La wiki de TempWin

Herramientas de usuario

Herramientas del sitio

Traza: • hedgedoc • frameworks_competencias_transversales • immich • authelia • newsboat • pairdrop • frigate • mediatracker • adb • copyparty
informatica:software:aplicaciones_web:authelia

Diferencias

Muestra las diferencias entre dos versiones de la página.

Enlace a la vista de comparación

Ambos lados, revisión anteriorRevisión previa
Próxima revisión		Revisión previa
informatica:software:aplicaciones_web:authelia [2023/11/15 10:56] – tempwininformatica:software:aplicaciones_web:authelia [2023/11/21 10:24] (actual) – [Authelia] tempwin
Línea 5: Línea 5:
   * [[https://www.authelia.com/|Web oficial]]   * [[https://www.authelia.com/|Web oficial]]
  
 +{{ https://www.authelia.com/overview/prologue/architecture/architecture-diagram.png |}}
 ===== Instalación ===== ===== Instalación =====
  
Línea 32: Línea 33:
   * ''configuration.yml'': base de la configuración de Authelia.   * ''configuration.yml'': base de la configuración de Authelia.
   * ''users.yml'': base de datos con los usuarios que tendrán acceso a través de Authelia.   * ''users.yml'': base de datos con los usuarios que tendrán acceso a través de Authelia.
 +
 +===== Configuración =====
 +
 +  * [[https://www.authelia.com/configuration/prologue/introduction/|Documentación oficial sobre configuración de Authelia]]
  
 Ejemplo de fichero ''configuration.yml'': Ejemplo de fichero ''configuration.yml'':
Línea 40: Línea 45:
 ############################################################################### ###############################################################################
  
-theme: dark +theme: auto 
  
-jwt_secret: B0346B15DD27774E98C1E4E82562BFDB2081E8CB66C78751983380B0F1211F3C #Visita https://www.grc.com/passwords.htm y copia el numero largo de la ventana que se llama 64 random hexadecimal characters (0-9 and A-F):+jwt_secret: B0346B15DD27774E98C1E4E82562BFDB2081E8CB66C78751983380B0F1211F3C
  
-default_redirection_url: https://public.midominio.com/+# Opcional: 
 +# default_redirection_url: https://public.midominio.com/
  
 server: server:
   host: 0.0.0.0   host: 0.0.0.0
   port: 9091   port: 9091
-#  path: "" 
-#  buffers: 
-#    read: 4096 
-#    write: 4096 
-#  enable_pprof: false 
-#  enable_expvars: false 
-#  disable_healthcheck: false 
-#  tls: 
-#    key: "" 
-#    certificate: "" 
- 
-#ntp: 
-#  address: "10.0.1.1:123" 
-#  version: 3 
-#  max_desync: 3s 
-#  disable_startup_check: false 
-#  disable_failure: true 
  
 log: log:
Línea 71: Línea 60:
   file_path: /config/authelia.%d.log   file_path: /config/authelia.%d.log
  
 +# Uso de contraseña única basada en tiempo como segundo factor de autenticación (2FA)
 totp: totp:
 +  disable: false
 +  algorithm: sha1
   issuer: tempwin.net   issuer: tempwin.net
 +  digits: 6
   period: 30   period: 30
   skew: 1   skew: 1
 +  secret_size: 32
 +
 +# Uso de clave a través del navegador como segundo factor de autenticación (2FA)
 +webauthn:
 +  disable: false
 +  display_name: Authelia
 +  attestation_conveyance_preference: indirect
 +  user_verification: preferred
 +  timeout: 60s
  
 authentication_backend: authentication_backend:
-        #  password_reset: 
-        #    disable: false 
-        #  refresh_interval: 5m 
   file:   file:
     path: /config/users.yml      path: /config/users.yml 
     password:     password:
-      algorithm: argon2id +      algorithm: argon2 
-      iterations: 1 +      argon2: 
-      key_length: 32 +        variant: argon2id 
-      salt_length: 16 +        iterations: 3 
-      memory: 1024 +        memory: 65536 
-      parallelism: 8+        parallelism: 4 
 +        key_length: 32 
 +        salt_length: 16
  
 access_control: access_control:
-  default_policy: two_factor+  default_policy: deny
   rules:   rules:
     - domain: authelia.midominio.com     - domain: authelia.midominio.com
Línea 97: Línea 98:
     - domain: sub1.midominio.com     - domain: sub1.midominio.com
       policy: one_factor       policy: one_factor
-    - domain: sub2.midominio.com+    - domain:  
 +      - sub3.midominio.com 
 +      - sub4.midominio.com 
 +      - sub5.midominio.com
       policy: two_factor       policy: two_factor
  
