Instalación de Authentik

Configuración

Después de instalar Authentik, necesitamos configurar el acceso a través de la interfaz web, asegurar el cifrado del tráfico con HTTPS y verificar su funcionamiento. Para estos fines, utilizaremos Caddy, un servidor web potente y fácil de configurar que gestiona automáticamente los certificados de Let's Encrypt.

1. Instalación y configuración de Caddy

Caddy simplifica significativamente la configuración de HTTPS, obteniendo y renovando automáticamente los certificados SSL. Lo instalaremos en el VPS.

# 1. Установка необходимых зависимостей для добавления репозитория Caddy
sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https

# 2. Добавление GPG ключа Caddy
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg

# 3. Добавление репозитория Caddy
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list

# 4. Обновление индекса пакетов APT и установка Caddy
sudo apt update
sudo apt install caddy -y

# 5. Проверка статуса Caddy (он должен быть запущен автоматически)
sudo systemctl status caddy

Si Caddy no está en ejecución, use sudo systemctl start caddy.

2. Configuración de Caddyfile para Authentik

Cree o edite el archivo de configuración de Caddy (Caddyfile) para que actúe como proxy inverso para Authentik.

sudo nano /etc/caddy/Caddyfile

Elimine el contenido existente y añada lo siguiente:

your.domain.com {
    # Reemplace 'your.domain.com' por su nombre de dominio real (por ejemplo, auth.example.com)

    # Habilitar compresión GZIP
    encode gzip

    # Configuración del proxy inverso a Authentik
    reverse_proxy authentik:9000 {
        # Cabeceras para el correcto funcionamiento del proxy
        header_up Host {host}
        header_up X-Real-IP {remote_ip}
        header_up X-Forwarded-For {remote_ip}
        header_up X-Forwarded-Proto {scheme}
    }

    # Configuración de logs (opcional, pero útil para depuración)
    log {
        output file /var/log/caddy/access.log
    }
}

Importante: reemplace your.domain.com por su dominio real, el cual especificó en el archivo .env de Authentik (por ejemplo, auth.example.com). Asegúrese de que el registro DNS A para este dominio apunte a la dirección IP de su VPS.

Guarde los cambios (Ctrl+O, Enter, Ctrl+X) y verifique la configuración de Caddy:

sudo caddy validate --config /etc/caddy/Caddyfile

Si la configuración es correcta, recargue Caddy para aplicar los cambios:

sudo systemctl reload caddy

Caddy obtendrá automáticamente certificados SSL/TLS de Let's Encrypt para su dominio. Para ello, asegúrese de que los puertos 80 y 443 estén abiertos en el firewall (lo hicimos en la etapa de preparación del servidor).

3. Gestión de secretos

Como se mostró anteriormente, todos los datos sensibles, como la clave secreta de Authentik (AUTHENTIK_SECRET_KEY) y las contraseñas de la base de datos, se almacenan en el archivo .env. Esta es una práctica estándar para las aplicaciones Docker. Nunca almacene estos datos directamente en docker-compose.yml o en repositorios públicos.

Asegúrese de que el archivo .env tenga permisos de acceso restringidos para que solo el propietario pueda leerlo:

chmod 600 ~/authentik/.env

4. Verificación de la operatividad

Después de configurar todos los componentes, realizaremos varias comprobaciones para asegurarnos de que Authentik funciona correctamente.

• Verificación del estado de los contenedores Docker:

docker compose ps

Todos los contenedores (authentik_server, authentik_worker, redis) deben estar en estado running.

• Verificación de los logs de Authentik:

docker compose logs authentik_server
docker compose logs authentik_worker

Busque errores o advertencias. Los logs normales deben mostrar un inicio e inicialización exitosos.

• Verificación del estado de Caddy:

sudo systemctl status caddy
sudo journalctl -u caddy --no-pager

Asegúrese de que Caddy esté en ejecución y que no haya errores en los logs relacionados con la obtención de certificados o el proxy.

• Verificación de acceso a través de curl:

curl -I https://your.domain.com/

Debería recibir un estado HTTP 200 OK o 302 Found (redirección a la página de inicio de sesión de Authentik), lo que indica una conexión y un funcionamiento HTTPS exitosos.

• Acceso a través del navegador:

Abra la dirección https://your.domain.com/ en su navegador web. Debería ver la página de inicio de sesión de Authentik. Utilice las credenciales de superusuario creadas anteriormente para el primer inicio de sesión.

¡Felicidades! Authentik ha sido instalado y configurado exitosamente en su VPS con HTTPS. Ahora puede proceder a integrar sus aplicaciones.

Solución de problemas + Preguntas frecuentes

En esta sección, abordaremos los problemas típicos que pueden surgir durante la instalación y operación de Authentik, y responderemos a las preguntas frecuentes.

Los contenedores de Authentik no se inician.

