Authenticatie

Configureer logins op een Kubernetes-implementatie - OIDC, SAML, LDAP, openbare toegang, reCAPTCHA en wachtwoordregels.

Alle inlogmethoden draaien in de web-service van elke Ayakaleaf Pro-pod. Geen ervan heeft een extra pod of een periodieke taak nodig, en ze bewaren hun inlogstatus allemaal in de sessie in Redis, zodat ze hetzelfde werken met één replica of meerdere. Wat op Kubernetes verschilt, is waar de instellingen, secrets en certificaten terechtkomen en welke netwerkpaden open moeten zijn:

Methode	Secret overleaf-secrets	Secret overleaf-certs	Pods moeten bereiken
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	je CA, indien privé	de token- en userinfo-endpoints van de OP
SAML	–	het IdP-certificaat, de eigen sleutel van Overleaf	niets: berichten gaan via de browser
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	de LDAP-CA, indien privé	de LDAP-server
Openbare toegang	SMTP-wachtwoord, voor activeringsmails	–	de SMTP-server
reCAPTCHA	RECAPTCHA_SECRET_KEY, DEVICE_HISTORY_SECRET	–	www.google.com (of RECAPTCHA_ENDPOINT)
Wachtwoordbeperkingen	–	–	–

EXTERNAL_AUTH schakelt de SSO-methoden in, als een door spaties gescheiden lijst in de ConfigMap, bijvoorbeeld EXTERNAL_AUTH: ldap oidc. Accounts en wat gebruikers mogen wijzigen met SSO ingeschakeld zijn hetzelfde als bij de Toolkit, zie Authenticatie.

Een methode met verkeerde instellingen houdt de pod niet tegen om gereed te worden: web logt error setting up passport in modules in /var/log/overleaf/web.log en die methode, en de methoden die erna komen in de volgorde ldap, saml, oidc, blijven uitgeschakeld. Controleer het log na elke wijziging. We hebben het geprobeerd met EXTERNAL_AUTH: saml oidc en een ontbrekend IdP-certificaat: de pod werd gereed, en zowel /saml/login als /oidc/login antwoordden “Something went wrong” (500) totdat het certificaatpad was gecorrigeerd.

OIDC-authenticatie

SAML-authenticatie

LDAP-authenticatie

Openbare toegang

reCAPTCHA

Wachtwoordbeperkingen