Authelia на VPS: SSO и 2FA для всех self-hosted приложений

sudo mkdir -p /opt/authelia/config
cd /opt/authelia

/opt/authelia/
├── docker-compose.yml
└── config/
    ├── configuration.yml   # главный конфиг Authelia
    └── users_database.yml  # пользователи и хэши паролей

services:
  authelia:
    image: authelia/authelia:latest
    container_name: authelia
    restart: unless-stopped
    ports:
      - "127.0.0.1:9091:9091"
    volumes:
      - ./config:/config
    environment:
      - TZ=Europe/Moscow

# JWT-ключ (для ссылок сброса пароля)
openssl rand -hex 32

# Ключ сессии
openssl rand -hex 32

# Ключ шифрования базы данных
openssl rand -hex 32

theme: 'auto'

server:
  address: 'tcp://:9091'

log:
  level: 'info'

# Секрет для подписи ссылок сброса пароля
# (вставьте первую строку из openssl rand -hex 32)
identity_validation:
  reset_password:
    jwt_secret: 'ВСТАВЬТЕ_ПЕРВЫЙ_СЕКРЕТ'

authentication_backend:
  file:
    path: '/config/users_database.yml'
    watch: true          # автоматически применять изменения в файле
    password:
      algorithm: argon2id

# Сессии — общие для всех поддоменов example.ru
session:
  # (вставьте второй секрет)
  secret: 'ВСТАВЬТЕ_ВТОРОЙ_СЕКРЕТ'
  cookies:
    - name: 'authelia_session'
      domain: 'example.ru'                        # ваш базовый домен
      authelia_url: 'https://auth.example.ru'     # URL входа в Authelia
      expiration: '12h'                           # сессия живёт 12 часов
      inactivity: '45m'                           # закрыть через 45 мин без активности

# Хранилище — SQLite (достаточно для одного VPS)
storage:
  # (вставьте третий секрет)
  encryption_key: 'ВСТАВЬТЕ_ТРЕТИЙ_СЕКРЕТ'
  local:
    path: '/config/db.sqlite3'

# Уведомления — в файл (не требует почтового сервера)
# Ссылки для сброса пароля будут записываться в этот файл
notifier:
  filesystem:
    filename: '/config/notification.txt'

# Правила доступа
access_control:
  default_policy: deny   # запрещено всё, что не разрешено явно
  rules:
    # Authelia сама должна быть доступна без авторизации
    - domain: 'auth.example.ru'
      policy: bypass

    # Все остальные поддомены — только после входа + TOTP
    - domain: '*.example.ru'
      policy: two_factor

notifier:
  smtp:
    address: 'submission://smtp.yandex.ru:587'
    username: 'вы@yandex.ru'
    password: 'пароль_приложения'
    sender: 'Authelia <вы@yandex.ru>'

docker run --rm -it authelia/authelia:latest   authelia crypto hash generate argon2

Enter Password:
Confirm Password:

Digest: $argon2id$v=19$m=65536,t=3,p=4$abc123...XYZ$hashed...value

users:
  admin:
    disabled: false
    displayname: 'Администратор'
    # Вставьте полный хэш из предыдущей команды:
    password: '$argon2id$v=19$m=65536,t=3,p=4$ВАШHЭШ'
    email: 'admin@example.ru'
    groups:
      - admins

cd /opt/authelia
docker compose up -d

docker compose logs -f authelia

server {
    listen 80;
    server_name auth.example.ru;
}

sudo ln -s /etc/nginx/sites-available/auth.example.ru /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx

sudo certbot certonly --nginx -d auth.example.ru

server {
    listen 80;
    server_name auth.example.ru;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name auth.example.ru;

    ssl_certificate     /etc/letsencrypt/live/auth.example.ru/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/auth.example.ru/privkey.pem;