 +# Cookies de sesión
 session: session:
   name: authelia_session   name: authelia_session
-  secret: B0346B15DD27774E98C1E4E82562BFDB2081E8CB66C78751983380B0F1211F3C #Visita https://www.grc.com/passwords.htm y copia el numero largo de la ventana que se llama 64 random hexadecimal characters (0-9 and A-F): +  domain: midominio.com 
-  expiration: 3600  # 1 hour +  secret: B0346B15DD27774E98C1E4E82562BFDB2081E8CB66C78751983380B0F1211F3C 
-  inactivity: 300  # 5 minutes +  expiration: 1h 
-  domain: tempwin.net  # tu nombre de dominio. No es el subdominio, sino que es el fulanito.es+  inactivity: 5m 
 +  remember_me_duration:  1M # 1 mes  
  
 +
 +# Authelia puede bloquear temporalmente cuentas cuando hay demasiados intentos
 +# de autenticación. Esto ayuda a prevenir ataques de fuerza bruta.
 regulation: regulation:
   max_retries: 3   max_retries: 3
Línea 112: Línea 121:
   ban_time: 12h   ban_time: 12h
  
 +# Configuración del almacenamiento SQL 
 +# (para guardar preferencias de usuario, logs, dispositivos 2FA...)
 storage: storage:
-  encryption_key: a2QDCXPRbQaxcaUH8DJ2 +  encryption_key: NzVCcCDh6HlEyRxbgxUpEwWsauf7xe8qrtNfUs0gKVMVTp5gNwKsfHvrd3Cjxs74
   local:   local:
     path: /config/db.sqlite3      path: /config/db.sqlite3 
      
 notifier: notifier:
-  disable_startup_check: true #true/false+  disable_startup_check: true
   smtp:   smtp:
-    username: usuario 
-    password: contraseña 
     host: smtp.servidor.com     host: smtp.servidor.com
     port: 587     port: 587
 +    username: usuario
 +    password: contraseña
     sender: noreply@authelia.midominio.com     sender: noreply@authelia.midominio.com
     subject: "[Authelia] {title}"     subject: "[Authelia] {title}"
 </code> </code>
  
-  * ''jwt_secret'': el secreto a usar para generar tokens JWT cuando se valida por e-mail. Al menos 64 caracteres alfanuméricos aleatorios. Se puede hacer con ''openssl rand -hex 32'' o visitando [[https://www.grc.com/passwords.htm|esta web]]+  * ''jwt_secret'': el secreto a usar para generar tokens JWT cuando se valida por e-mail. Al menos 64 caracteres alfanuméricos aleatorios. Se puede hacer de varias maneras: 
 +    * Con OpenSSL: ''openssl rand -hex 32'' 
 +    * Usando [[https://www.grc.com/passwords.htm|esta web]] 
 +    * Usando una utilidad de la imagen Docker de Authelia: ''docker run %%--%%rm authelia/authelia:latest authelia crypto rand %%--%%length 64 %%--%%charset alphanumeric''
   * ''default_redirection_url'': dominio que usamos para nuestro servidor de Authelia   * ''default_redirection_url'': dominio que usamos para nuestro servidor de Authelia
   * ''access_control'': subdominios que queremos gestionar con Authelia. Las políticas a establecer en ''rules'' son:   * ''access_control'': subdominios que queremos gestionar con Authelia. Las políticas a establecer en ''rules'' son:
Línea 138: Línea 152:
     * ''domain'': dominio base al que pertenecen los subdominios que vamos a gestionar con Authelia.     * ''domain'': dominio base al que pertenecen los subdominios que vamos a gestionar con Authelia.
   * ''storage'':   * ''storage'':
-    * ''encryption_key'': clave segura+    * ''encryption_key'': la clave de cifrado para ofuscar la información a registrar en la base de datos.Al menos 64 caracteres alfanuméricos aleatorios. Ver la opción ''jwt_secret'' para saber cómo generarla.
   * ''notifier'': datos con nuestro servidor de correo. Si no está bien configurado, no podremos activar el 2FA.   * ''notifier'': datos con nuestro servidor de correo. Si no está bien configurado, no podremos activar el 2FA.
  
