUTHENTIK_POSTGRESQL__PASSWORD: ${PG_PASS}
|
||
AUTHENTIK_SECRET_KEY: ${AUTHENTIK_SECRET_KEY:?secret key required}
|
||
env_file:
|
||
- .env
|
||
depends_on:
|
||
authentik_postgresql:
|
||
condition: service_healthy
|
||
restart: unless-stopped
|
||
shm_size: 512mb
|
||
labels:
|
||
- "traefik.enable=true"
|
||
- "traefik.docker.network=basic_network"
|
||
# HTTPS part:
|
||
- "traefik.http.routers.authentik-secure.entrypoints=web-secure"
|
||
- "traefik.http.routers.authentik-secure.tls=true"
|
||
- "traefik.http.routers.authentik-secure.tls.certresolver=letsencrypt"
|
||
- "traefik.http.routers.authentik-secure.rule=Host(`your.authentik.domain`)"
|
||
- "traefik.http.routers.authentik-secure.middlewares=default@file"
|
||
# Upstream part:
|
||
- "traefik.http.services.authentik.loadbalancer.server.scheme=http"
|
||
- "traefik.http.services.authentik.loadbalancer.server.port=9000" # Authentik default http port
|
||
|
||
authentik_worker:
|
||
image: ${AUTHENTIK_IMAGE:-ghcr.io/goauthentik/server}:${AUTHENTIK_TAG:-2026.2}
|
||
container_name: authentik_worker
|
||
command: worker
|
||
networks:
|
||
- authentik_network
|
||
environment:
|
||
AUTHENTIK_POSTGRESQL__HOST: authentik_postgresql
|
||
AUTHENTIK_POSTGRESQL__USER: ${PG_USER:-authentik}
|
||
AUTHENTIK_POSTGRESQL__NAME: ${PG_DB:-authentik}
|
||
AUTHENTIK_POSTGRESQL__PASSWORD: ${PG_PASS}
|
||
AUTHENTIK_SECRET_KEY: ${AUTHENTIK_SECRET_KEY:?secret key required}
|
||
user: root
|
||
volumes:
|
||
- /var/run/docker.sock:/var/run/docker.sock
|
||
- /path/to/authentik/data:/data
|
||
- /path/to/authentik/certs:/certs
|
||
- /path/to/authentik/custom-templates:/templates
|
||
env_file:
|
||
- .env
|
||
depends_on:
|
||
authentik_postgresql:
|
||
condition: service_healthy
|
||
restart: unless-stopped
|
||
|
||
networks:
|
||
basic_network:
|
||
name: basic_network
|
||
authentik_network:
|
||
name: authentik_network
|
||
```
|
||
|
||
然后，创建配置文件 `.env`，并生成数据库密码和 Authentik 密钥。
|
||
|
||
``` bash
|
||
touch .env
|
||
|
||
echo "PG_PASS=$(openssl rand -base64 36 | tr -d '\n')" >> .env
|
||
|
||
echo "AUTHENTIK_SECRET_KEY=$(openssl rand -base64 60 | tr -d '\n')" >> .env
|
||
```
|
||
|
||
接着，继续编辑配置文件 `.env`，添加邮件发送配置，以下以腾讯企业邮箱（即企业微信邮箱）为例。
|
||
|
||
``` yaml title=".env"
|
||
PG_PASS=(Automatically generated from the previous step)
|
||
AUTHENTIK_SECRET_KEY=(Automatically generated from the previous step)
|
||
# SMTP Host Emails are sent to
|
