Authentik: en härdningschecklista för självhostade identitetsleverantörer

Authentik (goauthentik/authentik) är en identitetsleverantör med öppen källkod byggd för självhosting, med stöd för OIDC/OAuth2, SAML, LDAP och RADIUS. Dess enterprise-erbjudande positioneras av underhållarna som en ersättning för kommersiella identitetsleverantörer som Okta, Auth0 eller Entra ID. För MSP:er innebär det bytet verklig kontroll – och verkligt operativt ansvar.

Vad som förändras när du kör din egen IdP

En självhostad identitetsleverantör lägger ansvaret för drifttid, patchning och nödåterställning på MSP:en. Authentik kan köras i Docker Compose för små installationer eller via ett Helm-chart för större, men det innebär också att ett avbrott eller en felkonfiguration i den stacken kan låsa ute varje nedströmsapplikation som förlitar sig på den för inloggning.

En härdningschecklista värd att följa

• Kräv MFA på varje administratörskonto, inte bara på slutanvändarinloggningar.
• Upprätthåll nödkonton med en offlineåterställningsväg som inte är beroende av att själva IdP:n är uppe.
• Allowlista de förlitande parterna (applikationerna) som tillåts autentisera mot varje leverantör, i stället för att lämna registreringen öppen.
• Versionshantera och säkerhetskopiera Authentik-konfigurationen separat från applikationsdata, så att en dålig ändring snabbt kan rullas tillbaka.
• Övervaka autentiseringsfel och adminåtgärder som produktionstelemetri, och mata samma larmpipeline som vilken annan kritisk tjänst som helst.

Inget av detta är specifikt för Authentik – det gäller alla självhostade identitetsplan. Den praktiska slutsatsen är att "självhostad" och "härdad" inte är samma påstående: det första är ett driftsättningsval, det andra är en lista över operativa steg som måste följas efter att driftsättningen är live.

Källor: GitHub — goauthentik/authentik, authentik.io.