什么是 Authentik？

它是什么

Authentik 保存用户账户，并为其他应用程序处理登录。有人打开已接入的应用程序时，应用会把他们转到 Authentik，他们在那里登录，然后 Authentik 告知应用这是谁。它使用这方面的通用标准：OpenID Connect、OAuth 2.0 和 SAML，大多数支持单点登录的企业 Web 应用都支持这些标准。

它是自托管的，通常运行在一台服务器上的 Docker 容器中，或运行在 Kubernetes 集群上。管理员在网页界面中进行配置。Flow（流程）定义登录的各个步骤，例如输入密码后再输入验证器应用提供的验证码。Policy（策略）决定哪些用户组可以打开哪些应用程序。

单点登录对企业意味着什么

• 每人一个账户：员工只需登录一次，而不必为每个工具各记一个密码。
• 在一个地方撤销访问：有人离职时，停用其账户即可同时关闭所有已接入的应用程序。
• MFA 集中设置：多重身份验证只需在 Authentik 中设置一次，而不必在每个应用程序中分别设置。

自身没有登录功能的应用程序

有些内部工具没有登录界面，或者登录很薄弱。Authentik 的代理 outpost 位于这类应用程序前面，在任何请求到达应用之前要求先登录。LDAP 和 RADIUS outpost 则让较老的系统（例如某些 VPN 服务器）可以用同一套账户来校验密码。

与 Microsoft 账户配合使用

Authentik 可以把另一个目录作为账户来源。使用 Microsoft 365 的企业可以让员工用 Microsoft Entra ID 账户登录 Authentik，这个统一的身份就能访问 Microsoft 未覆盖的应用程序。

Authentik 与 Keycloak

Keycloak 承担相同的核心功能。Authentik 较新，围绕在网页界面中设计的流程构建，并带有代理 outpost。Keycloak 较老，是为定制应用程序添加登录功能时的常见选择。Authentik 的开源版本免费，Authentik Security 还销售带有额外功能和支持的企业版。

KawaConnect 如何使用单点登录

我们的身份工作以 Microsoft 365 为中心：Entra ID 账户、多重身份验证和条件访问，其中条件访问需要 Entra ID P1，我们的 Microsoft 365 许可指南对此有说明。我们还运行自托管的 Linux、Docker 和 Kubernetes 服务，并开发定制软件。单点登录让这些应用程序使用与 Microsoft 365 相同的账户和 MFA 规则。

了解更多

• Authentik 文档安装指南，以及关于 flow、策略、provider 和 outpost 的参考资料。
• Authentik 网站Authentik Security 的站点，介绍开源项目和企业版。
• GitHub 上的 Authentik该项目的源代码、发行说明和问题跟踪。