Autenticazione

Configurare gli accessi in un deployment Kubernetes - OIDC, SAML, LDAP, accesso pubblico, reCAPTCHA e regole per le password.

Tutti i metodi di accesso vengono eseguiti nel servizio web di ogni pod di Ayakaleaf Pro. Nessuno di essi richiede un pod aggiuntivo o un job periodico, e tutti conservano lo stato di accesso nella sessione in Redis, quindi funzionano allo stesso modo con una o più repliche. Ciò che cambia su Kubernetes è dove vanno le impostazioni, i segreti e i certificati e quali percorsi di rete devono essere aperti:

Metodo	Secret overleaf-secrets	Secret overleaf-certs	I pod devono raggiungere
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	la tua CA, se privata	gli endpoint token e userinfo dell’OP
SAML	–	il certificato dell’IdP, la chiave propria di Overleaf	nulla: i messaggi passano attraverso il browser
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	la CA LDAP, se privata	il server LDAP
Accesso pubblico	password SMTP, per le email di attivazione	–	il server SMTP
reCAPTCHA	RECAPTCHA_SECRET_KEY, DEVICE_HISTORY_SECRET	–	www.google.com (o RECAPTCHA_ENDPOINT)
Restrizioni sulle password	–	–	–

EXTERNAL_AUTH attiva i metodi SSO, come elenco separato da spazi nella ConfigMap, ad esempio EXTERNAL_AUTH: ldap oidc. Gli account e ciò che gli utenti possono modificare con l’SSO attivo sono gli stessi del Toolkit, vedi Autenticazione.

Un metodo con impostazioni errate non impedisce al pod di diventare pronto: web registra error setting up passport in modules in /var/log/overleaf/web.log e quel metodo, insieme a quelli che lo seguono nell’ordine ldap, saml, oidc, resta disattivato. Controlla il log dopo ogni modifica. Lo abbiamo provato con EXTERNAL_AUTH: saml oidc e un certificato dell’IdP mancante: il pod è diventato pronto, e sia /saml/login sia /oidc/login hanno risposto “Something went wrong” (500) finché il percorso del certificato non è stato corretto.

Autenticazione OIDC

Autenticazione SAML

Autenticazione LDAP

Accesso pubblico

reCAPTCHA

Restrizioni sulle password