什麼是 Authentik？

它是什麼

Authentik 保存使用者帳號，並為其他應用程式處理登入。有人開啟已連接的應用程式時，會先被導向 Authentik，登入後由 Authentik 告知該應用程式使用者是誰。它採用相關的通用標準：OpenID Connect、OAuth 2.0 與 SAML，大多數支援單一登入的企業網頁應用程式都適用。

它採用自行代管，通常部署在單一伺服器上的 Docker 容器，或 Kubernetes 叢集中。管理員透過網頁介面進行設定。Flow 定義登入的步驟，例如密碼之後接著驗證應用程式的驗證碼。Policy 則決定哪些群組可以開啟哪些應用程式。

單一登入對企業的意義

• 每人一個帳號：員工只需登入一次，不必為每個工具各記一組密碼。
• 一處即可移除存取權限：有人離職時，停用其帳號就能一次關閉所有已連接的應用程式。
• MFA 集中設定：多重要素登入只需在 Authentik 設定一次，不必在每個應用程式中各自設定。

沒有自己登入功能的應用程式

有些內部工具沒有登入畫面，或登入機制薄弱。Authentik 的 proxy outpost 會擋在這類應用程式前面，要求先登入，才讓任何請求抵達。LDAP 與 RADIUS outpost 則讓較舊的系統（例如某些 VPN 伺服器）能以同一批帳號驗證密碼。

搭配 Microsoft 帳號使用

Authentik 可以把另一個目錄作為帳號來源。使用 Microsoft 365 的企業，可以讓員工以 Microsoft Entra ID 帳號登入 Authentik，這個單一身分便能涵蓋 Microsoft 未涵蓋的應用程式。

Authentik 與 Keycloak

Keycloak 的核心功能相同。Authentik 較新，圍繞在網頁介面中設計的 flow 打造，並包含 proxy outpost。Keycloak 較老牌，是為自訂應用程式加入登入功能時常見的選擇。Authentik 的開源版本免費，Authentik Security 另外銷售具備額外功能與支援的企業版。

KawaConnect 如何運用單一登入

我們的身分識別工作以 Microsoft 365 為核心：Entra ID 帳號、多重要素驗證與條件式存取，後者需要 Entra ID P1，如我們的 Microsoft 365 授權指南所說明。我們也維運自行代管的 Linux、Docker 與 Kubernetes 服務，並開發客製軟體。單一登入讓這些應用程式能與 Microsoft 365 使用相同的帳號與 MFA 規則。

瞭解更多

• Authentik 文件安裝指南，以及 flow、policy、provider 與 outpost 的參考資料。
• Authentik 網站Authentik Security 的網站，介紹開源專案與企業版。
• GitHub 上的 Authentik專案的原始碼、版本說明與問題追蹤。