||
AUTHENTIK_EMAIL__HOST=smtp.exmail.qq.com
|
||
AUTHENTIK_EMAIL__PORT=465
|
||
# Optionally authenticate (don't add quotation marks to your password)
|
||
AUTHENTIK_EMAIL__USERNAME=authentik@your.domain
|
||
AUTHENTIK_EMAIL__PASSWORD=(Tencent Enterprise Email SMTP password)
|
||
# Use StartTLS
|
||
AUTHENTIK_EMAIL__USE_TLS=false
|
||
# Use SSL
|
||
AUTHENTIK_EMAIL__USE_SSL=true
|
||
AUTHENTIK_EMAIL__TIMEOUT=10
|
||
# Email address authentik will send from, should have a correct @domain
|
||
AUTHENTIK_EMAIL__FROM=authentik@your.domain
|
||
```
|
||
|
||
最后，启动 Authentik 服务。
|
||
|
||
``` bash
|
||
docker compose pull
|
||
docker compose up -d
|
||
```
|
||
|
||
Authentik 正常启动后，请访问 `https://your.authentik.domain/if/flow/initial-setup/` 完成初始化配置。
|
||
|
||
## 自定义
|
||
|
||
### 流程、阶段和输入
|
||
|
||
Authentik 前端实现由流程、阶段和输入三者构成:
|
||
|
||
- 流程是由一系列用于对用户进行身份验证、注册或恢复的阶段构成。
|
||
- 阶段是引导用户完成流程的单个步骤。
|
||
- 输入是可用于输入阶段的单个输入项。
|
||
|
||
自定义流程、阶段和输入有两种办法:
|
||
|
||
- 手动编辑
|
||
- 导入**流程蓝图**: 管理员界面 - 流程与阶段 - 流程 - 导入
|
||
- [恢复流程(需邮箱验证)](https://static.cattom.site/authentik-blueprints/forget-password.yaml)
|
||
- [删除账户流程](https://static.cattom.site/authentik-blueprints/unenrollment.yaml)
|
||
- [无密码登录流程(WebAuthn)](https://static.cattom.site/authentik-blueprints/passwordless-login.yaml)
|
||
- [邀请注册流程](https://static.cattom.site/authentik-blueprints/enrollment.yaml)
|
||
|
||
### 验证码阶段: Cloudflare Turnstile (可选)
|
||
|
||
**Cloudflare**:
|
||
|
||
- (当前项目) - 应用程序安全 - Turnstile
|
||
- 小组件名称: (随意)
|
||
- 主机名管理: (按实际情况)
|
||
- 小组件模式: 托管
|
||
- 您是否要为此站点选择预先许可: 否
|
||
|
||
**Authentik**:
|
||
|
||
- 管理员界面 - 流程与阶段 - 阶段 - 创建
|
||
- 选择 `Captcha Stage`
|
||
- Stage Name: (随意)
|
||
- 提供程序类型: `Cloudflare Turnstile`
|
||
- 公钥: (Cloudflare 提供的**站点密钥**)
|
||
- Secret Key: (Cloudflare 提供的**密钥**)
|
||
|
||
### 登录流程优化
|
||
|
||
- 管理员界面 - 流程与阶段 - 阶段 - (身份验证阶段) - 流程绑定 - 编辑流程
|
||
- default-authentication-identification:
|
||
- 密码流程
|
||
- 验证码流程
|
||
- WebAuthn 身份验证器验证流程
|
||
- 无密码流程
|
||
- 恢复流程
|
||
- default-authentication-mfa-validation:
|
||
- 设备类型: `静态令牌` `TOTP 身份验证器` `WebAuthn 身份验证器`
|
||
- 未配置操作: 强制用户配置身份验证器
|
||
- 配置阶段:
|
||
- default-authenticator-webauthn-setup
|
||
- default-authenticator-totp-setup
|
||
- WebAuthn 用户验证: 如果可用，则首选用户验证，但不是必需的。
|
||
|
||
### 外观
|
||
|
||
- 转至 管理员界面 - 系统 - 品牌
|
||
- 域名: `authentik.your.domain`
|
||
- 品牌设置:
|
||
- 标题
|
||
- ...
|
||
- 默认流程:
|
||
- 恢复流程
|
||
- 删除账户流程
|
||
- ...