Qué verificar: En primer lugar, verifique los registros de Docker Compose. Vaya al directorio de Authentik (~/authentik) y ejecute docker compose logs. Esto mostrará la salida de todos los contenedores. Si el problema está en un contenedor específico (por ejemplo, authentik_server), puede ver sus registros por separado: docker compose logs authentik_server.

Cómo solucionarlo: Busque mensajes de error en los registros. Las causas frecuentes son: parámetros incorrectos en el archivo .env (especialmente AUTHENTIK_SECRET_KEY o los parámetros de la base de datos), inaccesibilidad de la base de datos PostgreSQL (verifique si PostgreSQL está en ejecución: sudo systemctl status postgresql), conflictos de puertos (si algún otro servicio ya está usando el puerto 9000), o falta de recursos (RAM/CPU) en el VPS.

No puedo conectarme a Authentik a través del navegador (502 Bad Gateway o Connection Refused).

Qué verificar:

• Registro DNS A: Asegúrese de que su nombre de dominio (por ejemplo, auth.example.com) apunte correctamente a la dirección IP de su VPS. Use dig your.domain.com o nslookup your.domain.com.
• Estado de Caddy/Nginx: Verifique si su servidor proxy inverso está en ejecución: sudo systemctl status caddy (o nginx).
• Registros de Caddy/Nginx: Examine los registros del servidor proxy. Para Caddy, es sudo journalctl -u caddy --no-pager o el archivo especificado en el Caddyfile (por ejemplo, /var/log/caddy/access.log). Para Nginx, suele ser /var/log/nginx/error.log.
• Cortafuegos: Asegúrese de que los puertos 80 y 443 estén abiertos en UFW: sudo ufw status verbose.
• Disponibilidad de Authentik desde dentro: Intente ejecutar curl http://localhost:9000 en el propio VPS. Si esto funciona, el problema está en el servidor proxy o su configuración.

Cómo solucionarlo: Si el problema es el DNS, actualice el registro A en su registrador de nombres de dominio. Si Caddy no está en ejecución, intente iniciarlo: sudo systemctl start caddy y verifique el Caddyfile en busca de errores de sintaxis. Asegúrese de que el Caddyfile especifique la dirección correcta para el proxy (authentik:9000 o localhost:9000, dependiendo de la configuración de red de Docker).

Problemas con TLS (certificados Let's Encrypt).

Qué verificar: Caddy obtiene certificados automáticamente. La principal causa de problemas es la incapacidad de Caddy para comunicarse con los servidores de Let's Encrypt. Asegúrese de que:

• Su dominio sea accesible desde internet a través de los puertos 80 y 443.
• No haya otros servicios ocupando estos puertos.
• El registro DNS A para el dominio esté configurado correctamente.

Cómo solucionarlo: Revise los registros de Caddy en busca de mensajes de error al obtener certificados. Asegúrese de que UFW permita el tráfico entrante en los puertos 80 y 443. Si acaba de actualizar el DNS, dele tiempo para que se propague (hasta varias horas).

¿Qué configuración mínima de VPS es adecuada?

Para un equipo pequeño (hasta 50 usuarios) y escenarios básicos de autenticación, un VPS con 2 vCPU, 4 GB de RAM y 80 GB de SSD NVMe será mínimamente adecuado. Esto garantizará un funcionamiento estable de Authentik y PostgreSQL, pero sin un gran margen para el crecimiento o una alta carga.

¿Qué elegir: VPS o dedicado para esta tarea?

Para la mayoría de los escenarios, especialmente para equipos de hasta varios cientos de usuarios, un VPS será una solución óptima y rentable. Un servidor dedicado debe considerarse para cargas muy altas (miles de usuarios activos, solicitudes intensivas), requisitos estrictos de rendimiento o la necesidad de control total sobre el hardware. El VPS ofrece suficiente flexibilidad y potencia para la mayoría de las necesidades de autenticación centralizada.

¿Cómo actualizar Authentik?

Para actualizar Authentik, es necesario actualizar sus imágenes de Docker. Vaya al directorio de instalación de Authentik (~/authentik), luego ejecute: docker compose pull (para descargar nuevas imágenes), docker compose down (para detener los contenedores actuales), y docker compose up -d (para iniciar los nuevos contenedores). Siempre revise la documentación oficial de Authentik antes de actualizaciones importantes en busca de migraciones de la base de datos o cambios en la configuración para evitar problemas de compatibilidad.

¿Cómo cambiar la contraseña del superusuario de Authentik?

Si ha olvidado la contraseña del superusuario, puede restablecerla ejecutando el comando dentro del contenedor de Authentik: docker compose exec authentik sh -c "python3 manage.py changepassword admin" (reemplace admin con el nombre de su superusuario). El sistema le pedirá que introduzca una nueva contraseña.