authentik ist eine Open-Source-Lösung für zentrale Anmeldung (Single Sign-on, SSO) und Identitätsverwaltung. Statt in jeder Anwendung eigene Benutzerkonten zu pflegen, melden sich Ihre Mitarbeitenden einmal bei authentik an und erhalten Zugriff auf alle angebundenen Dienste. In diesem Artikel erfahren Sie, wie authentik aufgebaut ist und wie Sie eine erste Anwendung per OpenID Connect anbinden.
Wofür brauche ich authentik?
- Ein Konto für alles: Nextcloud, Wiki, Monitoring, Git, interne Tools
- Zentrale Zwei-Faktor-Authentifizierung: mit TOTP-Apps, Passkeys oder Sicherheitsschlüsseln, auch für Anwendungen, die selbst keine 2FA unterstützen
- Schnelles Offboarding: Deaktivieren Sie ein Konto in authentik, verliert die Person sofort den Zugang zu allen Diensten.
- Gruppen und Rechte: Legen Sie zentral fest, wer welche Anwendung nutzen darf.
- Anbindung bestehender Verzeichnisse: LDAP oder Active Directory können als Quelle dienen.
Die wichtigsten Begriffe
| Begriff | Bedeutung |
|---|---|
| Provider | legt fest, wie sich eine Anwendung mit authentik verbindet, etwa per OAuth2/OpenID Connect, SAML, LDAP oder als Proxy |
| Application | der Eintrag für eine konkrete Anwendung, wie sie im Benutzerportal erscheint. Jede Application ist mit einem Provider verknüpft. |
| Flow | ein Ablauf aus mehreren Schritten, zum Beispiel Anmeldung, Registrierung oder Passwort-Wiederherstellung |
| Stage | ein einzelner Schritt innerhalb eines Flows, etwa Passwortabfrage oder 2FA-Prüfung |
| Outpost | eine Komponente, die Proxy- oder LDAP-Funktionen bereitstellt |
Erste Schritte nach der Bereitstellung
- Rufen Sie die Adresse Ihrer authentik-Instanz auf und melden Sie sich mit dem Administratorkonto an. Bei einer Neuinstallation richten Sie dieses unter
/if/flow/initial-setup/ein. - Wechseln Sie über Admin interface in die Verwaltung.
- Richten Sie unter System → Brands Ihren Firmennamen und Ihr Logo ein.
- Hinterlegen Sie unter Settings bzw. in der Konfiguration einen SMTP-Server, damit authentik E-Mails zur Passwort-Wiederherstellung senden kann.
- Aktivieren Sie für Ihr eigenes Administratorkonto sofort die Zwei-Faktor-Authentifizierung über Settings → MFA Devices im Benutzerbereich.
Benutzer und Gruppen anlegen
- Öffnen Sie Directory → Groups und legen Sie Gruppen an, etwa
mitarbeitendeundadmins. - Unter Directory → Users legen Sie Benutzer an und ordnen sie Gruppen zu.
- Über Create recovery link erzeugen Sie einen Link, mit dem der Benutzer sein Passwort selbst setzt. So müssen Sie keine Passwörter weitergeben.
Eine Anwendung per OpenID Connect anbinden
Die meisten modernen Anwendungen unterstützen OpenID Connect (OIDC). Am Beispiel einer beliebigen Anwendung:
- Öffnen Sie Applications → Applications und klicken Sie auf Create with Provider.
- Vergeben Sie einen Namen und einen Slug, zum Beispiel
wiki. - Wählen Sie als Provider-Typ OAuth2/OpenID Provider.
- Wählen Sie als Autorisierungs-Flow
default-provider-authorization-implicit-consent, damit Benutzer nicht jedes Mal eine Zustimmung bestätigen müssen. - Tragen Sie unter Redirect URIs die Rückleitungsadresse der Anwendung ein. Diese finden Sie in deren Dokumentation, zum Beispiel
https://wiki.ihre-domain.at/oauth/callback. - Speichern Sie und notieren Sie Client ID und Client Secret.
In der Anwendung tragen Sie dann folgende Werte ein:
Issuer / Discovery URL:
https://auth.ihre-domain.at/application/o/wiki/.well-known/openid-configuration
Client ID: (aus authentik)
Client Secret: (aus authentik)
Scopes: openid profile emailViele Anwendungen ermitteln alle weiteren Adressen automatisch über die Discovery-URL.
Zugriff auf Gruppen beschränken
Standardmäßig darf jeder Benutzer jede Application nutzen. Um das einzuschränken, öffnen Sie die Application, wechseln zum Reiter Policy / Group / User Bindings und binden die gewünschte Gruppe. Ab dann sehen und nutzen nur Mitglieder dieser Gruppe die Anwendung.
Anwendungen ohne SSO-Unterstützung schützen
Für Anwendungen, die weder OIDC noch SAML beherrschen, bietet authentik einen Proxy Provider. authentik wird dabei vor die Anwendung geschaltet und fragt die Anmeldung ab, bevor die Anfrage überhaupt bei der Anwendung ankommt. So erhalten auch einfache Weboberflächen eine 2FA-geschützte Anmeldung.
Empfehlungen für den Betrieb
- Notfallzugang: Bewahren Sie für ein Administratorkonto Wiederherstellungscodes sicher auf.
- Testen vor dem Ausrollen: Binden Sie neue Anwendungen zuerst mit einem Testkonto an.
- Lokale Admin-Konten behalten: Deaktivieren Sie die lokale Anmeldung in einer Anwendung erst, wenn SSO zuverlässig funktioniert.
- Updates: authentik erscheint in regelmäßigen Versionen. Lesen Sie vor einem Update die Release Notes.
Fehlerbehebung
„Redirect URI Error“
Die Rückleitungsadresse in authentik stimmt nicht exakt mit der überein, die die Anwendung sendet. Achten Sie auf http und https, auf Schrägstriche am Ende und auf Groß- und Kleinschreibung.
Benutzer sieht die Anwendung nicht
Prüfen Sie die Bindings der Application und ob der Benutzer Mitglied der gebundenen Gruppe ist.
Sie möchten authentik nutzen, ohne sich um Installation und Updates zu kümmern? Informieren Sie sich über unseren authentik-Server.
