Authelia؛ ورود یکپارچه و احراز هویت دومرحله‌ای جلوی سرویس‌های شما

یک نمونهٔ واقعی: تیمی پنج‌نفره Grafana‏، Uptime Kuma و یک پنل مدیریت Docker را روی یک سرور دارد. بدون Authelia هر کدام رمز جدا دارند و پنل Docker اصلاً رمز ندارد. با Authelia هر سه پشت auth.example.com قرار می‌گیرند، برای پنل Docker کد دومرحله‌ای اجباری می‌شود و با خروج یک همکار کافی است حساب او را در یک فایل غیرفعال کنید. جاهایی که Authelia بیشترین ارزش را دارد:

اسکریپتی که برای نصب یک‌کلیک آماده کرده‌ایم Authelia را با Docker Compose در /opt/authelia اجرا می‌کند و سه راز تصادفی برای session، کلید رمزگذاری storage و JWT بازیابی رمز می‌سازد. یک کاربر به نام admin با رمز تصادفی ۱۸ کاراکتری ساخته می‌شود و رمز با الگوریتم argon2id هش می‌شود.

قلب پیکربندی بخش access_control است. هر قانون یک یا چند دامنه، در صورت نیاز مسیر یا گروه کاربری، و یک سیاست را مشخص می‌کند: bypass برای عبور بدون ورود، one_factor برای رمز، two_factor برای رمز و کد دوم، و deny برای بستن کامل. قانون‌ها به ترتیب بررسی می‌شوند و اولین قانونی که با درخواست جور شود اعمال می‌شود؛ پس قانون‌های خاص‌تر، مثل باز گذاشتن مسیر webhook یک سرویس، باید بالاتر از قانون کلی همان دامنه بیایند.

این پیکربندی یک نقطهٔ شروع آزمایشی است: پورتال روی IP سرور و http اجرا می‌شود و هنوز به هیچ reverse proxy وصل نیست. پیش از استفادهٔ واقعی دامنهٔ کوکی، آدرس https پورتال و قوانین access_control را تغییر دهید.

Authelia برنامه‌ای به زبان Go است و حافظهٔ بسیار کمی مصرف می‌کند؛ هزینهٔ اصلی همان سرور است. معمولاً Authelia روی همان سروری اجرا می‌شود که reverse proxy و چند سرویس محافظت‌شده را میزبانی می‌کند، پس انتخاب پلن را بر اساس مجموع آن سرویس‌ها انجام دهید نه خود Authelia.

هزینه ساعتی از کیف پول کسر می‌شود و با حذف سرور متوقف می‌شود. جدول کامل پلن‌ها در صفحهٔ قیمت‌گذاری آمده است.

سه راه رایج برای محافظت از ابزارهای داخلی:

Authelia خودش درخواست‌ها را به سرویس‌ها نمی‌رساند؛ این کار reverse proxy است. در nginx برای هر سرویس محافظت‌شده یک auth_request به نقطهٔ بررسی Authelia تعریف می‌کنید و در صورت پاسخ ۴۰۱ کاربر را به پورتال می‌فرستید. در Traefik همین کار با middleware از نوع forwardAuth انجام می‌شود. مستندات Authelia برای nginx‏، Traefik‏، HAProxy و Envoy نمونهٔ کامل دارد.

اگر رابط گرافیکی برای reverse proxy می‌خواهید، Nginx Proxy Manager گواهی SSL را خودکار می‌گیرد و در تنظیمات پیشرفتهٔ هر میزبان می‌توانید دستورهای auth_request را اضافه کنید. زیردامنه‌ها را در مدیریت DNS به سرور اشاره دهید.

ترتیب پیشنهادی برای رسیدن به یک ورود یکپارچهٔ کارا:

سیاست پیش‌فرض را deny بگذارید و برای هر دامنه قانون صریح بنویسید؛ با سیاست one_factor پیش‌فرض، هر دامنه‌ای که فراموش کنید قانونش را بنویسید فقط با رمز باز می‌شود. برای پنل‌های مدیریتی two_factor را اجباری کنید و دسترسی را به گروه مشخص محدود کنید.

پورت ۹۰۹۱ را پس از راه‌اندازی reverse proxy در فایروال شبکه برای بیرون ببندید تا Authelia فقط از طریق proxy در دسترس باشد. سرویس‌های محافظت‌شده هم نباید پورت مستقیم باز روی اینترنت داشته باشند؛ وگرنه کسی که پورت را بداند Authelia را دور می‌زند. با ابزار بررسی پورت این را آزمایش کنید.

Authelia در برابر حدس رمز، محدودیت تلاش (regulation) دارد؛ آن را فعال نگه دارید. رازهای configuration.yml را در مخزن Git عمومی نگذارید.

کل وضعیت Authelia در پوشهٔ /opt/authelia است: فایل پیکربندی، فایل کاربران و پایگاه دادهٔ SQLite که ثبت‌های دومرحله‌ای کاربران را نگه می‌دارد. اگر این پایگاه داده از بین برود، کاربران باید دوباره روش دوم را ثبت کنند. کپی دوره‌ای این پوشه به همراه فایل‌های رازها کافی است؛ کلید رمزگذاری storage را حتماً کنار بکاپ نگه دارید، چون بدون آن پایگاه داده خوانا نیست.

snapshot کامل سرور هم از تب بکاپ پنل گرفته می‌شود؛ بکاپ‌ها دستی‌اند و بر اساس حجم حساب می‌شوند. جزئیات در صفحهٔ پشتیبان‌گیری. برای انتقال از سرور دیگر، همین پوشه را کپی کنید و DNS زیردامنه‌ها را به سرور جدید برگردانید.

نصب یک‌کلیک Authelia هنوز در فهرست سفارش نیست؛ اسکریپت آماده‌شده هم فقط پورتال را روی IP بالا می‌آورد و بدون دامنه، HTTPS و reverse proxy کاری از آن برنمی‌آید. در حالت فایل کاربران رابط گرافیکی برای مدیریت کاربر وجود ندارد و ثبت‌نام خودکار کاربر هم پشتیبانی نمی‌شود.

Authelia فقط از برنامه‌های تحت وبی که از طریق reverse proxy می‌گذرند محافظت می‌کند؛ اتصال‌هایی مثل SSH، دیتابیس یا اپ‌های موبایلی که کوکی مرورگر را نمی‌فهمند پشت آن قرار نمی‌گیرند.