Anmeldung wahlweise ueber OpenID Connect (Authentik)
Neben dem Passwort-Login gibt es jetzt einen zweiten, gleichberechtigten Weg: OpenID Connect gegen einen selbst gehosteten Anmeldedienst. Ohne Konfiguration aendert sich nichts - keine SSO-Knoepfe, Passwort-Login wie bisher. Der Anmeldedienst ist NUR fuer die Anmeldung zustaendig. Danach stellt Vorrania sein eigenes Token aus wie beim Passwort-Login, deshalb bleiben deps.py, die Rollenpruefung und die langlebigen API-Tokens unveraendert. Backend - Anbieter kommen aus der Umgebung (OIDC_PROVIDERS + OIDC_<KUERZEL>_*). Ein zweiter Anbieter ist damit reine Konfiguration, ohne Codeaenderung. - Browser-Weg (vertraulicher Client) und App-Weg (oeffentlicher Client, PKCE) enden beide im selben Token-Schema. - state/nonce/PKCE-Verifier liegen in einer kurzlebigen Tabelle statt in einem Cookie: Starlettes CORS-Schicht spiegelt bei allow_origins=["*"] zusammen mit allow_credentials die Herkunft zurueck, sobald ein Request ein Cookie traegt. Ohne Cookie entsteht diese Wechselwirkung erst gar nicht - und der Ablauf bleibt mit der db-Fixture pruefbar. - Zuordnung ueber die sub des Anbieters; die Erstverknuepfung laeuft ueber die BESTAETIGTE E-Mail-Adresse. Rollen kommen nie aus dem Anbieter, und ein gleichlautender preferred_username uebernimmt nie ein bestehendes Konto. - users.password_hash darf jetzt leer sein (reine SSO-Konten). verify_password faengt das ab, sonst antwortete der Login mit 500 statt 401. Verknuepfen bestehender Konten - Neue Seite "Mein Konto" (fuer alle Benutzer, nicht nur Admins): verknuepfen und wieder loesen. Die Berechtigung stammt aus der laufenden Sitzung, es braucht also weder eine hinterlegte Adresse noch Admin-Rechte. - Der Start laeuft ueber POST, weil eine Seitennavigation das Bearer-Token nicht mitschicken kann. - Die letzte Anmeldemoeglichkeit eines Kontos laesst sich nicht loesen. iOS - AppAuth (erste Paketabhaengigkeit) mit PKCE im System-Browser, nie in einem eingebetteten WebView, und ohne Client-Secret. - offline_access nur im App-Weg: der Browser-Weg braucht kein Refresh-Token und bekaeme sonst einen ueberfluessigen Zustimmungsdialog. - Anmeldezustand je Serverprofil im Keychain; abgelaufene Token erneuert die App still im Hintergrund. Gleichzeitige 401er teilen sich eine Erneuerung. Deployment - docker-compose reicht die ganze .env durch. Einzeln aufzuzaehlen ginge nur mit fest verdrahteten Kuerzeln - genau das soll ein weiterer Anbieter nicht erfordern. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Scarriffle
co-authored by
Claude Opus 5
Claude Opus 5
parent
8d4954610b
commit
3d0ff54bf5
@@ -18,3 +18,30 @@ ADMIN_PASSWORD=changeme
|
||||
|
||||
# CORS (bei Betrieb hinter dem mitgelieferten nginx nicht nötig)
|
||||
CORS_ORIGINS=*
|
||||
|
||||
# Oeffentliche Adresse dieser Instanz, z. B. https://vorrania.example.com
|
||||
# Wird nur fuer Single Sign-on gebraucht (Rueckleit-Adresse) - sonst leer lassen.
|
||||
PUBLIC_BASE_URL=
|
||||
|
||||
# ---------------------------------------------------------------------------
|
||||
# Single Sign-on (OpenID Connect), z. B. gegen Authentik. Leer = aus; dann
|
||||
# bleibt es beim Passwort-Login und nichts aendert sich.
|
||||
#
|
||||
# Ein weiterer Anbieter ist reine Konfiguration: Kuerzel in OIDC_PROVIDERS
|
||||
# ergaenzen (kommagetrennt) und einen zweiten Block mit dessen Praefix anlegen.
|
||||
# ---------------------------------------------------------------------------
|
||||
OIDC_PROVIDERS=
|
||||
#OIDC_PROVIDERS=authentik
|
||||
#OIDC_AUTHENTIK_DISPLAY_NAME=Authentik
|
||||
#OIDC_AUTHENTIK_DISCOVERY_URL=https://authentik.example.com/application/o/vorrania/.well-known/openid-configuration
