Authentification

Configurer les connexions sur un déploiement Kubernetes - OIDC, SAML, LDAP, accès public, reCAPTCHA et règles de mot de passe.

Toutes les méthodes de connexion s’exécutent dans le service web de chaque pod Ayakaleaf Pro. Aucune ne nécessite de pod supplémentaire ni de tâche périodique, et toutes conservent leur état de connexion dans la session stockée dans Redis ; elles fonctionnent donc de la même manière avec un ou plusieurs réplicas. Ce qui diffère sur Kubernetes, c’est l’emplacement des paramètres, des secrets et des certificats, ainsi que les chemins réseau qui doivent être ouverts :

Méthode	Secret overleaf-secrets	Secret overleaf-certs	Les pods doivent atteindre
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	votre CA, si elle est privée	les points de terminaison token et userinfo de l’OP
SAML	–	le certificat de l’IdP, la clé propre d’Overleaf	rien : les messages transitent par le navigateur
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	la CA LDAP, si elle est privée	le serveur LDAP
Accès public	mot de passe SMTP, pour les e-mails d’activation	–	le serveur SMTP
reCAPTCHA	RECAPTCHA_SECRET_KEY, DEVICE_HISTORY_SECRET	–	www.google.com (ou RECAPTCHA_ENDPOINT)
Restrictions sur les mots de passe	–	–	–

EXTERNAL_AUTH active les méthodes SSO, sous forme de liste séparée par des espaces dans la ConfigMap, par exemple EXTERNAL_AUTH: ldap oidc. Les comptes et ce que les utilisateurs peuvent modifier lorsque le SSO est activé sont identiques à ceux du Toolkit, voir Authentification.

Une méthode dont les paramètres sont erronés n’empêche pas le pod de devenir prêt : web consigne error setting up passport in modules dans /var/log/overleaf/web.log, et cette méthode, ainsi que celles qui la suivent dans l’ordre ldap, saml, oidc, restent désactivées. Vérifiez le journal après chaque modification. Nous l’avons essayé avec EXTERNAL_AUTH: saml oidc et un certificat d’IdP manquant : le pod est devenu prêt, et /saml/login comme /oidc/login ont répondu « Something went wrong » (500) jusqu’à ce que le chemin du certificat soit corrigé.

Authentification OIDC

Authentification SAML

Authentification LDAP

Accès public

reCAPTCHA

Restrictions sur les mots de passe