|
||
|
||
## 对接支持 OAuth2/OpenID 的应用
|
||
|
||
进入 Authentik 管理员界面后，找到应用程序 - 应用程序 - `以提供程序创建`。
|
||
|
||
**第一步 应用程序**:
|
||
|
||
- 应用名称: 任意字符
|
||
- Slug: 英文字符与数字
|
||
- 应用界面设置:
|
||
- 启动 URL: 对应应用的登录界面
|
||
|
||
**第二步 选择提供程序**: OAuth2/OpenID Provider
|
||
|
||
**第三步 配置提供程序**:
|
||
|
||
- 授权流程:
|
||
- default-provider-authorization-**implicit**-consent: 用户通过 Authentik 登录对应应用时不需要点击“授权”
|
||
- default-provider-authorization-**explicit**-consent: 用户通过 Authentik 登录对应应用时需要点击“授权”
|
||
- 协议设置:
|
||
- 客户端类型: 机密
|
||
- 客户端 ID: (自动生成，复制备用)
|
||
- 客户端 Secret: (自动生成，复制备用)
|
||
- 重定向 URL/Origin: (按照应用实际情况添加)
|
||
- 高级流程设置:
|
||
- 失效流程: default-provider-invalidation
|
||
|
||
**第四步 配置绑定**: (跳过，可后续按照实际情况设置)
|
||
|
||
**第五步 检查与提交应用程序**: (检查无误后，点击“提交”)
|
||
|
||
### OpenList/AList
|
||
|
||
以下步骤基本参照 [单点登录 - OpenList文档](https://doc.oplist.org/guide/advanced/sso#_3-6-authentik) 完成。
|
||
|
||
#### Authentik 配置
|
||
|
||
**配置提供程序**:
|
||
|
||
- 重定向 URL/Origin:
|
||
- `正则表达式` `https://your.openlist.domain/api/auth/sso_callback\?method=get_sso_id`
|
||
- `正则表达式` `https://your.openlist.domain/api/auth/sso_callback\?method=sso_get_token`
|
||
|
||
**获取 JWT 证书**:
|
||
|
||
- 转至 系统 - 证书
|
||
- 找到 `authentik Self-signed Certificate`，点击列表左侧的 `>`
|
||
- 点击 `下载证书` 以获取 JWT 证书
|
||
|
||
!!! warning "注意"
|
||
|
||
- 记得将 `your.openlist.domain` 替换为你的 OpenList 对应的 FQDN.
|
||
- `?` 前的 `\` 是正则表达式中的转义字符，必须保留。
|
||
|
||
#### OpenList/AList 配置
|
||
|
||
!!! tip "建议"
|
||
|
||
建议默认管理员账户不绑定单点绑定服务，以避免可能的权限混乱。
|
||
|
||
转至 OpenList/AList 管理 - 设置 - 单点登录
|
||
|
||
- SSO 登录启用: 是
|
||
- SSO 登录平台: `OIDC`
|
||
- SSO 客户端 ID: (Authentik 中对应应用的提供程序的客户端 ID)
|
||
- SSO 客户端密钥: (Authentik 中对应应用的提供程序的客户端 Secret)
|
||
- OIDC 用户名键: `preferred_username`
|
||
- 组织名称: `user`
|
||
- SSO 应用名称: `user`
|
||
- SSO 端点名称: (Authentik 中对应应用的提供程序的**OpenID 配置颁发者**)
|
||
- SSO JWT 公钥: 打开先前下载的 JWT 证书，并将全部内容粘贴在输入框中。应以 -----BEGIN CERTIFICATE----- 开头。
|
||
- SSO 额外范围: (空)
|
||
- SSO 自动注册: (按需启用)
|
||
- SSO 默认根目录: `/` (可根据实际情况调整)
|
||
- SSO 默认权限:
|
||
- 默认为 `0`，后续可通过管理界面为用户手动赋权。
|
||
- 请参考[SSO默认权限 - OpenList文档](https://doc.oplist.org/guide/advanced/sso#_4-4-sso%E9%BB%98%E8%AE%A4%E6%9D%83%E9%99%90)
|
||
- SSO 兼容模式: 否
|
||
|
||
### Gitea
|
||
|
||
!!! tip "建议"
|
||
|
||
在继续操作前，请确保您拥有另一个管理员账户。如果将 Authentik 关联到 Grafana 上唯一的管理员账户，权限可能会被覆盖。