Línea 144: Línea 158:
 Siempre que se modifique el fichero de configuración (para añadir nuevos dominios, por ejemplo) es necesario reiniciar el contenedor. Lo más fácil es ''docker compose restart'' Siempre que se modifique el fichero de configuración (para añadir nuevos dominios, por ejemplo) es necesario reiniciar el contenedor. Lo más fácil es ''docker compose restart''
 </WRAP> </WRAP>
 +
 +La configuración se puede validar antes de aplicar mediante el binario:
 +
 +<code>
 +authelia validate-config --config configuration.yml
 +</code>
 +
 +===== Usuarios =====
  
 Ejemplo de fichero ''users.yml'': Ejemplo de fichero ''users.yml'':
Línea 152: Línea 174:
 #                         Users Database                      # #                         Users Database                      #
 ############################################################### ###############################################################
- 
-# This file can be used if you do not have an LDAP set up. 
- 
-# List of users 
 users: users:
   pepito:   pepito:
Línea 178: Línea 196:
  
 <code> <code>
-$argon2id$v=19$m=65536,t=3,p=4$KzRQdnFKVGxrcFNwRGNheA$Gf4geiNHilF5IE/X1oIyIOQA1ePbICrMbtXKY3Sji7g+Digest: $argon2id$v=19$m=65536,t=3,p=4$KzRQdnFKVGxrcFNwRGNheA$Gf4geiNHilF5IE/X1oIyIOQA1ePbICrMbtXKY3Sji7g
 </code> </code>
  
-Esto tendremos que ponerlo en el campo ''password''.+Lo que va a continuación de //Digest:// es lo que tendremos que ponerlo en el campo ''password''.
  
