Встановлення Authentik

Що ми налаштовуємо і навіщо

У сучасному цифровому світі керування обліковими записами користувачів та забезпечення їхнього безпечного доступу до безлічі додатків стало критично важливим завданням. Authentik пропонує елегантне та потужне рішення цієї проблеми, виступаючи в ролі централізованого постачальника ідентифікації.

Authentik — це Open Source платформа для керування ідентифікацією та доступом (Identity and Access Management, IAM), яка дозволяє реалізувати єдиний вхід (Single Sign-On, SSO) та багатофакторну автентифікацію (Multi-Factor Authentication, MFA) для всіх ваших додатків. Замість того, щоб створювати та керувати окремими обліковими записами для кожного сервісу (GitLab, Mattermost, Nextcloud, Grafana тощо), користувачі проходитимуть автентифікацію один раз через Authentik, а потім отримуватимуть безшовний доступ до всіх інтегрованих додатків.

У підсумку, після завершення цього посібника, ви отримаєте повністю налаштовану систему Authentik на вашому VPS, яка слугуватиме центральною точкою автентифікації. Це значно підвищить безпеку за рахунок примусового використання MFA та централізованого керування паролями, а також покращить користувацький досвід, усуваючи необхідність запам'ятовувати безліч логінів та паролів.

Існують різні підходи до вирішення завдань IAM. Серед хмарних керованих сервісів можна виділити Okta, Auth0 або Azure AD, які пропонують високу доступність та мінімальні витрати на адміністрування, але при цьому вимагають щомісячних платежів та передбачають передачу контролю над даними третій стороні. З іншого боку, існують інші самохостингові рішення, такі як Keycloak або FreeIPA, які також надають можливості SSO та MFA, але можуть бути складнішими у розгортанні та налаштуванні порівняно з Authentik, особливо для невеликих та середніх інсталяцій.

Вибір самохостингового рішення на VPS, такого як Authentik, зумовлений кількома ключовими перевагами. По-перше, це повний контроль над вашими даними та інфраструктурою, що особливо важливо для дотримання конфіденційності та регуляторних вимог. По-друге, це значна економія витрат порівняно з хмарними аналогами, особливо в довгостроковій перспективі. І, нарешті, це гнучкість та можливість глибокого налаштування під ваші унікальні потреби, що робить його ідеальним вибором для розробників, соло-фаундерів SaaS-проектів та всіх, хто цінує незалежність та безпеку.

Який VPS-конфіг потрібен для цього завдання

Правильний вибір конфігурації VPS є ключовим для стабільної та продуктивної роботи Authentik. Нижче представлені мінімальні та рекомендовані вимоги, актуальні на 2026 рік, з урахуванням зростання функціональності та оптимізації Authentik.

Мінімальні вимоги (для невеликих команд до 50 користувачів)

• CPU: 2 vCPU (сучасний процесор x86-64, наприклад, Intel Xeon E3/E5 або AMD EPYC).
• RAM: 4 ГБ (цього достатньо для операційної системи, Authentik та PostgreSQL).
• Диск: 80-100 ГБ NVMe SSD. Швидкість дискової підсистеми критична для продуктивності бази даних та загального відгуку системи. NVMe значно перевершує звичайні SATA SSD.
• Мережа: 1 Гбіт/с uplink. Публічна IPv4 адреса обов'язкова для доступу до Authentik з інтернету.

Рекомендований VPS-план (для команд до 200-300 користувачів)

Для більш комфортної роботи, із запасом на масштабування та інтеграцію кількох десятків додатків, рекомендується наступний конфіг:

• CPU: 4 vCPU.
• RAM: 8 ГБ.
• Диск: 160-200 ГБ NVMe SSD.
• Мережа: 1 Гбіт/с uplink, публічна IPv4.

Для оренди VPS із зазначеними характеристиками, ви можете розглянути пропозиції різних провайдерів, які відповідають цим параметрам. Переконайтеся, що обраний тариф включає NVMe SSD та достатній обсяг оперативної пам'яті.

Коли потрібен dedicated, а не VPS

Хоча VPS є чудовим вибором для більшості сценаріїв, є ситуації, коли виділений сервер (dedicated server) буде більш кращим:

• Дуже високе навантаження: Якщо ви очікуєте тисячі активних користувачів, сотні запитів на автентифікацію за секунду або інтеграцію з критично важливими корпоративними системами, dedicated сервер надасть вам усю міць фізичного обладнання без віртуалізації.
• Суворі вимоги до продуктивності: Для додатків, де затримка навіть у мілісекунди критична, dedicated сервер може запропонувати більш передбачувану та стабільну продуктивність.
• Специфічні вимоги до безпеки/комплаєнсу: Деякі регуляторні норми або внутрішні політики компанії можуть вимагати повного контролю над апаратним забезпеченням, що найкраще досягається на dedicated сервері.
• Великі обсяги даних: Якщо Authentik зберігатиме значні обсяги користувацьких даних, логів або інтегруватиметься з дуже великими директоріями, велика дискова підсистема dedicated сервера буде доречною.