|
||
|
||
以下配置为个人整理，可能存在错误和缺漏，仅供参考。
|
||
|
||
#### Authentik 配置
|
||
|
||
**配置属性映射**:
|
||
|
||
- 转至 自定义 - 属性映射
|
||
- 点击 “创建”
|
||
- 选择类型: `Scope Mapping`
|
||
- 创建 Scope Mapping:
|
||
- 名称: `gitea`
|
||
- 作用域名称: `gitea`
|
||
- 表达式:
|
||
``` python
|
||
gitea_claims = {}
|
||
|
||
if request.user.groups.filter(name="gituser").exists():
|
||
gitea_claims["gitea"]= "user"
|
||
if request.user.groups.filter(name="gitadmin").exists():
|
||
gitea_claims["gitea"]= "admin"
|
||
if request.user.groups.filter(name="gitrestricted").exists():
|
||
gitea_claims["gitea"]= "restricted"
|
||
|
||
return gitea_claims
|
||
```
|
||
|
||
**设立用户组与添加已有用户进入用户组**:
|
||
|
||
请分别创建名为 `gitadmin` `gituser` `gitrestricted` 的用户组。
|
||
|
||
- 转至 目录 - 组
|
||
- 点击 “新建组”
|
||
- 组名: `gitadmin` `gituser` `gitrestricted`
|
||
- 超级用户权限: 否
|
||
- 父级: (空)
|
||
- 角色: (空)
|
||
- 属性: (保持默认)
|
||
|
||
接下来，将已有的用户添加进入对应的用户组。
|
||
|
||
- 点击 `gitadmin` `gituser` 或 `gitrestricted` 用户组
|
||
- 点击 用户 - 添加已有用户
|
||
- 将用户添加进入 `gitadmin` 用户组意味着将授予该用户 Gitea 管理员权限
|
||
- 将用户添加进入 `gituser` 用户组意味着允许该用户正常使用 Gitea
|
||
- 将用户添加进入 `gitrestricted` 用户组意味着用户将不可使用 Gitea
|
||
|
||
**配置提供程序**:
|
||
|
||
- 转至 应用程序 - 应用程序 - 以提供程序创建
|
||
- 协议设置:
|
||
- 重定向 URL/Origin:
|
||
- `严格` `https://gitea.your.domain/user/oauth2/[auth_name]/callback`
|
||
- `[auth_name]` 必须与 Gitea 配置中的 `认证名称` 保持一致，大小写敏感。
|
||
- 高级协议设置:
|
||
- 作用域:
|
||
- 已选作用域: `OpenID 'email'` `OpenID 'openid'` `OpenID 'profile'` `gitea`
|
||
|
||
#### Gitea 配置
|
||
|
||
- 转至 管理后台 - 身份及认证 - 认证源 - 添加认证源
|
||
- 认证类型: `OAuth2`
|
||
- 认证名称: (必须与 Authentik 配置中的 `[auth_name]` 保持一致，大小写敏感)
|
||
- OAuth2 提供程序: `OpenID Connect`
|
||
- 客户端 ID: (Authentik 中对应应用的提供程序的客户端 ID)
|
||
- 客户端密钥: (Authentik 中对应应用的提供程序的客户端 Secret)
|
||
- 图标URL: (按照实际情况填写)
|
||
- OpenID 连接自动发现 URL: (Authentik 中对应应用的提供程序的**OpenID 配置 URL**)
|
||
- 附加授权范围 (Scopes): `email profile gitea openid`
|
||
- 全名声明名称/SSH 公钥声明名称: (空)
|
||
- 必须填写 Claim 声明的名称: `gitea`
|
||
- 用于提供用户组名称的 Claim 声明名称: `gitea`
|
||
- 管理员用户组的 Claim 声明值: `admin`
|
||
- 受限用户组的 Claim 声明值: `restricted`
|
||
- 如果用户不属于相应的组，从已同步团队中移除用户/启用用户同步/该认证源已经启用: 是
|
||
|
||
### Grafana
|
||
|
||
#### Authentik 配置
|
||
|
||
**配置属性映射**:
|
||
|
||
- 转至 自定义 - 属性映射
|
||
- 点击 “创建”
|
||
- 选择类型: `Scope Mapping`
|
||
- 创建 Scope Mapping:
|
||