|
||||
# Vertraulicher Client (Web-Oberflaeche) - mit Secret:
|
||||
#OIDC_AUTHENTIK_CLIENT_ID=
|
||||
#OIDC_AUTHENTIK_CLIENT_SECRET=
|
||||
# Oeffentlicher Client (iOS-App) - ohne Secret, mit PKCE:
|
||||
#OIDC_AUTHENTIK_NATIVE_CLIENT_IDS=vorrania-ios
|
||||
# Neue Konten automatisch anlegen (Rolle "Benutzer"); false = nur bereits
|
||||
# vorhandene Konten duerfen sich per SSO anmelden.
|
||||
#OIDC_AUTHENTIK_AUTO_CREATE=true
|
||||
# Nur bei abweichendem Reverse-Proxy-Pfad noetig. Ohne diese Zeile bildet der
|
||||
# Server die Adresse als <PUBLIC_BASE_URL>/api/auth/oidc/authentik/callback.
|
||||
#OIDC_AUTHENTIK_REDIRECT_URI=
|
||||
|
||||
@@ -24,12 +24,22 @@ services:
|
||||
depends_on:
|
||||
db:
|
||||
condition: service_healthy
|
||||
# Die Single-Sign-on-Bloecke heissen je Anbieter anders (OIDC_<KUERZEL>_...).
|
||||
# Einzeln aufzaehlen liesse sich das nur mit fest verdrahteten Kuerzeln –
|
||||
# genau das soll ein weiterer Anbieter aber NICHT erfordern. Deshalb die
|
||||
# ganze .env durchreichen; der environment-Block unten gewinnt bei
|
||||
# Namensgleichheit und behaelt die zusammengesetzte DATABASE_URL.
|
||||
env_file:
|
||||
- .env
|
||||
environment:
|
||||
DATABASE_URL: postgresql+psycopg2://${POSTGRES_USER:-vorrania}:${POSTGRES_PASSWORD:-vorrania}@db:5432/${POSTGRES_DB:-vorrania}
|
||||
JWT_SECRET: ${JWT_SECRET:-change-me}
|
||||
ADMIN_USERNAME: ${ADMIN_USERNAME:-admin}
|
||||
ADMIN_PASSWORD: ${ADMIN_PASSWORD:-changeme}
|
||||
CORS_ORIGINS: ${CORS_ORIGINS:-*}
|
||||
# Oeffentliche Adresse der Instanz – ohne sie kann der Server die
|
||||
# Rueckleit-Adresse fuer Single Sign-on nicht bilden.
|
||||
PUBLIC_BASE_URL: ${PUBLIC_BASE_URL:-}
|
||||
expose:
|
||||
- "8000"
|
||||
|
||||
|
||||
@@ -133,6 +133,33 @@ ADMIN_PASSWORD=changeme
|
||||
|
||||
# CORS (bei Betrieb hinter dem mitgelieferten nginx nicht nötig)
|
||||
CORS_ORIGINS=*
|
||||
|
||||
# Oeffentliche Adresse dieser Instanz, z. B. https://vorrania.example.com
|
||||
# Wird nur fuer Single Sign-on gebraucht (Rueckleit-Adresse) - sonst leer lassen.
|
||||
PUBLIC_BASE_URL=
|
||||
|
||||
# ---------------------------------------------------------------------------
|
||||
# Single Sign-on (OpenID Connect), z. B. gegen Authentik. Leer = aus; dann
|
||||
# bleibt es beim Passwort-Login und nichts aendert sich.
|
||||
#
|
||||
# Ein weiterer Anbieter ist reine Konfiguration: Kuerzel in OIDC_PROVIDERS
|
||||
# ergaenzen (kommagetrennt) und einen zweiten Block mit dessen Praefix anlegen.
|
||||
# ---------------------------------------------------------------------------
|
||||
OIDC_PROVIDERS=
|
||||
#OIDC_PROVIDERS=authentik
|
||||
#OIDC_AUTHENTIK_DISPLAY_NAME=Authentik
|
||||
#OIDC_AUTHENTIK_DISCOVERY_URL=https://authentik.example.com/application/o/vorrania/.well-known/openid-configuration
|
||||
# Vertraulicher Client (Web-Oberflaeche) - mit Secret:
|
||||
#OIDC_AUTHENTIK_CLIENT_ID=
|
||||
#OIDC_AUTHENTIK_CLIENT_SECRET=
|
||||
# Oeffentlicher Client (iOS-App) - ohne Secret, mit PKCE:
|
||||
#OIDC_AUTHENTIK_NATIVE_CLIENT_IDS=vorrania-ios
|
||||
# Neue Konten automatisch anlegen (Rolle "Benutzer"); false = nur bereits
|
||||
# vorhandene Konten duerfen sich per SSO anmelden.
|
||||
#OIDC_AUTHENTIK_AUTO_CREATE=true
|
||||
# Nur bei abweichendem Reverse-Proxy-Pfad noetig. Ohne diese Zeile bildet der
|
||||
# Server die Adresse als <PUBLIC_BASE_URL>/api/auth/oidc/authentik/callback.
|
||||
#OIDC_AUTHENTIK_REDIRECT_URI=
|
||||
EOF
|
||||
}
|
||||
|
||||
@@ -143,6 +170,8 @@ env_hint() {
|
||||
echo " Vorlage/Beispiel: $EXAMPLE_FILE"
|
||||
warn "Dort kannst du bei Bedarf Werte anpassen: WEB_PORT (Port der Web-UI),"
|
||||
warn "ADMIN_USERNAME/ADMIN_PASSWORD sowie die Datenbank- und JWT-Secrets."
|
||||
warn "Fuer Single Sign-on (z. B. Authentik): PUBLIC_BASE_URL und OIDC_* -"
|
||||
warn "die Vorlage in $EXAMPLE_FILE zeigt einen vollstaendigen Beispielblock."
|
||||
warn "Nach Änderungen an der .env neu starten: $COMPOSE --env-file .env up -d"
|
||||
}
|
||||
|
||||
@@ -179,6 +208,10 @@ JWT_SECRET=$(rand 48)
|
||||
ADMIN_USERNAME=$admin_user
|
||||
ADMIN_PASSWORD=$admin_pass
|
||||
CORS_ORIGINS=*
|
||||
|
||||
# Fuer Single Sign-on ausfuellen (siehe .env.example). Leer = Passwort-Login.
|
||||
PUBLIC_BASE_URL=
|
||||
OIDC_PROVIDERS=
|
||||
EOF
|
||||
chmod 600 "$ENV_FILE"
|
||||
|
||||
|
||||
Reference in New Issue
Block a user