Funk-lab/admin/k8s/auth-portal.md

Annuaire + portail consoles — Authentik & Guacamole

Annuaire d'identités Authentik (IdP OIDC/LDAP) et portail Guacamole donnant accès aux consoles SSH de storage-01 et gpu-01 dans le navigateur, avec un compte unique par utilisateur. Namespace k8s : auth.

Ce document = architecture, déploiement, pièges. Voir aussi : admin/k8s/auth-portal-admin.md (administration au quotidien : utilisateurs, machines, apps du hub, révocation) et docs/portail-guide-utilisateur.md (guide à envoyer aux utilisateurs).

Vue d'ensemble

Utilisateur ──▶ portail.lab.local (Guacamole) ──login OIDC──▶ auth.lab.local (Authentik)
                        │
                        └──▶ guacd ──SSH (user « console », clé ed25519)──▶ s01 / g01

URL	Service	Rôle
http://auth.lab.local	Authentik	Annuaire : comptes, groupes, SSO OIDC
http://portail.lab.local	Guacamole	Portail : consoles SSH web s01/g01

Composants

• Authentik (k8s/apps/authentik/) : server + worker (ghcr.io/goauthentik/server:2026.5.3), Redis in-cluster, PVC authentik-media (RWX, nfs), base PostgreSQL sur storage-01 (même pattern que Ghostfolio/n8n).
• Guacamole (k8s/apps/guacamole/) : webapp guacamole/guacamole:1.6.0 + proxy guacamole/guacd:1.6.0, base PostgreSQL sur storage-01 (connexions, permissions). Le Job ArgoCD guacamole-initdb pose le schéma si absent (idempotent).
• Ansible : rôle postgresql (bases authentik + guacamole), rôle console_user (user console sans sudo sur s01 et g01, clé publique Guacamole).

Secrets

Vault Ansible (make vault-view) :

Variable	Usage
vault_pg_authentik_password	Base PG authentik
vault_pg_guacamole_password	Base PG guacamole
vault_console_ssh_private_key	Clé privée SSH des connexions Guacamole (user console)

Secrets k8s (créés à la main, hors git, comme ghostfolio-secret) — mots de passe identiques au vault, secret-key = 48+ caractères aléatoires :

kubectl create ns auth
kubectl -n auth create secret generic authentik-secret \
  --from-literal=secret-key='<clé aléatoire>' \
  --from-literal=pg-password='<vault_pg_authentik_password>' \
  --from-literal=redis-password='<aléatoire>'
kubectl -n auth create secret generic guacamole-secret \
  --from-literal=pg-password='<vault_pg_guacamole_password>'

Déploiement (ordre)

1. ansible-playbook -i inventory.yml playbooks/storage-01.yml --tags postgresql,console_user
2. ansible-playbook -i inventory.yml playbooks/gpu-01.yml --tags console_user
3. Créer les secrets k8s ci-dessus (avant le premier sync, sinon pods en CreateContainerConfigError)
4. Merge sur main → ArgoCD crée les Applications authentik et guacamole (~3 min)

Configuration initiale — Authentik

1. Compte admin : ouvrir http://auth.lab.local/if/flow/initial-setup/ (valable uniquement tant qu'aucun admin n'existe) → définir mot de passe de akadmin.
2. Provider OIDC pour Guacamole — Admin → Applications → Providers → Create → OAuth2/OpenID Provider :
   • Name : guacamole — Authorization flow : implicit-consent
   • Client type : Public (Guacamole utilise le flux implicite, pas de client secret)
   • Client ID : guacamole
   • Redirect URI : http://portail.lab.local/
   • Signing Key : sélectionner le certificat self-signed (sinon JWKS vide → login KO)
3. Application — Applications → Create : Name Portail consoles, slug guacamole (doit correspondre à /application/o/guacamole/ configuré côté Guacamole : issuer + JWKS), Provider guacamole.
4. Utilisateurs — Directory → Users → Create (+ groupes si besoin). Le preferred_username Authentik devient le nom de compte Guacamole.