- 名称: `grafana`
|
||
- 作用域名称: `grafana`
|
||
- 表达式:
|
||
``` python
|
||
grafana_claims = {}
|
||
|
||
if request.user.groups.filter(name="Grafana Admins").exists():
|
||
grafana_claims["grafana"]= "GrafanaAdmin"
|
||
elif request.user.groups.filter(name="Grafana Editors").exists():
|
||
grafana_claims["grafana"]= "editor"
|
||
else:
|
||
grafana_claims["grafana"]= "viewer"
|
||
|
||
return grafana_claims
|
||
```
|
||
|
||
**设立用户组与添加已有用户进入用户组**:
|
||
|
||
请分别创建名为 `Grafana Admins` `Grafana Editors` 的用户组。
|
||
|
||
- 转至 目录 - 组
|
||
- 点击 “新建组”
|
||
- 组名: `Grafana Admins` `Grafana Editors`
|
||
- 超级用户权限: 否
|
||
- 父级: (空)
|
||
- 角色: (空)
|
||
- 属性: (保持默认)
|
||
|
||
接下来，将已有的用户添加进入对应的用户组。
|
||
|
||
- 点击 `Grafana Admins` `Grafana Editors` 用户组
|
||
- 点击 用户 - 添加已有用户
|
||
- 将用户添加进入 `Grafana Admins` 用户组意味着将授予该用户 Grafana 管理员权限
|
||
- 将用户添加进入 `Grafana Editors` 用户组意味着允许该用户修改仪表盘数据
|
||
- 不属于上述用户组的用户仅可查看公开的仪表盘
|
||
|
||
**配置提供程序**:
|
||
|
||
- 转至 应用程序 - 应用程序 - 以提供程序创建
|
||
- 协议设置:
|
||
- 重定向 URL/Origin:
|
||
- `严格` `https://grafana.your.domain/login/generic_oauth`
|
||
- 高级协议设置:
|
||
- 作用域:
|
||
- 已选作用域: `OpenID 'email'` `OpenID 'openid'` `OpenID 'profile'` `grafana`
|
||
|
||
#### Grafana 配置
|
||
|
||
- 转至 管理 - 身份验证 - Generic OAuth
|
||
- 一般设置:
|
||
- 显示名称: (随意)
|
||
- Client ID: (Authentik 中对应应用的提供程序的客户端 ID)
|
||
- Client secret: (Authentik 中对应应用的提供程序的客户端 Secret)
|
||
- 身份验证样式: (保持默认)
|
||
- Scopes: `email` `profile` `openid` `grafana`
|
||
- OpenID Connect Discovery URL: (Authentik 中对应应用的提供程序的**OpenID 配置 URL**)
|
||
- 允许注册/自动登录: (按照实际情况)
|
||
- 退出登录重定向网址: (Authentik 中对应应用的提供程序的**注销 URL**)
|
||
- 登录提示: (空)
|
||
- 用户映射:
|
||
- 角色属性路径: `grafana`
|
||
- 角色属性严格模式/允许分配 Grafana 管理员: 是
|
||
|
||
### Immich
|
||
|
||
请参照 [OAuth Authentication | Immich](https://docs.immich.app/administration/oauth) 完成。
|
||
|
||
### Jellyfin
|
||
|
||
!!! tip "建议"
|
||
|
||
在继续操作前，请确保您拥有另一个管理员账户。如果将 Authentik 关联到 Jellyfin 上唯一的管理员账户，[权限可能会被覆盖](https://github.com/9p4/jellyfin-plugin-sso/issues/212)。
|
||
|
||
以下内容综合自 [jellyfin-plugin-sso/providers.md at main · 9p4/jellyfin-plugin-sso](https://github.com/9p4/jellyfin-plugin-sso/blob/main/providers.md#authentik) 与 [Integrate with Jellyfin | authentik](https://integrations.goauthentik.io/media/jellyfin/)。
|
||
|
||
#### Authentik 配置
|
||
|
||
