ScarriffleandClaude Opus 5
31b3624cc7
In Authentik hat jede Anwendung standardmaessig ihren eigenen Issuer, abgeleitet aus dem Application-Slug. Web- und App-Client brauchen dort aber zwei getrennte Anwendungen, weil ein Provider entweder vertraulich ODER oeffentlich ist. Bisher wurde das App-Token gegen den Issuer und den Schluesselsatz der Web-Anwendung geprueft - die App-Anmeldung waere damit an der iss-Pruefung gescheitert. Discovery und JWKS werden jetzt je Adresse gepuffert statt je Anbieter, und OIDC_<KUERZEL>_NATIVE_DISCOVERY_URL benennt die Anwendung des App-Clients. Ohne die Variable bleibt es bei einer gemeinsamen Adresse. Ausserdem im README: der Signing Key muss gesetzt sein, sonst signiert Authentik mit HS256 und das Token wird abgelehnt. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
53 lines
2.3 KiB
Bash
53 lines
2.3 KiB
Bash
# Kopiere diese Datei zu ".env" und passe die Werte an.
|
||
# install.sh erzeugt eine .env automatisch mit sicheren Zufallswerten.
|
||
|
||
# Port, unter dem die Web-UI erreichbar ist
|
||
WEB_PORT=8080
|
||
|
||
# Datenbank
|
||
POSTGRES_USER=vorrania
|
||
POSTGRES_PASSWORD=vorrania
|
||
POSTGRES_DB=vorrania
|
||
|
||
# Sicherheit – im Betrieb unbedingt ändern!
|
||
JWT_SECRET=change-me-please
|
||
|
||
# Erster Admin-Benutzer (wird nur beim allerersten Start angelegt)
|
||
ADMIN_USERNAME=admin
|
||
ADMIN_PASSWORD=changeme
|
||
|
||
# CORS (bei Betrieb hinter dem mitgelieferten nginx nicht nötig)
|
||
CORS_ORIGINS=*
|
||
|
||
# Oeffentliche Adresse dieser Instanz, z. B. https://vorrania.example.com
|
||
# Wird nur fuer Single Sign-on gebraucht (Rueckleit-Adresse) - sonst leer lassen.
|
||
PUBLIC_BASE_URL=
|
||
|
||
# ---------------------------------------------------------------------------
|
||
# Single Sign-on (OpenID Connect), z. B. gegen Authentik. Leer = aus; dann
|
||
# bleibt es beim Passwort-Login und nichts aendert sich.
|
||
#
|
||
# Ein weiterer Anbieter ist reine Konfiguration: Kuerzel in OIDC_PROVIDERS
|
||
# ergaenzen (kommagetrennt) und einen zweiten Block mit dessen Praefix anlegen.
|
||
# ---------------------------------------------------------------------------
|
||
OIDC_PROVIDERS=
|
||
#OIDC_PROVIDERS=authentik
|
||
#OIDC_AUTHENTIK_DISPLAY_NAME=Authentik
|
||
#OIDC_AUTHENTIK_DISCOVERY_URL=https://authentik.example.com/application/o/vorrania/.well-known/openid-configuration
|
||
# Vertraulicher Client (Web-Oberflaeche) - mit Secret:
|
||
#OIDC_AUTHENTIK_CLIENT_ID=
|
||
#OIDC_AUTHENTIK_CLIENT_SECRET=
|
||
# Oeffentlicher Client (iOS-App) - ohne Secret, mit PKCE:
|
||
#OIDC_AUTHENTIK_NATIVE_CLIENT_IDS=vorrania-ios
|
||
# In Authentik hat JEDE Anwendung ihren eigenen Issuer. Web- und App-Client
|
||
# brauchen dort zwei getrennte Anwendungen - deshalb hier die Discovery-Adresse
|
||
# der App-Anwendung eintragen. Nur weglassen, wenn beide Clients unter derselben
|
||
# Anwendung laufen (bzw. der Issuer-Modus auf "global" steht).
|
||
#OIDC_AUTHENTIK_NATIVE_DISCOVERY_URL=https://authentik.example.com/application/o/vorrania-ios/.well-known/openid-configuration
|
||
# Neue Konten automatisch anlegen (Rolle "Benutzer"); false = nur bereits
|
||
# vorhandene Konten duerfen sich per SSO anmelden.
|
||
#OIDC_AUTHENTIK_AUTO_CREATE=true
|
||
# Nur bei abweichendem Reverse-Proxy-Pfad noetig. Ohne diese Zeile bildet der
|
||
# Server die Adresse als <PUBLIC_BASE_URL>/api/auth/oidc/authentik/callback.
|
||
#OIDC_AUTHENTIK_REDIRECT_URI=
|