身份验证

在 Kubernetes 部署中配置登录方式 - OIDC、SAML、LDAP、公开访问、reCAPTCHA 和密码规则。

所有登录方式都运行在每个 Ayakaleaf Pro Pod 的 web 服务中。它们都不需要额外的 Pod 或定期任务，并且都将登录状态保存在 Redis 中的会话里，因此无论是一个副本还是多个副本，它们的工作方式都相同。在 Kubernetes 上不同的是设置、密钥和证书的存放位置，以及必须开放哪些网络路径：

方式	Secret overleaf-secrets	Secret overleaf-certs	Pod 必须能访问
OIDC	OVERLEAF_OIDC_CLIENT_SECRET	你的 CA（如果是私有 CA）	OP 的 token 和 userinfo 端点
SAML	–	IdP 证书、Overleaf 自身的密钥	无：消息通过浏览器传递
LDAP	OVERLEAF_LDAP_BIND_CREDENTIALS	LDAP CA（如果是私有 CA）	LDAP 服务器
公开访问	SMTP 密码，用于激活邮件	–	SMTP 服务器
reCAPTCHA	RECAPTCHA_SECRET_KEY、DEVICE_HISTORY_SECRET	–	www.google.com（或 RECAPTCHA_ENDPOINT）
密码限制	–	–	–

EXTERNAL_AUTH 用于启用 SSO 方式，在 ConfigMap 中以空格分隔的列表形式设置，例如 EXTERNAL_AUTH: ldap oidc。启用 SSO 后的账户以及用户可以更改的内容与 Toolkit 中相同，参见身份验证。

设置错误的方式不会阻止 Pod 就绪：web 会在 /var/log/overleaf/web.log 中记录 error setting up passport in modules，该方式以及按 ldap、saml、oidc 顺序排在其后的方式都将保持关闭。每次更改后请检查日志。我们使用 EXTERNAL_AUTH: saml oidc 并缺少 IdP 证书进行了测试：Pod 变为就绪，而 /saml/login 和 /oidc/login 都返回 “Something went wrong”（500），直到证书路径被修正为止。

OIDC 身份验证

SAML 身份验证

LDAP 身份验证

公开访问

reCAPTCHA

密码限制