 Por último, el correo debe ser válido, ya que para activar el 2FA se enviará un mail de activación. Los grupos se pueden dejar como están, porque es para configuraciones más avanzadas. Por último, el correo debe ser válido, ya que para activar el 2FA se enviará un mail de activación. Los grupos se pueden dejar como están, porque es para configuraciones más avanzadas.
 +
 +===== Integración con Nginx =====
 +
 +Para integrar Authelia con el proxy inverso Nginx, aplicaremos la siguiente configuración a nivel del //virtual host// que vamos a proteger con Authelia:
 +
 +<code>
 +set $upstream_authelia http://authelia:9091/api/verify;
 +
 +## Virtual endpoint created by nginx to forward auth requests.
 +location /authelia {
 +    ## Essential Proxy Configuration
 +    internal;
 +    proxy_pass $upstream_authelia;
 +
 +    ## Headers
 +    ## The headers starting with X-* are required.
 +    proxy_set_header X-Original-URL $scheme://$http_host$request_uri;
 +    proxy_set_header X-Original-Method $request_method;
 +    proxy_set_header X-Forwarded-Method $request_method;
 +    proxy_set_header X-Forwarded-Proto $scheme;
 +    proxy_set_header X-Forwarded-Host $http_host;
 +    proxy_set_header X-Forwarded-Uri $request_uri;
 +    proxy_set_header X-Forwarded-For $remote_addr;
 +    proxy_set_header Content-Length "";
 +    proxy_set_header Connection "";
 +
 +    ## Basic Proxy Configuration
 +    proxy_pass_request_body off;
 +    proxy_next_upstream error timeout invalid_header http_500 http_502 http_503; # Timeout if the real server is dead
 +    proxy_redirect http:// $scheme://;
 +    proxy_http_version 1.1;
 +    proxy_cache_bypass $cookie_session;
 +    proxy_no_cache $cookie_session;
 +    proxy_buffers 4 32k;
 +    client_body_buffer_size 128k;
 +
 +    ## Advanced Proxy Configuration
 +    send_timeout 5m;
 +    proxy_read_timeout 240;
 +    proxy_send_timeout 240;
 +    proxy_connect_timeout 240;
 +}
 +
 +## Send a subrequest to Authelia to verify if the user is authenticated and has permission to access the resource.
 +auth_request /authelia;
 +
 +## Set the $target_url variable based on the original request.
 +
 +## Comment this line if you're using nginx without the http_set_misc module.
 +set_escape_uri $target_url $scheme://$http_host$request_uri;
 +
 +## Uncomment this line if you're using NGINX without the http_set_misc module.
 +# set $target_url $scheme://$http_host$request_uri;
 +
 +## Save the upstream response headers from Authelia to variables.
 +auth_request_set $user $upstream_http_remote_user;
 +auth_request_set $groups $upstream_http_remote_groups;
 +auth_request_set $name $upstream_http_remote_name;
 +auth_request_set $email $upstream_http_remote_email;
 +
 +## Inject the response headers from the variables into the request made to the backend.
 +proxy_set_header Remote-User $user;
 +proxy_set_header Remote-Groups $groups;
 +proxy_set_header Remote-Name $name;
 +proxy_set_header Remote-Email $email;
 +
 +## If the subreqest returns 200 pass to the backend, if the subrequest returns 401 redirect to the portal.
 +error_page 401 =302 https://auth.example.com/?rd=$target_url;
 +</code>
 +
 +Se da por hecho que:
 +
 +  * Authelia está accesible por el proceso de Nginx con el nombre de host ''authelia'' en el puerto 9091(la URL sería http://authelia:9091). Adaptar a nuestro caso particular.
 +  * La URL a la que quieres acceder a través de Authelia es https://auth.example.com.  Adaptar a nuestro caso particular.
 +
 +==== Usando la imagen de docker nginx-proxy ====
 +
 +Si el servicio que queremos proteger con Authelia es https://app.midominio.com, tenemos que crear un fichero llamado como el dominio (''app.midominio.com'') en la carpeta ''/etc/nginx/vhost.d/'' del contenedor con el siguiente contenido:
 +
 +<code>
 +## Start of configuration add by letsencrypt container
 +location ^~ /.well-known/acme-challenge/ {
 +    auth_basic off;
 +    auth_request off;
 +    allow all;
 +    root /usr/share/nginx/html;
 +    try_files $uri =404;
 +    break;
 +}
 +## End of configuration add by letsencrypt container
 +## Virtual endpoint created by nginx to forward auth requests.
 +location /authelia {
 +    ## Essential Proxy Configuration
 +    internal;
 +    proxy_pass http://authelia:9091/api/verify;
 +
 +    ## Headers
 +    ## The headers starting with X-* are required.
 +    proxy_set_header X-Original-URL $scheme://$http_host$request_uri;
 +    proxy_set_header X-Forwarded-Method $request_method;
 +    proxy_set_header X-Forwarded-Proto $scheme;
 +    proxy_set_header X-Forwarded-Host $http_host;
 +    proxy_set_header X-Forwarded-Uri $request_uri;
 +    proxy_set_header X-Forwarded-For $remote_addr;
 +    proxy_set_header Content-Length "";
 +    proxy_set_header Connection "";
 +
 +    ## Basic Proxy Configuration
 +    proxy_pass_request_body off;
 +    proxy_next_upstream error timeout invalid_header http_500 http_502 http_503; # Timeout if the real server is dead
 +    proxy_redirect http:// $scheme://;
 +    proxy_http_version 1.1;
 +    proxy_cache_bypass $cookie_session;
 +    proxy_no_cache $cookie_session;
 +    proxy_buffers 4 32k;
 +    client_body_buffer_size 128k;
 +
 +    ## Advanced Proxy Configuration
 +    send_timeout 5m;
 +    proxy_read_timeout 240;
 +    proxy_send_timeout 240;
 +    proxy_connect_timeout 240;
 +}
 +
 +## Send a subrequest to Authelia to verify if the user is authenticated and has permission to access the resource.
 +auth_request /authelia;
 +
 +## Set the $target_url variable based on the original request.
 +
 +## Comment this line if you're using nginx without the http_set_misc module.
 +#set_escape_uri $target_url $scheme://$http_host$request_uri;
 +
 +## Uncomment this line if you're using NGINX without the http_set_misc module.
 +set $target_url $scheme://$http_host$request_uri;
 +
 +## Save the upstream response headers from Authelia to variables.
 +auth_request_set $user $upstream_http_remote_user;
 +auth_request_set $groups $upstream_http_remote_groups;
 +auth_request_set $name $upstream_http_remote_name;
 +auth_request_set $email $upstream_http_remote_email;
 +
 +## Inject the response headers from the variables into the request made to the backend.
 +proxy_set_header Remote-User $user;
 +proxy_set_header Remote-Groups $groups;
 +proxy_set_header Remote-Name $name;
 +proxy_set_header Remote-Email $email;
 +
 +## If the subreqest returns 200 pass to the backend, if the subrequest returns 401 redirect to the portal.
 +error_page 401 =302 https://portal.authelia.com/?rd=$target_url;
 +</code>
 +
 +Donde:
 +
 +  * ''http://authelia:9091/'' es el contenedor con Authelia.
 +  * ''https://portal.authelia.com/'' es el servicio al que redirigirá si hay error
informatica/software/aplicaciones_web/authelia.1700042217.txt.gz · Última modificación: por tempwin