文章目录
- Authelia：给你的应用加一层统一认证网关
- 1、 这东西解决什么问题
- 2、 支持哪些认证方式
- 3、 兼容哪些反向代理
- 4、 权限控制能做到什么程度
- 5、 部署方式
- 6、 OpenID Connect
- 7、 适合什么场景
Authelia：给你的应用加一层统一认证网关
Authelia 在 GitHub 上拿到了 28K Star。
这是一个开源的认证授权服务器，专门解决一个问题：给内部应用统一加上登录和权限控制。它不直接暴露在互联网上，而是配合反向代理工作，充当所有应用的认证网关。
1、 这东西解决什么问题
公司内部通常有一堆服务：GitLab、Grafana、Jenkins、Portainer……每个都有自己的登录系统，有的甚至没有。
管理十几套账号密码，用户体验差，安全也没法统一保障。Authelia 的做法是在反向代理层面拦截所有请求，统一处理认证。用户只需登录一次，就能访问所有受保护的应用。
2、 支持哪些认证方式
Authelia 的认证分两层。
第一层是账号密码，这是基础。
第二层是双因素认证，支持多种方式：安全密钥（YubiKey 这类 FIDO2 设备）、手机上的 TOTP 验证码、Duo 推送通知。还支持 WebAuthn Passkeys，也就是无密码登录。
对于不需要双因素的场景，可以配置单因素策略，用基本认证就够了。
3、 兼容哪些反向代理
这是 Authelia 能落地的关键。
它支持 nginx、Traefik、Caddy、HAProxy、Envoy、Skipper，基本上主流的反向代理都覆盖了。拿 Traefik 来说，通过 ForwardAuth 中间件就能接入，配置几行的事。
Caddy 用 forward_auth 指令也是一样简单。官方还和 LinuxServer 合作，在他们的 SWAG 容器里直接内置了支持。
4、 权限控制能做到什么程度
Authelia 的权限规则可以按多个维度配置：子域名、用户、用户组、请求路径、请求方法、网络来源。
举个例子，你可以让开发团队访问 Grafana 和 Jenkins，但只有运维能进 Portainer。同一条规则还能区分单因素和双因素，灵活度够用。
5、 部署方式
Docker Compose 是最快的方式。官方提供了两套模板：Local 用自签证书，适合在内网测试；Lite 接入 Let’s Encrypt，适合暴露到外网的场景。
生产环境建议上 Kubernetes。Authelia 支持 ingress-nginx、Traefik CRD、Istio、Envoy Gateway 等多种 Ingress Controller，还能用 Helm Chart 部署。
高可用方面，后端支持远程数据库和 Redis，能水平扩展。
6、 OpenID Connect
Authelia 已经通过了 OpenID Certified 认证，支持 Basic OP、Implicit OP、Hybrid OP 等多种 profile。
这意味着它不只能做反向代理层面的认证，还能作为 OpenID Provider，给支持 OIDC 的应用提供标准的单点登录。对于需要对接第三方 SaaS 或者微服务架构的场景，这个能力很实用。
7、 适合什么场景
内部服务多，需要统一登录入口的团队
已经在用 nginx 或 Traefik 做反向代理，想加认证层的场景
需要双因素认证但不想每个应用单独集成的
用 Kubernetes 管理服务，需要和 Ingress 对接的
需要双因素认证但不想每个应用单独集成的
用 Kubernetes 管理服务，需要和 Ingress 对接的
