Authelia 集成 GLAuth LDAP 认证后端配置、默认值与过滤器实战指南【免费下载链接】autheliaThe Single Sign-On Multi-Factor portal for web apps. OpenID Certified™ and Post-Quantum Cryptography Ready.项目地址: https://gitcode.com/GitHub_Trending/au/authelia导读本文基于 Authelia 官方 LDAP 集成文档完整讲解如何将 GLAuth 配置为 Authelia 的 LDAP 认证后端。你将掌握implementation: glauth的最小可用配置、服务用户Service User的创建与权限要求、GLAuth 实现内置的属性与过滤器默认值以及用户过滤器/组过滤器的工作原理并能结合仓库源码理解这些默认值在 Authelia 中的落地方式。为什么选择 GLAuth 作为认证后端GLAuth 是一个轻量级的 LDAP 服务器实现通常被用于替代完整重量级的目录服务。在 Authelia 中LDAP 认证后端通过authentication_backend.ldap配置块启用并且官方提供了针对多个 LDAP 实现的预制默认值包括custom、activedirectory、rfc2307bis、freeipa、lldap与glauth六种见 docs/content/integration/ldap/introduction.md。从源码看Authelia 通过implementation配置项选择具体实现其取值在白名单内校验定义处internal/configuration/schema/const.go 中的LDAPImplementationGLAuth glauth校验处implementation必须是custom、activedirectory、rfc2307bis、freeipa、lldap或glauth之一测试用例见 internal/configuration/validator/authentication_test.go。选择glauth实现意味着所有 LDAP 属性名与过滤器均由 Authelia 按 GLAuth 的 schema 预先填好默认值你只需要关心地址、Base DN 与绑定账号即可。重要前提官方文档明确指出Authelia 无法为每一种 LDAP 部署方式提供指南。本文展示的是一种建议性配置你必须理解 LDAP 配置本身并根据自身环境调整。同时本文使用了默认配置建议阅读下方 Defaults 章节 后按需修改。假设与适配本指南基于以下假设在更复杂的高级场景中你可能需要适配这些假设要接入 Authelia 的 LDAP 服务器已完整部署且对 Authelia 网络可达所有服务属于example.com域示例中出现的该域及其子域除非你只是测试或确实想使用该域否则必须替换为你自己的域名。这些占位值会同时出现在 Authelia 配置如ldaps://ldap.example.com、DCexample,DCcom中替换时请保持 LDAP DN 语法正确。Authelia 侧配置以下 YAML 是配合作战示例使用的Authelia authentication backend 配置最小示例authentication_backend: ldap: implementation: glauth address: ldaps://ldap.example.com base_dn: DCexample,DCcom user: UIDauthelia,OUpeople,DCexample,DCcom password: insecure_secret各字段作用字段定义见 internal/configuration/schema/authentication.go配置项含义说明implementation实现类型设为glauth启用该实现的默认属性与过滤器取值错误会在配置校验时报错addressLDAP 服务器地址支持ldap://、ldaps://等 scheme示例使用ldaps://即 LDAP over TLSbase_dn搜索 Base DN所有目录操作的基础示例为DCexample,DCcomuser绑定用户 DN即服务用户的 Distinguished Name示例为UIDauthelia,OUpeople,DCexample,DCcompassword绑定密码服务用户的密码应使用高复杂度随机密码示例中的insecure_secret仅为占位此外Authelia 的 LDAP 配置还支持timeout默认 20 秒、start_tls、tls、permit_referrals、permit_unauthenticated_bind、连接池pooling、users_filter/groups_filter自定义过滤器以及attributes属性覆盖等高级选项。当使用glauth实现时这些未显式配置的项会取 GLAuth 默认值无需手工编写。应用侧配置创建服务用户在 GLAuth 中创建一个服务用户Service User要求如下为该用户设置高复杂度密码使用该用户的Distinguished Name 作为user配置项确保该用户拥有执行以下操作的适当权限读取允许使用 Authelia 的用户和组的属性修改用户密码前提是你需要密码重置功能即 Authelia 的 forgot password / reset password 流程。权限配置方式请参阅 GLAuth 官方文档。从 Authelia 的角度服务用户绑定Service-User Binding是最常用、官方主要支持的绑定方式——它只需最小权限即可完成任务详见 LDAP 集成导读 的 Binding 章节。Authelia 也支持未认证绑定需显式开启permit_unauthenticated_bind但出于安全考虑并不推荐。默认值 Defaultsglauth实现为 Authelia 预置了一组属性与过滤器默认值。这些默认值实际定义在源码 internal/configuration/schema/authentication.go 的DefaultLDAPAuthenticationBackendConfigurationImplementationGLAuth中与官方文档表格完全对应。属性默认值下表描述glauth实现的属性默认值username_attribute对应 Username 列其余以此类推ImplementationUsernameDisplay NameMailGroup NameDistinguished NameMember OfglauthcndescriptionmailcnN/AmemberOf对应源码常量见 internal/configuration/schema/const.goUsername: ldapAttrCommonName→cnDisplayName: ldapAttrDescription→descriptionMail: ldapAttrMail→mailGroupName: ldapAttrCommonName→cnMemberOf: ldapAttrMemberOf→memberOf其中 Distinguished Name 为N/A即 GLAuth 实现默认不配置distinguished_name属性Authelia 会使用 LDAP 协议返回的 DN 本身。