    # Внутренний endpoint для проверки авторизации (используется другими хостами)
    location /internal/authelia/authz {
        internal;
        proxy_pass http://127.0.0.1:9091/api/authz/auth-request;
        proxy_pass_request_body off;
        proxy_set_header Content-Length "";
        proxy_set_header X-Original-Method  $request_method;
        proxy_set_header X-Original-URL     $scheme://$http_host$request_uri;
        proxy_set_header X-Forwarded-For    $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto  $scheme;
        proxy_set_header X-Forwarded-Host   $host;
        proxy_set_header X-Forwarded-URI    $request_uri;
        proxy_connect_timeout 5s;
        proxy_read_timeout    5s;
    }

    # Веб-интерфейс Authelia (страница входа)
    location / {
        proxy_pass http://127.0.0.1:9091;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

sudo nginx -t && sudo systemctl reload nginx

server {
    listen 80;
    server_name grafana.example.ru;
}

sudo ln -s /etc/nginx/sites-available/grafana.example.ru /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx
sudo certbot certonly --nginx -d grafana.example.ru

server {
    listen 80;
    server_name grafana.example.ru;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name grafana.example.ru;

    ssl_certificate     /etc/letsencrypt/live/grafana.example.ru/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/grafana.example.ru/privkey.pem;

    location / {
        # --- Authelia forward auth ---
        # Перед каждым запросом спрашиваем Authelia: можно?
        auth_request /internal/authelia/authz;

        # Сохраняем данные о пользователе из ответа Authelia
        auth_request_set $user   $upstream_http_remote_user;
        auth_request_set $groups $upstream_http_remote_groups;

        # Если Authelia вернула 401 — редирект на страницу входа
        # После входа Authelia вернёт пользователя обратно (&rd=...)
        error_page 401 = @authelia_redirect;

        # Передаём информацию о вошедшем пользователе в бэкенд
        proxy_set_header Remote-User   $user;
        proxy_set_header Remote-Groups $groups;
        # --- конец блока Authelia ---

        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # Редирект на страницу входа Authelia
    location @authelia_redirect {
        internal;
        return 302 https://auth.example.ru/?rd=$scheme://$http_host$request_uri;
    }

    # Сюда Authelia делает internal-запрос для проверки сессии
    location /internal/authelia/authz {
        internal;
        proxy_pass http://127.0.0.1:9091/api/authz/auth-request;
        proxy_pass_request_body off;
        proxy_set_header Content-Length "";
        proxy_set_header X-Original-Method  $request_method;
        proxy_set_header X-Original-URL     $scheme://$http_host$request_uri;
        proxy_set_header X-Forwarded-For    $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto  $scheme;
        proxy_set_header X-Forwarded-Host   $host;
        proxy_set_header X-Forwarded-URI    $request_uri;
        proxy_connect_timeout 5s;
        proxy_read_timeout    5s;
    }
}

sudo nginx -t && sudo systemctl reload nginx

access_control:
  default_policy: deny
  rules:
    # Authelia сама — без авторизации
    - domain: 'auth.example.ru'
      policy: bypass

    # Публичный сайт — без авторизации
    - domain: 'blog.example.ru'
      policy: bypass

    # Grafana только для группы admins, и только с 2FA
    - domain: 'grafana.example.ru'
      subject: 'group:admins'
      policy: two_factor

    # n8n — достаточно одного пароля
    - domain: 'n8n.example.ru'
      policy: one_factor

    # Все остальные поддомены — два фактора
    - domain: '*.example.ru'
      policy: two_factor

users:
  admin:
    disabled: false
    displayname: 'Администратор'
    password: '$argon2id$...'
    email: 'admin@example.ru'
    groups:
      - admins

  vasya:
    disabled: false
    displayname: 'Василий'
    password: '$argon2id$...'   # отдельный хэш пароля Василия
    email: 'vasya@example.ru'
    groups:
      - family

    - domain: 'nextcloud.example.ru'
      subject: 'group:family'
      policy: two_factor