認証

Kubernetes デプロイでのログインを設定します - OIDC、SAML、LDAP、パブリックアクセス、reCAPTCHA、パスワードルール。

すべてのログイン方式は、各 Ayakaleaf Pro Pod の web サービスで動作します。いずれも追加の Pod や定期ジョブを必要とせず、ログイン状態はすべて Redis のセッションに保持されるため、レプリカが 1 つでも複数でも同じように動作します。Kubernetes で異なるのは、設定、シークレット、証明書の置き場所と、開いておく必要があるネットワーク経路です。

方式	Secret overleaf-secrets	Secret overleaf-certs	Pod から到達が必要な先
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	プライベート CA の場合はその CA	OP のトークンエンドポイントと userinfo エンドポイント
SAML	–	IdP 証明書、Overleaf 自身の鍵	なし：メッセージはブラウザを経由します
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	プライベート CA の場合は LDAP の CA	LDAP サーバー
パブリックアクセス	アクティベーションメール用の SMTP パスワード	–	SMTP サーバー
reCAPTCHA	RECAPTCHA_SECRET_KEY、DEVICE_HISTORY_SECRET	–	www.google.com（または RECAPTCHA_ENDPOINT）
パスワードの制限	–	–	–

EXTERNAL_AUTH は SSO 方式を有効にします。ConfigMap にスペース区切りのリストとして指定します（例：EXTERNAL_AUTH: ldap oidc）。アカウントの扱いや、SSO 有効時にユーザーが変更できる項目は Toolkit と同じです。認証 を参照してください。

設定が誤っている方式があっても、Pod が Ready になるのは妨げられません。web は /var/log/overleaf/web.log に error setting up passport in modules と記録し、その方式と、ldap、saml、oidc の順でそれより後の方式は無効のままになります。変更のたびにログを確認してください。EXTERNAL_AUTH: saml oidc で IdP 証明書がない状態を試したところ、Pod は Ready になりましたが、証明書のパスを修正するまで /saml/login と /oidc/login の両方が “Something went wrong”（500）を返しました。

OIDC 認証

SAML 認証

LDAP 認証

パブリックアクセス

reCAPTCHA

パスワードの制限