61 lines
1.5 KiB
Markdown
61 lines
1.5 KiB
Markdown
# infra-auth-proxy
|
|
|
|
OAuth2-Proxy als Reverse-Proxy-Authentifizierung für Traefik.
|
|
Bietet zentrale Keycloak-Login-Weiterleitung für alle Homelab-Apps.
|
|
|
|
## Architektur
|
|
|
|
```
|
|
Browser → Traefik → oauth2-proxy → App
|
|
↕ Keycloak (Login, Session)
|
|
```
|
|
|
|
oauth2-proxy läuft im **Reverse-Proxy-Modus**:
|
|
- Unauthentifizierter Request → 302-Redirect zu Keycloak-Login
|
|
- Authentifzierter Request → Weiterleitung an das Upstream
|
|
|
|
## Neue Services schützen
|
|
|
|
1. **Upstream registrieren** in `.env`:
|
|
```
|
|
OAUTH2_PROXY_UPSTREAMS=http://service1:3000,http://service2:8080
|
|
```
|
|
(Container-Namen müssen auf `infra-traefik_traefik-net` erreichbar sein)
|
|
|
|
2. **Traefik-Router** in der eigenen App:
|
|
```yaml
|
|
labels:
|
|
- "traefik.http.services.app.loadbalancer.server.url=http://oauth2-proxy:4180"
|
|
```
|
|
(statt `loadbalancer.server.port=XXXX` direkt auf die App)
|
|
|
|
3. `docker compose up -d` in beiden Stacks
|
|
|
|
## Setup
|
|
|
|
```bash
|
|
# .env aus Template erstellen
|
|
cp .env.template .env
|
|
# OAUTH2_PROXY_CLIENT_SECRET: Keycloak Client `auth-proxy` Secret
|
|
# OAUTH2_PROXY_COOKIE_SECRET: openssl rand -hex 16
|
|
|
|
# Deploy
|
|
docker compose up -d
|
|
```
|
|
|
|
## Alternative: Forward-Auth für API-Endpoints
|
|
|
|
Für API-Endpoints (wo 401 statt Redirect sinnvoll ist) steht die
|
|
`keycloak-oauth2` forwardAuth-Middleware in `infra-traefik/dynamic.yaml` bereit:
|
|
|
|
```yaml
|
|
labels:
|
|
- "traefik.http.routers.api.middlewares=keycloak-oauth2@file"
|
|
```
|
|
|
|
## Keycloak-Client
|
|
|
|
- **Realm:** `family`
|
|
- **Client-ID:** `auth-proxy`
|
|
- **Redirect URI:** `https://auth-proxy.ljh31.de/oauth2/callback`
|