Ověřování

Konfigurace přihlašování v nasazení na Kubernetes – OIDC, SAML, LDAP, veřejný přístup, reCAPTCHA a pravidla pro hesla.

Všechny metody přihlašování běží ve službě web každého podu Ayakaleaf Pro. Žádná z nich nepotřebuje další pod ani periodickou úlohu a všechny uchovávají stav přihlášení v relaci v Redisu, takže fungují stejně s jednou replikou i s několika. Na Kubernetes se liší to, kam patří nastavení, tajné klíče a certifikáty a které síťové cesty musí být otevřené:

Metoda	Secret overleaf-secrets	Secret overleaf-certs	Pody musí dosáhnout na
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	vaši CA, pokud je soukromá	endpointy token a userinfo poskytovatele OP
SAML	–	certifikát IdP, vlastní klíč Overleafu	nic: zprávy jdou přes prohlížeč
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	CA serveru LDAP, pokud je soukromá	server LDAP
Veřejný přístup	heslo SMTP, pro aktivační e-maily	–	server SMTP
reCAPTCHA	RECAPTCHA_SECRET_KEY, DEVICE_HISTORY_SECRET	–	www.google.com (nebo RECAPTCHA_ENDPOINT)
Omezení hesel	–	–	–

EXTERNAL_AUTH zapíná metody SSO jako seznam oddělený mezerami v ConfigMapě, například EXTERNAL_AUTH: ldap oidc. Účty a to, co mohou uživatelé při zapnutém SSO měnit, jsou stejné jako v Toolkitu, viz Ověřování.

Metoda se špatným nastavením nezabrání tomu, aby se pod stal ready: web zapíše do /var/log/overleaf/web.log hlášku error setting up passport in modules a tato metoda i ty, které po ní následují v pořadí ldap, saml, oidc, zůstanou vypnuté. Po každé změně zkontrolujte log. Vyzkoušeli jsme to s EXTERNAL_AUTH: saml oidc a chybějícím certifikátem IdP: pod se stal ready a /saml/login i /oidc/login odpovídaly „Something went wrong“ (500), dokud nebyla cesta k certifikátu opravena.

Ověřování OIDC

Ověřování SAML

Ověřování LDAP

Veřejný přístup

reCAPTCHA

Omezení hesel