**设立用户组与添加已有用户进入用户组**:
|
||
|
||
请创建名为 `jellyfin` 的用户组。
|
||
|
||
- 转至 目录 - 组
|
||
- 点击 “新建组”
|
||
- 组名: `jellyfin`
|
||
- 超级用户权限: 否
|
||
- 父级: (空)
|
||
- 角色: (空)
|
||
- 属性: (保持默认)
|
||
|
||
接下来，将已有的用户添加进入对应的用户组。
|
||
|
||
- 点击 `jellyfin` 用户组
|
||
- 点击 用户 - 添加已有用户
|
||
- 将用户添加进入 `jellyfin` 用户组意味着用户可正常使用 Jellyfin
|
||
|
||
**配置提供程序**:
|
||
|
||
- 转至 应用程序 - 应用程序 - 以提供程序创建
|
||
- 协议设置:
|
||
- 重定向 URL/Origin:
|
||
- `严格` `http://jellyfin.your.domain/sso/OID/redirect/[Name of OpenID Provider]`
|
||
- `[Name of OpenID Provider]` 必须与 Jellyfin 配置中的 `Name of OpenID Provider` 保持一致，大小写敏感。
|
||
|
||
#### Jellyfin 配置
|
||
|
||
- 转至 管理 - 控制台 - 插件
|
||
- 点击 “管理存储库” - “新建存储库”
|
||
- 存储库名称: `jellyfin plugin sso`
|
||
- 存储库 URL: `https://raw.githubusercontent.com/9p4/jellyfin-plugin-sso/manifest-release/manifest.json`
|
||
- 返回上一级 - “可用” - 找到“SSO-Auth” - 安装
|
||
- 重启 Jellyfin
|
||
- 管理 - 控制台 - 插件 - SSO-Auth - 设置
|
||
- Name of OpenID Provider: (必须与 Authentik 配置中的 `[Name of OpenID Provider]`保持一致，大小写敏感)
|
||
- OpenID Endpoint: (Authentik 中对应应用的提供程序的**OpenID 配置 URL**)
|
||
- OpenID Client ID: (Authentik 中对应应用的提供程序的客户端 ID)
|
||
- OpenID client secret: (Authentik 中对应应用的提供程序的客户端 Secret)
|
||
- Enabled/Enable Authorization by Plugin/Enable All Folders: 是
|
||
- Roles: `jellyfin`
|
||
- Enable Live TV RBAC: 是
|
||
- Live TV Roles: `jellyfin`
|
||
- Role Claim: `groups`
|
||
- Request Additional Scopes: `["groups"]`
|
||
|
||
#### 恢复 Jellyfin 管理员权限 (错误配置 SSO-Auth 插件)
|
||
|
||
**以下内容基于 Windows 11 & Jellyfin Server 10.11.6，仅供参考。**
|
||
|
||
- 暂时移除 SSO 插件:
|
||
- 停止 Jellyfin 服务器
|
||
- 定位 Jellyfin 的 `plugins` 文件夹:
|
||
- `%LocalAppData%\Jellyfin\plugins`
|
||
- `C:\ProgramData\Jellyfin\Server\plugins`
|
||
- 找到名为 sso-auth (或类似名称)的文件夹，将其剪切并移动到桌面暂时备份
|
||
- 重新触发配置向导:
|
||
- 定位 Jellyfin 的 `config` 文件夹:
|
||
- `%LocalAppData%\Jellyfin\config`
|
||
- `C:\ProgramData\Jellyfin\Server\config`
|
||
- 找到 `system.xml` 文件，右键使用记事本打开
|
||
- 在文件中搜索 `<IsStartupWizardCompleted>true</IsStartupWizardCompleted>`
|
||
- 将 true 改为 false: `<IsStartupWizardCompleted>false</IsStartupWizardCompleted>`
|
||
- 保存并关闭该文件
|
||
- 重新启动 Jellyfin
|
||
- 在浏览器中打开 `http://localhost:8096`，此时系统会弹出首次安装的设置向导
|
||
- 按照向导创建一个全新的管理员账户，添加媒体库的步骤可以跳过
|
||
- 设置完成后，使用新创建的管理员账户登录
|
||
|
||
### Memos
|
||
|
||
#### Authentik 配置
|
