Authentik: свой сервер единого входа и SSO на своем железе

Authentik - self-hosted провайдер идентификации (IdP) и сервер единого входа. Он становится единой точкой аутентификации для ваших приложений: одно приложение авторизуется через него по SAML, другое по OAuth2/OIDC, третье получает LDAP-каталог, четвертое закрывается прокси-аутентификацией на входе. Внутри - каталог пользователей и групп, MFA (TOTP и WebAuthn), синхронизация SCIM и настраиваемые потоки входа (flows), которые собираются как конструктор: identification, пароль, второй фактор, согласие.

По задаче это self-hosted замена облачным Okta, Auth0, Microsoft Entra ID и Cloudflare Access. Разница не только в цене: каталог пользователей и их персональные данные остаются на вашем сервере под 152-ФЗ, а не в чужом облаке, и вы не платите за каждого активного пользователя (MAU). Ядро под лицензией MIT, сервер написан на Python. Часть enterprise-функций (например, удаленный доступ RAC) - платные, но базовое SSO целиком бесплатно.

Сервер на Python. Стек разложен на три контейнера: server отдает web-интерфейс и обрабатывает запросы аутентификации, worker выполняет фоновые задачи (синхронизация, отправка писем, обслуживание), а данные лежат в PostgreSQL 16. Web-интерфейс - современный SPA на web-компонентах, а вход построен как многоступенчатый поток: сначала identification, затем пароль, затем при необходимости второй фактор.

Важное отличие версии 2026.5: Redis больше не нужен. Раньше он держал очередь задач и кэш, теперь очереди перенесены на PostgreSQL. На практике это минус один контейнер и минус одна точка отказа: старые гайды, где рядом с authentik стоит redis, для 2026.5 устарели. Наружу сервер слушает 9000 (HTTP) и 9443 (HTTPS); в проде его закрывают reverse-proxy с TLS.

1. Создать VM

   тариф CPU2-RAM4-DISK50, Ubuntu 24.04, Docker. Для нагрузки - тариф с 8 GB RAM.

2. Скачать compose и задать секреты

   mkdir ~/authentik && cd ~/authentik
   curl -o docker-compose.yml https://goauthentik.io/docker-compose.yml
   echo "AUTHENTIK_SECRET_KEY=$(openssl rand -base64 60)" >> .env
   echo "PG_PASS=$(openssl rand -base64 36)" >> .env

   AUTHENTIK_SECRET_KEY подписывает сессии и токены, PG_PASS - пароль PostgreSQL. Порты приложения слушаем на 127.0.0.1, наружу отдаем через reverse-proxy.

3. Поднять стек за прокси с TLS

   docker compose pull
   docker compose up -d

   Дождаться статуса healthy у server, worker и postgres. Мы повесили инстанс за Caddy с авто-TLS на домене authentik.fatmetal.net.

4. Задать пароль администратора

   Первый запуск - открыть /if/flow/initial-setup/ и задать пароль пользователя akadmin. Дальше админка - на /if/admin/. В маркетплейс-карточке пароль генерируется автоматически через AUTHENTIK_BOOTSTRAP_PASSWORD и попадает в файл с доступами.

https://authentik.fatmetal.net/if/admin/

https://authentik.fatmetal.net/if/admin/#/core/applications

https://authentik.fatmetal.net/if/admin/#/flow/flows

https://authentik.fatmetal.net/if/admin/#/identity/users

Проверено на версии 2026.5.4, июль 2026. На новых версиях результаты могут отличаться.

Перед продом: закрыть порты приложения на 127.0.0.1 и отдавать только через reverse-proxy с валидным TLS, задать длинный AUTHENTIK_SECRET_KEY, включить MFA на админ-аккаунте akadmin и защитить его поток входа. Advisories и релизы - в репозитории goauthentik/authentik. Ядро под MIT; часть enterprise-функций (RAC и др.) - платные, базовое SSO бесплатно. Обновление:

docker compose pull && docker compose up -d

Бэкап (обязателен - это каталог пользователей и потоки):

docker exec authentik-postgresql pg_dump -U authentik authentik > authentik-backup.sql

• Обратный прокси - Caddy или Nginx для TLS (у нас Caddy + авто-TLS), обязательно с корректным Host.
• Бэкапы - pg_dump PostgreSQL + снапшоты диска: каталог пользователей и потоки критичны.
• Ваши приложения - подключаются провайдерами SAML, OIDC, LDAP или прокси-аутентификацией.
• Мониторинг - Grafana + Prometheus за состоянием IdP и пиками входов.