Authentik
Authentik 是一個開源的身份驗證框架，專為現代 Docker 環境與雲原生架構設計。它在企業與個人自建（Self-hosted）場景中，通常與 microsoft-entra-id、cloudflare Zero Trust 等技術協同運作，構建穩固的身份驗證層。
核心定位¶
Authentik 作為身份與存取管理 (IAM) 平台，擅長處理複雜的應用程式驗證流程，包括： - OAuth2 / OIDC：為各類 Docker 服務提供身份驗證支持。 - LDAP：與現有內部系統對接。 - 群組管理：根據使用者權限動態調整應用訪問策略。
相比於 microsoft-entra-id 在 Windows 與企業生態的絕對優勢，Authentik 在靈活處理自建 SaaS 與 Docker Web App 的權限劃分上更具優勢。兩者常作為互補方案出現：由 microsoft-entra-id 處理最高權限的登入認證（如 passkey 與 Windows Hello），再由 Authentik 內部管理不同應用程式間的權限分配。
推薦架構整合¶
在現代化安全架構中，Authentik 常被整合於以下流程： 1. 網絡入口：流量通過 cloudflare-tunnel 進入內網，不開放任何 Port。 2. 身份確認：透過 cloudflare Zero Trust 觸發 microsoft-entra-id 進行 passkey 強制認證。 3. 權限授權：Authentik 作為中樞，根據使用者群組決定其可訪問的 Docker 應用（如 n8n、Nextcloud、OpenWebUI 或 vaultwarden）。
安全與部署建議¶
- 隱藏端口：配合 docker 使用
cf_network進行內部隔離，確保應用僅能透過隧道訪問，提高安全性。 - SSO 架構：若服務數量較多，建議採用「Cloudflare 管入口，Entra 管身份，Authentik 管應用權限」的三層架構，避免直接將所有應用暴露在單一認證體系下造成的管理混亂。
- Secrets 管理：建議結合 infisical 來管理應用存取憑證，進一步實踐 Zero Trust 風格的部署。
Authentik 的彈性使得它非常適合需要高度客製化權限控制、且運行多個 Web 服務的專業用戶。在生產環境下，這套組合能提供接近企業級的身份保護機制。