||
|
||
**配置提供程序**:
|
||
|
||
- 转至 应用程序 - 应用程序 - 以提供程序创建
|
||
- 协议设置:
|
||
- 重定向 URL/Origin:
|
||
- `严格` `https://memos.your.domain/auth/callback`
|
||
- 高级协议设置:
|
||
- 已选作用域: `OpenID 'email'` `OpenID 'openid'`
|
||
- Subject 模式: `基于用户名`
|
||
|
||
#### Memos 配置
|
||
|
||
- 转至 设置 - 管理 - 单点登录 - 创建
|
||
- 类型: `OAUTH2`
|
||
- 模板: `Custom`
|
||
- 名称: (随意)
|
||
- 标识符过滤器: (空)
|
||
- 客户端ID: (Authentik 中对应应用的提供程序的客户端 ID)
|
||
- 客户端密钥: (Authentik 中对应应用的提供程序的客户端 Secret)
|
||
- 授权端点: (Authentik 中对应应用的提供程序的**授权 URL**)
|
||
- 令牌端点: (Authentik 中对应应用的提供程序的**令牌 URL**)
|
||
- 用户端点: (Authentik 中对应应用的提供程序的**用户信息 URL**)
|
||
- 范围: `openid` `email`
|
||
- 标识符: `sub`
|
||
- 显示名称: `sub`
|
||
- 邮箱: `email`
|
||
- Avatar URL: (空)
|
||
|
||
### Proxmox
|
||
|
||
#### Authentik 配置
|
||
|
||
**设立用户组与添加已有用户进入用户组**:
|
||
|
||
请创建名为 `proxmox-admins` 的用户组。
|
||
|
||
- 转至 目录 - 组
|
||
- 点击 “新建组”
|
||
- 组名: `proxmox-admins`
|
||
- 超级用户权限: 否
|
||
- 父级: (空)
|
||
- 角色: (空)
|
||
- 属性: (保持默认)
|
||
|
||
接下来，将已有的用户添加进入对应的用户组。
|
||
|
||
- 点击 `proxmox-admins` 用户组
|
||
- 点击 用户 - 添加已有用户
|
||
- 将用户添加进入 `proxmox-admins` 用户组意味着**用户将具有 Proxmox 面板与服务器的管理员权限**
|
||
|
||
**配置提供程序**:
|
||
|
||
- 转至 应用程序 - 应用程序 - 以提供程序创建
|
||
- 协议设置:
|
||
- 重定向 URL/Origin:
|
||
- `严格` `https://proxmox.your.domain`
|
||
|
||
#### Proxmox 配置
|
||
|
||
**配置单点登录**:
|
||
|
||
- 转至 数据中心 - 权限 - 领域
|
||
- 点击 添加 - OpenID 连接服务器
|
||
- 发行人URL: (Authentik 中对应应用的提供程序的**OpenID 配置颁发者**)
|
||
- 领域: (指单点登录服务的名称，随意)
|
||
- 客户端 ID: (Authentik 中对应应用的提供程序的客户端 ID)
|
||
- 客户端秘钥: (Authentik 中对应应用的提供程序的客户端 Secret)
|
||
- 范围: (保持默认)
|
||
- 默认: (按照实际情况)
|
||
- 自动创建用户: 是
|
||
- 用户名声明: `username`
|
||
- Autocreate Groups: 否
|
||
- Groups Claim: `groups`
|
||
- Overwrite Groups: 否
|
||
- 提示: (保持默认)
|
||
- Query userinfo endpoint: 是
|
||
|
||
**创建群组**:
|
||
|
||
- 转至 数据中心 - 权限 - 群组
|
||
- 点击 创建
|
||
- 名称: `[Authentik 用户组名称]-[领域名称]`
|
||
- 若 Authentik 用户组名称为 `proxmox-admins`，领域名称为 `SSO`，那么该群组的名称为 `proxmox-admins-SSO`
|
||
|
||
**预配置权限**:
|
||
|
||
- 转至 数据中心 - 权限
|
||
- 点击 添加 - 群组权限
|
||
- 路径: `/`
|
||
- 群组: (上一步创建的群组)
|
||
- 角色: `Administrator`
|
||
- 继承: 是
|
||
|
||
### Vaultwarden
|
||
|
||
以下内容基本参照 [Enabling SSO support using OpenId Connect · dani-garcia/vaultwarden Wiki](https://github.com/dani-garcia/vaultwarden/wiki/Enabling-SSO-support-using-OpenId-Connect) 完成。
