パブリックアクセス

ゲスト、未ログインの訪問者、新規ユーザーが Kubernetes デプロイにアクセスできるようにします。

共有プロジェクトへのゲストアクセス、公開ページ、セルフ登録は、web サービスが読み込む環境変数で有効にします。その後、リアルタイムサービスがセッションを通じてゲストに対応します。各スイッチで何が開放されるかは、パブリックアクセス で説明しています。

サービス	web（エディター内のゲストには real-time も）、すべての Ayakaleaf Pro Pod 内。web の起動時に読み込まれます
Pod → 外部	登録時にアクティベーションメールを送信する場合は SMTP サーバー
状態	セッション内のゲストアクセストークン、Redis 内の登録レート制限
定期ジョブ	なし

​

設定

必要なスイッチを ConfigMap overleaf-env に追加します。

30-config.yaml (additions)

  # Guests open link-shared projects without an account
  OVERLEAF_ALLOW_ANONYMOUS_READ_AND_WRITE_SHARING: "true"
  # Signed-out visitors may open /learn, /templates, /devs and view links
  OVERLEAF_ALLOW_PUBLIC_ACCESS: "true"
  # Self-registration: "true", or only some domains
  OVERLEAF_ALLOW_PUBLIC_REGISTRATION: "@example.com, @*.uni.example"

kubectl apply -f 30-config.yaml
kubectl -n overleaf rollout restart deployment/overleaf     # or statefulset/overleaf

すべての値を引用符で囲んでください。@ で始まる値は YAML で引用符が必須で、囲まないと kubectl apply がファイルを拒否します。

ドメインを限定した登録ではアクティベーションメールが送信されるため、Pod から メール配信 が機能している必要があります。SMTP ホストを ConfigMap に、OVERLEAF_EMAIL_SMTP_PASS を Secret に設定してください。

​

複数のレプリカ

追加の作業は不要です。ゲストのプロジェクトへのアクセス権は Redis のセッションに保持されるため、ロードバランサーがどのレプリカを選んでもエディターは動作します。

​

Kubernetes でのテスト結果

Kubernetes 1.37 上で、パブリックアクセスのエンドツーエンドテストに合格しました。レプリカ 1 つで、OVERLEAF_ALLOW_PUBLIC_REGISTRATION を true、単一ドメイン、サブドメインのワイルドカードを含む複数ドメイン、@* に設定したセルフ登録（ドメインモードではアクティベーションメールを含む、43 ケース）、OVERLEAF_ALLOW_PUBLIC_ACCESS 有効時の /devs 上の未ログイン訪問者と、ログインを経ても保持される投稿済みスニペット（2 ケース）、両方のスイッチを有効にしたリンク共有プロジェクト内の未ログインゲスト（3 ケース）、そして HAProxy の背後の 3 つのレプリカでの OIDC とパブリックアクセスの併用（1 ケース）です。