Authelia生产环境Docker Compose部署方案解析

Authelia生产环境Docker Compose部署方案解析

authelia The Single Sign-On Multi-Factor portal for web apps 项目地址: https://gitcode.com/gh_mirrors/au/authelia

Authelia是一款开源的认证与授权服务器，可以作为单点登录(SSO)解决方案。本文将详细解析一个基于Docker Compose的Authelia生产环境部署方案，帮助读者理解其架构设计和工作原理。

整体架构概述

该部署方案采用微服务架构，主要包含以下组件：

1. Authelia服务：核心认证服务器
2. Traefik反向代理：作为入口网关和负载均衡器
3. 两个示例应用：secure和public，用于演示不同级别的访问控制

所有服务通过Docker网络net进行通信，采用bridge网络驱动确保容器间隔离与安全。

Authelia服务配置详解

Authelia服务配置体现了生产环境的最佳实践：

authelia:
  image: 'authelia/authelia'
  volumes:
    - './authelia:/config'
  networks:
    net: {}
  labels:
    traefik.enable: 'true'
    traefik.http.routers.authelia.rule: 'Host(`authelia.example.com`)'
    traefik.http.routers.authelia.entrypoints: 'https'
    traefik.http.routers.authelia.tls: 'true'
    traefik.http.routers.authelia.tls.options: 'default'
    traefik.http.middlewares.authelia.forwardauth.address: 'http://authelia:9091/api/authz/forward-auth'
    traefik.http.middlewares.authelia.forwardauth.trustForwardHeader: 'true'
    traefik.http.middlewares.authelia.forwardauth.authResponseHeaders: 'Remote-User,Remote-Groups,Remote-Name,Remote-Email'

关键配置点：

1. 数据持久化：通过volume挂载将配置目录持久化到宿主机
2. TLS加密：强制使用HTTPS协议保障通信安全
3. ForwardAuth中间件：配置Traefik将认证请求转发给Authelia处理
4. 认证头传递：设置信任转发头并定义需要传递的用户信息头

Traefik反向代理配置

Traefik作为现代反向代理，在该方案中承担重要角色：

traefik:
  image: 'traefik:v3.4.1'
  volumes:
    - './traefik:/etc/traefik'
    - '/var/run/docker.sock:/var/run/docker.sock'
  command:
    - '--api'
    - '--providers.docker=true'
    - '--providers.docker.exposedByDefault=false'
    - '--providers.file.filename=/etc/traefik/certificates.yml'
    - '--entrypoints.http=true'
    - '--entrypoints.http.address=:80'
    - '--entrypoints.http.http.redirections.entrypoint.to=https'
    - '--entrypoints.http.http.redirections.entrypoint.scheme=https'
    - '--entrypoints.https=true'
    - '--entrypoints.https.address=:443'

核心功能实现：

1. 自动HTTPS重定向：将所有HTTP请求自动重定向到HTTPS
2. Docker服务发现：通过Docker socket自动发现服务
3. 证书管理：从外部文件加载TLS证书配置
4. API暴露：启用管理API便于监控和配置

应用服务示例

配置中包含两个示例应用，展示不同场景下的集成方式：

1. 安全应用(secure)：需要身份验证才能访问
2. 公开应用(public)：同样配置了认证，但实际可通过Authelia策略配置为公开访问

两者都通过Traefik的authelia@docker中间件集成认证功能，体现了Authelia的灵活策略配置能力。

生产环境注意事项

1. 健康检查：示例中禁用了健康检查，生产环境应配置合理的健康检查策略
2. 时区设置：Authelia服务显式设置了时区，确保日志时间准确
3. 证书管理：实际部署应配置有效的TLS证书，而非使用示例域名
4. 日志级别：Traefik设置为DEBUG级别，生产环境可调整为INFO或WARN

扩展建议

1. 高可用部署：可考虑添加多个Authelia实例实现负载均衡
2. 数据库集成：生产环境应配置持久化数据库而非使用默认的SQLite
3. 监控告警：集成Prometheus等监控系统跟踪认证指标
4. 备份策略：定期备份Authelia配置目录和数据库

通过这个Docker Compose方案，开发者可以快速搭建一个功能完整的Authelia生产环境，为内部应用提供统一的认证授权服务。该架构具有良好的扩展性，可根据实际需求调整各组件配置。

authelia The Single Sign-On Multi-Factor portal for web apps 项目地址: https://gitcode.com/gh_mirrors/au/authelia