Локація VPS: на що впливає

Вибір географічного розташування вашого VPS має кілька важливих аспектів:

• Затримка (Latency): Розміщуйте VPS якомога ближче до основної маси ваших користувачів. Чим менша відстань, тим швидшими будуть відповіді сервера, що критично для інтерактивних веб-додатків та загального користувацького досвіду.
• Законодавство про дані: Якщо ви працюєте з персональними даними, переконайтеся, що локація VPS відповідає вимогам GDPR, HIPAA або іншим місцевим законам про зберігання та обробку даних.
• Доступність мережі: Вибирайте локації з хорошими мережевими зв'язками та пірингом з основними провайдерами, щоб забезпечити стабільний та швидкий доступ.

Підготовка сервера

Перед тим як приступити до встановлення Authentik, необхідно виконати базове налаштування вашого VPS для забезпечення безпеки та стабільності. Ми будемо використовувати Ubuntu Server 24.04 LTS як операційну систему, оскільки вона є однією з найпопулярніших та добре підтримуваних платформ для серверів.

1. Підключення до сервера

Підключіться до вашого VPS по SSH, використовуючи облікові дані, надані провайдером (зазвичай логін root та пароль, або користувач з SSH-ключем).

ssh root@ВАШ_IP_АДРЕС

2. Оновлення системи

Насамперед оновіть усі пакети до актуальних версій. Це забезпечить безпеку та стабільність системи.

sudo apt update && sudo apt upgrade -y

3. Створення нового користувача та налаштування sudo

Робота під користувачем root не рекомендується для повсякденних завдань. Створіть нового користувача з обмеженими правами та додайте його до групи sudo.

# Замініть 'youruser' на бажане ім'я користувача
sudo adduser youruser
sudo usermod -aG sudo youruser

Вийдіть із сесії root та увійдіть під новим користувачем:

exit
ssh youruser@ВАШ_IP_АДРЕС

4. Налаштування SSH-доступу за ключами (рекомендується)

Для підвищення безпеки рекомендується використовувати SSH-ключі замість паролів. Якщо ви вже використовуєте ключі, переконайтеся, що ваш публічний ключ додано до файлу ~/.ssh/authorized_keys нового користувача.

На локальній машині:

# Якщо у вас немає SSH-ключа, згенеруйте його
ssh-keygen -t rsa -b 4096

# Скопіюйте публічний ключ на сервер (замініть youruser та ВАШ_IP_АДРЕС)
ssh-copy-id youruser@ВАШ_IP_АДРЕС

На сервері: вимкніть вхід за паролем та для root-користувача.

sudo nano /etc/ssh/sshd_config

Знайдіть та змініть наступні рядки (або додайте, якщо відсутні):

# Вимкнути вхід для root
PermitRootLogin no

# Вимкнути вхід за паролем (після того, як переконаєтеся, що вхід за ключем працює!)
PasswordAuthentication no

# Переконайтеся, що автентифікація за ключами увімкнена
PubkeyAuthentication yes

Перезапустіть SSH-сервіс:

sudo systemctl restart sshd

5. Встановлення та налаштування Fail2Ban

Fail2Ban допомагає захиститися від атак підбору паролів, блокуючи IP-адреси, з яких відбуваються численні невдалі спроби входу.

sudo apt install fail2ban -y
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

Створіть файл локальної конфігурації:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

У секції [DEFAULT] можете встановити більш агресивні параметри, наприклад:

bantime = 1h    # Час блокування (1 година)
findtime = 10m  # Час, за який рахуються спроби (10 хвилин)
maxretry = 3    # Максимальна кількість спроб до блокування

Переконайтеся, що секція [sshd] активна (enabled = true).

sudo systemctl restart fail2ban

6. Налаштування брандмауера (UFW)

UFW (Uncomplicated Firewall) — це зручний інтерфейс для керування iptables. Налаштуємо його, щоб дозволити лише необхідний трафік.

sudo apt install ufw -y

# Заборонити весь вхідний трафік за замовчуванням
sudo ufw default deny incoming

# Дозволити весь вихідний трафік за замовчуванням
sudo ufw default allow outgoing

# Дозволити SSH (за замовчуванням порт 22)
sudo ufw allow ssh

# Дозволити HTTP (порт 80) та HTTPS (порт 443) для веб-сервера
sudo ufw allow http
sudo ufw allow https

# Увімкнути UFW
sudo ufw enable

Підтвердіть дію, ввівши y. Перевірте статус брандмауера:

sudo ufw status verbose

7. Встановлення базових утиліт

Встановіть кілька корисних утиліт, які можуть стати в нагоді в процесі встановлення та налагодження.

sudo apt install curl wget git htop net-tools -y

Тепер ваш сервер підготовлений та захищений для подальшого розгортання Authentik.