Authentik

🔐 Authentik & Redis (Identity & Access Management)

📌 Nota Architetturale: I Servizi di Supporto (Redis)

Prima di procedere con la configurazione di Authentik, ricorda che questo stack Docker utilizza un container Redis dedicato (gestito autonomamente all'interno del compose di Authentik) per la gestione delle sessioni e delle code.

⚠️ Nota bene: Questo Redis in Docker è completamente indipendente e separato dall'istanza di Redis installata nativamente sull'host (che viene invece utilizzata da Nextcloud).

🐳 Configurazione e Avvio di Redis

Il servizio viene eseguito tramite container Docker all'interno della struttura dedicata. Crea la cartella di configurazione e inserisci il file docker-compose.yaml

Link Download

🛠️ Installazione e Avvio del Container

Per installare e avviare il container, esegui i comandi da terminale:

cd /srv/docker/Redis

sudo docker compose up -d

🛡️ Authentik Server

Authentik è una soluzione moderna per l'Identity & Access Management (IAM). Agisce sia da server di autenticazione centralizzato sia da Proxy Provider, consentendo di proteggere tutti i servizi locali dell'Intel NUC (Node-RED, Domoticz, ecc.) con una singola schermata di login.

🐳 Configurazione e Avvio di Authentik

Crea la cartella di configurazione, inserisci il file docker-compose.yaml

Link Download

🛠️ Installazione e Avvio del Container

cd /srv/docker/Authentik

sudo docker compose up -d

🌐 Accesso Iniziale

Creato il container, Authentik sarà raggiungibile via browser all'indirizzo:

http://<IP_DEL_SERVER>:9000/if/flow/initial-setup/

🧠 Concetti Chiave di Authentik

Prima di accedere all'interfaccia, è utile comprendere come Authentik organizza la protezione delle applicazioni:

Providers: Definiscono il modo in cui un'applicazione interagisce con Authentik. Nel nostro scenario utilizziamo i Proxy Provider, che definiscono la porta locale del servizio interno e il dominio pubblico associato.
Applications: Rappresentano il servizio reale visto dall'utente (es. "Node-RED" o "Domoticz"). Ogni applicazione è collegata a un singolo Provider.
Outposts: Sono gli "agenti" di inoltro del traffico. Di base utilizzeremo l'Embedded Outpost integrato, che legge le regole delle applicazioni collegate e gestisce il passaggio di traffico autenticato.

⚙️ Guida Passo-Passo nell'Interfaccia di Authentik

1. Primo Accesso e Impostazione Admin

Apri il browser all'indirizzo: http://<IP_DEL_SERVER>:9000/if/flow/initial-setup/
Configura la password per l'utente amministratore akadmin e salva le credenziali.

2. Configurazione di un Servizio (Es. Node-RED)

Per ogni servizio che vuoi proteggere tramite Proxy Provider, segui questi 3 passaggi nell'Admin Interface:

Passo A: Creare il Proxy Provider
1. Dal menu laterale, vai su Applications ➔ Providers.
2. Clicca su Create e seleziona Proxy Provider.
3. Compila i campi:
  - Name: Node-RED Provider
  - Authorization flow: default-provider-authorization-implicit-consent
  - External host: [https://nodered-miodominio.freeddns.org](https://nodered-miodominio.freeddns.org) (il tuo indirizzo pubblico)
  - Internal host: [http://127.0.0.1:1880](http://127.0.0.1:1880) (indirizzo e porta locale sul NUC)
  - Mode: Proxy
4. Clicca su Finish.
Passo B: Creare l'Applicazione
1. Vai su Applications ➔ Applications.
2. Clicca su Create.
3. Compila i campi:
  - Name: Node-RED
  - Slug: nodered
  - Provider: Seleziona Node-RED Provider dal menu a tendina.
4. Clicca su Create.
Passo C: Assegnare l'Applicazione all'Outpost
1. Vai su Applications ➔ Outposts.
2. Identifica l'authentik Embedded Outpost e clicca sull'icona di modifica (matita).
3. Nella sezione Applications, seleziona Node-RED per spostarla tra le applicazioni attive nel riquadro di destra.
4. Clicca su Update.

🌐 Collegamento Nginx e Authentik

Affinché Nginx possa inoltrare le richieste ad Authentik, il file del sito presente in /etc/nginx/sites-available/ deve girare il traffico della porta 443 al proxy di Authentik sulla porta 9000 (fare riferimento alla sezione Nginx e Certbot).

👤 Gestione Utenti e Autenticazione a Due Fattori (2FA / TOTP)

Creare un nuovo Utente:

Vai su Directory ➔ Users ➔ Create.
Inserisci Username, Nome ed Email, quindi salva.
Clicca sull'utente appena creato, vai nella scheda User Passwords e seleziona Set Password.

Attivare la 2FA (TOTP / Google Authenticator):

Accedi all'User Interface (/if/user/#/settings).
Nella sezione MFA Devices, seleziona Register su MFA Authenticator App.
Scansiona il codice QR con l'app per la sicurezza (Google Authenticator, Bitwarden, ecc.).