|
||
|
||
#### Authentik 配置
|
||
|
||
**配置提供程序**:
|
||
|
||
- 转至 应用程序 - 应用程序 - 以提供程序创建
|
||
- 协议设置:
|
||
- 重定向 URL/Origin:
|
||
- `严格` `https://vaultwarden.your.domain/identity/connect/oidc-signin`
|
||
- 高级协议设置:
|
||
- 已选作用域: `OpenID 'email'` `OpenID 'openid'` `OpenID 'profile'` `OpenID 'offline_access'`
|
||
|
||
#### Vaultwarden 配置
|
||
|
||
将以下内容添加进入 `docker-compose.yml` 文件 `vaultwarden` 服务的 `environment` 部分:
|
||
|
||
``` yaml title="docker-compose.yml"
|
||
environment:
|
||
SIGNUPS_ALLOWED: false # 不允许注册
|
||
SSO_ENABLED: true # 启用 SSO
|
||
SSO_ONLY: false # 仅采用 SSO 登录，不允许密码登录
|
||
SSO_SIGNUPS_MATCH_EMAIL: true # SSO 登录需匹配已有账户的邮箱
|
||
SSO_AUTHORITY: "xxx" # Authentik 中对应应用的提供程序的 OpenID 配置颁发者
|
||
SSO_SCOPES: "openid profile email offline_access"
|
||
SSO_CLIENT_ID: "xxx" # Authentik 中对应应用的提供程序的客户端 ID
|
||
SSO_CLIENT_SECRET: "xxx" # Authentik 中对应应用的提供程序的客户端 Secret
|
||
```
|
||
|
||
### Wallos
|
||
|
||
#### Authentik 配置
|
||
|
||
**配置提供程序**:
|
||
|
||
- 转至 应用程序 - 应用程序 - 以提供程序创建
|
||
- 协议设置:
|
||
- 重定向 URL/Origin:
|
||
- `严格` `https://wallos.your.domain`
|
||
|
||
#### Wallos 配置
|
||
|
||
- 转至 管理员 - OIDC 设置
|
||
- Enable OIDC/OAuth: 是
|
||
- Provider Name: (随意)
|
||
- Client ID: (Authentik 中对应应用的提供程序的客户端 ID)
|
||
- Client Secret: (Authentik 中对应应用的提供程序的客户端 Secret)
|
||
- Auth URL: (Authentik 中对应应用的提供程序的**授权 URL**)
|
||
- Token URL: (Authentik 中对应应用的提供程序的**令牌 URL**)
|
||
- User Info URL: (Authentik 中对应应用的提供程序的**用户信息 URL**)
|
||
- Redirect URL: `https://wallos.your.domain`
|
||
- Logout URL: (Authentik 中对应应用的提供程序的**注销 URL**)
|
||
- User Identifier Field: `sub`
|
||
- Scopes: `openid` `email` `profile`
|
||
- 当使用 OIDC 登录时自动创建用户/禁用密码登录: (依照实际情况)
|
||
|
||
## 参考/进一步阅读
|
||
|
||
- [Memos 对接 Authentik | 某科学的贝壳](https://blog.ning.moe/posts/authentik-OAuth2-memos/)
|
||
- [Using Authentik for Proxmox PVE 8 user and group mapping – Inteller.net Site](https://www.inteller.net/notes/2025/04/27/using-authentik-for-proxmox-pve-8-user-and-group-mapping/)
|
||
- [Authentik 教程系列 - ECWU's Notebook](https://ecwuuuuu.com/post/authentik-tutorial-1-introduction-and-install/)
|
||
- [Gist - ECWU's Notebook](https://ecwuuuuu.com/series/gist/)
|
||
- [Authentik 教程系列 - 哔哩哔哩(UP:ecwuuu)](https://www.bilibili.com/video/BV1pm41167WK/) |