Аутентификация

Настройка входа в развёртывании на Kubernetes — OIDC, SAML, LDAP, публичный доступ, reCAPTCHA и правила для паролей.

Все методы входа работают в сервисе web каждого пода Ayakaleaf Pro. Ни одному из них не нужен дополнительный под или периодическое задание, и все они хранят состояние входа в сессии в Redis, поэтому работают одинаково как с одной репликой, так и с несколькими. На Kubernetes различается лишь то, куда помещаются настройки, секреты и сертификаты и какие сетевые пути должны быть открыты:

Метод	Secret overleaf-secrets	Secret overleaf-certs	Поды должны иметь доступ к
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	ваш CA, если он частный	эндпоинтам token и userinfo провайдера OP
SAML	–	сертификат IdP, собственный ключ Overleaf	ничему: сообщения проходят через браузер
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	CA для LDAP, если он частный	серверу LDAP
Публичный доступ	пароль SMTP для писем активации	–	серверу SMTP
reCAPTCHA	RECAPTCHA_SECRET_KEY, DEVICE_HISTORY_SECRET	–	www.google.com (или RECAPTCHA_ENDPOINT)
Ограничения паролей	–	–	–

EXTERNAL_AUTH включает методы SSO в виде списка через пробел в ConfigMap, например EXTERNAL_AUTH: ldap oidc. Учётные записи и то, что пользователи могут изменять при включённом SSO, — всё так же, как в Toolkit, см. Аутентификация.

Метод с неверными настройками не мешает поду стать готовым: web записывает error setting up passport in modules в /var/log/overleaf/web.log, и этот метод, а также следующие за ним в порядке ldap, saml, oidc, остаются выключенными. Проверяйте журнал после каждого изменения. Мы проверили это с EXTERNAL_AUTH: saml oidc и отсутствующим сертификатом IdP: под стал готовым, а и /saml/login, и /oidc/login отвечали «Something went wrong» (500), пока путь к сертификату не был исправлен.

Аутентификация OIDC

Аутентификация SAML

Аутентификация через LDAP

Публичный доступ

reCAPTCHA

Ограничения паролей