Authentik: Härtungs-Checkliste für selbst gehostete Identitätsanbieter

Authentik (goauthentik/authentik) ist ein Open-Source-Identitätsanbieter, der für Self-Hosting entwickelt wurde und OIDC/OAuth2, SAML, LDAP und RADIUS über ein einziges Django-basiertes Backend unterstützt. Die Maintainer positionieren es als Ersatz für kommerzielle Identitätsanbieter wie Okta, Auth0 oder Entra ID für Teams, die ihre eigene SSO-Schicht betreiben statt sie zu mieten möchten. Für MSPs bringt dieser Tausch echte Kontrolle – und echte betriebliche Verantwortung.

Was der Betrieb eines eigenen IdP verändert

Ein gehosteter Identitätsanbieter kümmert sich um eigene Verfügbarkeit, Patches und Break-Glass-Wiederherstellung. Ein selbst gehosteter legt all das auf den MSP. Authentik zerlegt sich in wenige kooperierende Dienste – einen Django/Python-Server für OAuth2-, OIDC- und SAML-Flows sowie die Admin-Oberfläche und API –, die sich unkompliziert in Docker Compose für kleine Deployments oder über ein Helm-Chart für größere betreiben lassen, aber es bedeutet auch, dass ein Ausfall oder eine Fehlkonfiguration in diesem Stack jede nachgelagerte Anwendung aussperren kann, die darauf für die Anmeldung angewiesen ist.

Eine Härtungs-Checkliste, die es wert ist, befolgt zu werden

• MFA auf jedem Administratorkonto erzwingen, nicht nur bei Endbenutzer-Anmeldungen.
• Break-Glass-Accounts mit einem Offline-Wiederherstellungspfad pflegen, der nicht davon abhängt, dass der IdP selbst verfügbar ist.
• Die Relying Parties (die Anwendungen) auf eine Allowlist setzen, die sich gegen jeden Provider authentifizieren dürfen, statt die Registrierung offen zu lassen.
• Die Authentik-Konfiguration versionieren und separat von Anwendungsdaten sichern, damit eine schlechte Änderung schnell zurückgerollt werden kann.
• Authentifizierungsfehler und Admin-Aktionen als Produktionstelemetrie überwachen und in dieselbe Alerting-Pipeline einspeisen wie jeden anderen kritischen Dienst.

Keines davon ist spezifisch für Authentik – es gilt für jede selbst gehostete Identitätsebene –, aber die wachsende Verbreitung von Authentik unter MSPs macht es zu einem vernünftigen Beispiel, an dem die Checkliste festgemacht werden kann. Die praktische Erkenntnis ist, dass „self-hosted“ und „gehärtet“ nicht dasselbe bedeuten: Ersteres ist eine Deployments-Entscheidung, Letzteres eine Liste operativer Schritte, die nach dem Live-Gang des Deployments befolgt werden müssen.

Quellen: GitHub — goauthentik/authentik, authentik.io.