Godkendelse

Konfigurer login på en Kubernetes-udrulning - OIDC, SAML, LDAP, offentlig adgang, reCAPTCHA og adgangskoderegler.

Alle loginmetoder kører i web-tjenesten i hver Ayakaleaf Pro-pod. Ingen af dem kræver en ekstra pod eller et periodisk job, og alle gemmer deres login-tilstand i sessionen i Redis, så de fungerer ens med én eller flere replikaer. Det, der er anderledes på Kubernetes, er, hvor indstillinger, hemmeligheder og certifikater placeres, og hvilke netværksstier der skal være åbne:

Metode	Secret overleaf-secrets	Secret overleaf-certs	Pods skal kunne nå
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	din CA, hvis den er privat	OP’ens token- og userinfo-endpoints
SAML	–	IdP-certifikatet, Overleafs egen nøgle	intet: beskeder går via browseren
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	LDAP-CA’en, hvis den er privat	LDAP-serveren
Offentlig adgang	SMTP-adgangskode, til aktiverings-e-mails	–	SMTP-serveren
reCAPTCHA	RECAPTCHA_SECRET_KEY, DEVICE_HISTORY_SECRET	–	www.google.com (eller RECAPTCHA_ENDPOINT)
Adgangskodekrav	–	–	–

EXTERNAL_AUTH aktiverer SSO-metoderne som en mellemrumsadskilt liste i ConfigMap’en, for eksempel EXTERNAL_AUTH: ldap oidc. Konti, og hvad brugerne må ændre med SSO aktiveret, er det samme som i Toolkit, se Godkendelse.

En metode med forkerte indstillinger forhindrer ikke poden i at blive klar: web logger error setting up passport in modules i /var/log/overleaf/web.log, og den metode samt dem, der kommer efter den i rækkefølgen ldap, saml, oidc, forbliver slået fra. Tjek loggen efter hver ændring. Vi prøvede det med EXTERNAL_AUTH: saml oidc og et manglende IdP-certifikat: poden blev klar, og både /saml/login og /oidc/login svarede „Something went wrong” (500), indtil certifikatstien var rettet.

OIDC-godkendelse

SAML-godkendelse

LDAP-godkendelse

Offentlig adgang

reCAPTCHA

Adgangskodekrav