msjpq/simple-traefik-identity

Simple Traefik Identity

镜像概述

Simple Traefik Identity 是一个为Traefik设计的简单且可配置的单点登录(SSO)解决方案。它提供了用户认证、访问控制和会话管理功能，帮助保护通过Traefik代理的服务。

核心功能和特性

基于角色的访问控制 (RBAC)

通过配置用户组和用户，实现细粒度的访问控制，限制用户可访问的子域名：

yaml
groups:
  - name: quebec
    sub_domains:
      - "*"  # 允许访问所有子域名
  - name: saskatchewan
    sub_domains:
      - canada.ca
      - www.tourismnewbrunswick.ca
  - name: newfoundland
    sub_domains:
      - www.gov.nu.ca

users:
  - name: yukon
    password: yukon
    session: 0.5  # 会话时长（天），0.5表示半天后自动登出
    groups:
      - quebec  # 关联到quebec组
  - name: nunavut
    password: nunavut
    groups:
      - saskatchewan  # 可关联多个组
      - newfoundland

速率限制

防止暴力***，限制单位时间内的认证请求次数：

yaml
rate_limit:
  headers:  # 用于识别请求来源的HTTP头
    - Cf-Connecting-Ip
    - Another-Header
    - So-on
  rate: 5  # 限制次数
  timer: 30  # 时间窗口（秒）

自定义UI

可定制登录页面的标题和背景图片：

yaml
display:
  title: Simple Traefik Identity  # 页面标题
  background: |-  # 背景图片URL
    https://github.com/ms-jpq/simple-traefik-identity/raw/xp/src/views/assets/xp.jpg

使用场景和适用范围

• 需要为Traefik代理的服务添加统一身份认证的场景
• 需对不同用户/用户组设置不同访问权限的服务
• 需要防止暴力破解的认证场景
• 希望自定义认证页面外观的需求

使用方法和配置说明

配置示例

可参考https://github.com/ms-jpq/simple-traefik-identity/blob/xp/examples/minimal_conf.yml%E5%92%8Chttps://github.com/ms-jpq/simple-traefik-identity/blob/xp/examples/maximal_conf.yml%E5%BF%AB%E9%80%9F%E5%BC%80%E5%A7%8B%E3%80%82

Docker Compose部署示例

yaml
  sti:
    image: msjpq/simple-traefik-identity
    container_name: sti
    labels:
      - traefik.http.services.sti.loadbalancer.server.port=5050  # 服务端口
      - traefik.http.middlewares.auth.forwardauth.address=http://sti:5050  # 配置Traefik转发认证
      - traefik.http.middlewares.auth.forwardauth.authResponseHeaders=X-Forwarded-User  # 传递用户信息头
    volumes:
      - ./config/conf.yml:/sti/config/conf.yml  # 挂载配置文件

安全性

认证流程：

👩‍💻 -------- 请求 --------> 👮‍♀️
👩‍💻 <---- 认证挑战 ----- 👮‍♀️
👩‍💻 ------ 凭证 ------> 👮‍♀️
👩‍💻 <-- 同站JWT Cookie -- 👮‍♀️

后续请求验证：

👩‍💻 -- 同站JWT Cookie --> 👮‍♀️
👩‍💻 <---------- 验证通过 ----------- 👮‍♀️
👩‍💻 -- 同站JWT Cookie --> 👮‍♀️
👩‍💻 <---------- 验证通过 ----------- 👮‍♀️

JWT载荷仅包含可访问域名列表，确保信息安全。

相关项目

查看姐妹项目：https://ms-jpq.github.io/simple-traefik-dash/ - Traefik v2的零配置服务仪表盘。