过滤器默认值过滤器是搭建 LDAP 时最需要搞对的部分。过滤器的核心目标是排除以下账户被禁用或锁定的账户(!(accountStatusinactive))密码已过期的账户据官方文档所述GLAuth 实现目前没有合适的属性用于表达这一条件即无法通过过滤器排除密码过期用户账户已过期的账户同样GLAuth 实现目前没有合适的属性用于表达这一条件。因此 GLAuth 的用户过滤器只包含禁用/锁定条件的排除项。用户过滤器Users Filter((|({username_attribute}{input})({mail_attribute}{input}))(objectClassposixAccount)(!(accountStatusinactive)))含义拆解(|({username_attribute}{input})({mail_attribute}{input}))允许用户用用户名cn或邮箱mail任选其一登录其中{username_attribute}、{mail_attribute}属于启动阶段startup替换占位符在连接建立前替换为配置的属性名cn、mail{input}属于搜索阶段search占位符在每次搜索时替换为用户输入的用户名(objectClassposixAccount)限定 GLAuth 的 POSIX 用户对象(!(accountStatusinactive))排除accountStatus为inactive的被禁用账户。该默认值在源码中的对应字符串为((|({username_attribute}{input})({mail_attribute}{input}))(objectClassposixAccount)(!(accountStatusinactive)))。组过滤器Groups Filter((uniqueMember{dn})(objectClassposixGroup))含义拆解(uniqueMember{dn})匹配包含该用户 DN 的组{dn}是搜索阶段占位符来自用户资料查询得到的 Distinguished Name(objectClassposixGroup)限定 GLAuth 的 POSIX 组对象。对应源码字符串为((uniqueMember{dn})(objectClassposixGroup))。组搜索模式glauth实现的默认组搜索模式为filter源码常量ldapGroupSearchModeFilter filter见 internal/configuration/schema/const.go。Authelia 目前提供两种组搜索模式filter默认推荐通过组过滤器反向搜索用户所属的组memberof实验性一般不建议直接利用用户对象上的memberOf属性判定组成员关系。该模式要求组仍在配置的搜索 Base 内、memberOf属性必须包含组的 DN且对目录服务器的搜索能力有额外要求详见 LDAP 集成导读。过滤器占位符速查无论使用哪种实现过滤器中的占位符分为两阶段替换详见 LDAP 集成导读占位符阶段替换内容{username_attribute}startup配置的用户名属性glauth 为cn{mail_attribute}startup配置的邮箱属性mail{distinguished_name_attribute}、{display_name_attribute}、{member_of_attribute}等startup对应的已配置属性名{input}search用户输入的用户名字段{dn}search用户资料查询得到的 DN{username}search从用户名属性得到的用户名其中 startup 阶段的替换只执行一次search 阶段的替换在每次搜索时执行这种设计是为了在保证灵活性的同时优化搜索性能。密码修改与账号状态的特殊说明修改密码若需要 Authelia 的密码重置流程服务用户必须具备修改其他用户密码的权限GLAuth 中对应密码属性由目录侧管理Authelia 通过服务用户绑定执行修改操作。账号状态GLAuth 通过accountStatusinactive表达禁用状态默认过滤器已将其排除但密码过期与账户过期目前无法通过 GLAuth 属性在过滤器中表达这是该实现的已知边界规划生产环境时需要留意。验证与排错建议校验实现取值implementation必须是六个合法值之一否则配置校验会直接报错错误信息格式见 internal/configuration/validator/authentication_test.go 的断言文本。确认属性名若你的 GLAuth schema 与默认值不同例如自定义了accountStatus之外的状态字段可显式配置attributes与users_filter/groups_filter覆盖默认值。网络与 TLS示例使用ldaps://请确保 Authelia 能解析并连接ldap.example.com:636且服务器证书受信任如需 StartTLS 或自签证书可配置start_tls与tls相关选项。最小权限原则始终以只读用户/组属性 按需修改密码的最小权限创建服务用户避免使用管理员 DN 绑定。总结将 GLAuth 接入 Authelia 的核心步骤可归纳为设置implementation: glauth→ 配置address、base_dn与服务用户凭据 → 在 GLAuth 侧创建具备最小权限的服务用户 → 依据本文的默认属性/过滤器表格确认是否满足需求必要时用attributes与过滤器配置覆盖默认值。官方文档强调这只是建议性配置生产环境务必结合 GLAuth 官方文档与自身目录 schema 进行调整。See AlsoAuthelia authentication backend 配置参考LDAP 集成导读绑定方式、实现列表、组搜索模式与过滤器占位符GLAuth 官方文档【免费下载链接】autheliaThe Single Sign-On Multi-Factor portal for web apps. OpenID Certified™ and Post-Quantum Cryptography Ready.项目地址: https://gitcode.com/GitHub_Trending/au/authelia创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考