authentik для единого входа в приложения

Что такое authentik

authentik — самостоятельный провайдер идентификации для единого входа в приложения. Пользователь видит доступные ему сервисы в портале и проходит согласованный процесс входа, а администратор управляет пользователями, группами, провайдерами и правилами. Система не создаёт единый вход сама по себе: каждое приложение необходимо подключить и проверить.

Приложения и протоколы

Для сервиса создают приложение и провайдера, затем связывают их с нужными пользователями. В зависимости от поддержки сервиса используют OIDC/OAuth2, SAML или proxy-доступ. Простое добавление карточки в портал не означает, что приложение умеет принимать единый вход; иногда его нужно доработать или поставить перед ним proxy outpost.

Пользователи и источники

Пользователей можно вести локально или связать с существующим каталогом. Группы и права определяют, кому виден сервис. При подключении внешнего каталога заранее выбирают источник истины, правила сопоставления учётных записей, отключения уволенных и поведение при недоступности каталога.

Flows и MFA

Flows составляют путь пользователя: идентификация, пароль, дополнительный фактор и согласие. Их настройка даёт гибкость, но ошибочный flow может закрыть вход администраторам или ослабить защиту. Новые правила сначала проверяют на тестовой группе, сохраняя аварийный административный доступ.

Доступ к приложениям без встроенного SSO

Proxy outpost может защитить приложение перед входом, если оно не поддерживает нужный протокол напрямую. Это технический компонент, а не отдельный продуктовый модуль. Надо проверить маршруты, заголовки доверия, logout и доступ к API. Официальный Compose по умолчанию монтирует Docker socket в worker для автоматического управления outpost; такой доступ к хосту оценивают отдельно или используют ручное развёртывание.

Редакции и лицензия

Открытое ядро authentik лицензировано по MIT, код Enterprise поставляется на отдельных условиях. Страница описывает self-hosted открытое ядро; наличие нужной функции и условий поддержки сверяют на выбранном релизе и в действующем предложении производителя. Enterprise-возможности не обещаются как часть свободной установки.

Размещение и восстановление

Актуальный Docker Compose для 2026.8 включает server, worker и PostgreSQL; Redis в нём нет. Официальный минимум — 2 CPU и 2 GB RAM для тестовой или небольшой установки. Для критичного единого входа нужны план отказоустойчивости, защищённый секретный ключ, почта для восстановления и проверенная резервная копия PostgreSQL и конфигурации.

Порядок внедрения

Начинают с одного некритичного приложения и небольшой группы. Проверяют вход, MFA, выдачу прав, logout, потерю второго фактора и недоступность authentik. После этого подключают остальные сервисы и документируют аварийный доступ. Устанавливать SSO перед всеми приложениями за один шаг рискованно: ошибка превращается в общую точку отказа.

Стоимость и границы

Расходы состоят из инфраструктуры, интеграции каждого приложения, поддержки каталога и регулярных обновлений. Если приложений мало и они не поддерживают стандартные протоколы, стоимость адаптации может превысить пользу от центральной точки входа. Решение принимают после пилота, а не по числу карточек в портале.