Configuration initiale — Guacamole

1. Se connecter en guacadmin / guacadmin (formulaire local, extension base) et changer ce mot de passe immédiatement (portail exposé à tout le LAN).
2. Settings → Connections → New connection (×2) :
   • Protocol SSH — Hostname 192.168.10.1 (s01) ou 192.168.10.20 (g01) — Port 22
   • Username console — Private key : coller vault_console_ssh_private_key
3. Settings → Users : les comptes Authentik apparaissent après leur premier login (POSTGRESQL_AUTO_CREATE_ACCOUNTS=true) → leur assigner les connexions (READ).

Accès externe (Internet) — Authentik en hub utilisateur

Authentik est la porte d'entrée (page « My applications » : une tuile par app autorisée), le SSO fait le reste. Choix assumé 2026-07-07 : exposition directe sans VPN, simplicité d'abord (WireGuard reste dispo, cf. admin/infra/wireguard.md).

URL publique	Service	Chaîne
http://kaya.freeboxos.fr:9081	Authentik (hub + login)	Freebox 9081/tcp → s01 → DNAT → VIP MetalLB 192.168.10.201:9000
http://kaya.freeboxos.fr:9080	Guacamole (via tuile SSO)	Freebox 9080/tcp → s01 → DNAT → VIP 192.168.10.202:8080

• URL canonique unique : les endpoints OIDC de Guacamole pointent sur kaya.freeboxos.fr → tout le monde, LAN inclus, doit utiliser ces URLs (le LAN repasse par la Freebox, hairpin NAT). portail.lab.local affiche encore l'UI mais le SSO ramène sur l'URL publique.
• Les VIPs dédiées contournent Traefik : un DNAT par port ne peut pas router par Host sur l'entrypoint unique :80.
• Un seul compte par personne (Authentik) — plus de comptes locaux Guacamole. Parcours ami : kaya.freeboxos.fr:9081 → login → tuile « Portail consoles » → console. Nouvelle app plus tard = nouveau provider + tuile, zéro compte en plus.
• Garde-fous : rate-limit nftables (30 connexions neuves/min par service) + protections applicatives (Authentik : flows/lockout ; Guacamole : ban 5 échecs). ⚠️ HTTP non chiffré : mots de passe interceptables en théorie — mots de passe dédiés, MFA/TOTP Authentik recommandé pour durcir, TLS (vrai domaine + Let's Encrypt) si l'usage s'installe.

Config côté Authentik (UI) : provider guacamole → Redirect URI http://kaya.freeboxos.fr:9080/ ; application « Portail consoles » → Launch URL http://kaya.freeboxos.fr:9080/.

Pièges / notes

1. Tout est en HTTP (pas de TLS) — accepté y compris pour l'accès Internet (cf. section ci-dessus), avec garde-fous réseau + mots de passe dédiés.
2. JWKS via le Service interne (authentik.auth.svc.cluster.local:9000) : l'appel serveur→serveur de Guacamole ne dépend pas de la résolution lab.local des pods. L'issuer, lui, reste http://auth.lab.local/... (doit matcher le claim iss des tokens émis via le navigateur).
3. EXTENSION_PRIORITY="openid, *" : arriver sur Guacamole = redirection immédiate vers Authentik (le hub). Conséquence : guacadmin inaccessible — l'admin passe par le compte SSO Alkatrazz (« Administer system »). Dépannage si Authentik est HS : remettre "*, openid" dans le deployment + re-sync (le formulaire local revient).
4. Le slug de l'application Authentik doit être exactement guacamole : Authentik le génère depuis le nom (« Portail consoles » → portail-consoles) et l'issuer/JWKS deviennent faux → log Guacamole Non 200 status code (404) ... /o/guacamole/jwks/ et token rejeté. Corriger : Applications → Edit → Slug.
5. Anti-bruteforce intégré (extension ban) : 5 échecs → IP bloquée ~5 min. Derrière Traefik, l'IP vue est celle du proxy → le blocage touche tout le monde. Patienter ou redémarrer le pod guacamole pour purger.
6. User console sans sudo (volontaire) : le portail sert à observer/opérer léger. L'administration passe par les comptes admin habituels, pas par Guacamole.
7. Enregistrement des sessions : possible (guacd + volume partagé) mais non configuré — gap connu, à ajouter si le portail s'ouvre à d'autres utilisateurs.
8. La config Authentik (provider, app, utilisateurs) et les connexions Guacamole vivent en base, pas en IaC — comme le Server Manager Satisfactory. Backup PG = gap connu.