authentik

קבצים מוכנים להפעלה

רמת תמיכה נתמך

תבנית Compose מהמקורות הרשמיים; עוד לא נבדקה בהרצה.

צור docker-compose

שדרוג וחזרה לאחור

איך עוברים לגרסה חדשה בבטחה, ואיך חוזרים אחורה אם משהו נכשל.

קודם גיבוי

קחו קודם pg_dump של מסד authentik (הוא מחזיק את כל המשתמשים, ה-flows, ה-providers והתעודות), ועוד ארכיון של ה-volumes של data ו-media ושל ה-.env עם AUTHENTIK_SECRET_KEY. [17][18]

שלבי השדרוג

1. קראו את ה-release notes של כל גרסה עד החדשה. אל תדלגו על גרסאות: עברו ל-.x האחרון של כל release לפי הסדר (למשל 2026.5.x ואחר כך 2026.8.x). אין תמיכה בחזרה לגרסה קודמת. [18]
2. שנו את ה-tag המוצמד גם של ה-server וגם של ה-worker (אותו image), ואז הריצו docker compose pull ו-docker compose up -d. ה-migrations רצים בעלייה; ה-healthcheck של ה-image נותן 120 שניות לפני שהוא סופר כשלונות. [3][18]
3. שדרגו באותו זמן ולאותה גרסה כל outpost שפרסתם ידנית (LDAP, ‏RADIUS, ‏RAC, ‏proxy): ה-server וה-outposts חייבים להתאים. [12][18]

חזרה לאחור

‏authentik לא יכול לחזור לגרסה קודמת במקום: עצרו את ה-stack, שחזרו את ה-dump מלפני השדרוג למסד ריק והצמידו את ה-tag הקודם ל-server ול-worker. [17][18]

שינויים שוברים ידועים

• בגרסה 2026.8: ‏X-Forwarded-Proto, ‏-Host ו-For משמשים רק מרשתות שב-AUTHENTIK_LISTEN__TRUSTED_PROXY_CIDRS; ‏proxy מחוץ להן גורם ל-HTTPS להיראות כמו HTTP ‏(mixed content, טעינה אינסופית). ‏hash_password כבר לא מקבל את הסיסמה כארגומנט. [9][23]
• בגרסה 2026.5: ה-listeners מאזינים כברירת מחדל ל-[::] במקום 0.0.0.0, ולכן בסביבות IPv4 בלבד ייתכן שצריך להגדיר את AUTHENTIK_LISTEN__*. ‏AUTHENTIK_POSTGRESQL__CONN_OPTIONS מסומן deprecated ויוסר בגרסה הבאה. [24]
• בגרסה 2026.2: ‏SCIM providers מסנכרנים עכשיו רק משתמשים שמדיניות האפליקציה מתירה, ו-provider עם סינון קבוצות מושבת עם אזהרת תצורה עד שבודקים אותו. ‏User.ak_groups בקוד מותאם מסומן deprecated לטובת User.groups. [25]
• בגרסה 2025.12: האחסון המקומי של קבצים עבר ל-mount ב-‎/data (ה-mount הישן של ‎/media הופך ל-‎/data/media), וקבצים מוגשים מ-‎/files במקום ‎/media. שמות קבוצות חייבים להיות ייחודיים: ה-migration נכשל עד ששמות כפולים משתנים. [26]
• בגרסה 2025.10: ‏Redis הוסר: ה-cache, ה-sessions של ה-outpost המובנה ו-WebSockets עברו ל-PostgreSQL, שמקבל עכשיו כ-50% יותר חיבורים. ה-scope mappings של ברירת המחדל שולחים email_verified כ-false. [27]

מגבלות

• בלי ה-socket של Docker, ‏authentik לא יכול לפרוס outposts בעצמו. ה-outpost המובנה מטפל ב-Proxy providers; ‏LDAP, ‏RADIUS ו-RAC צריכים קונטיינר outpost שמוסיפים ידנית מהדוגמאות שבתיעוד, באותה גרסה של ה-server. [6][8][12]
• ‏/dev/shm, שבו ה-image שומר קבצים זמניים, הוא ברירת המחדל של Docker, ‏64 MiB, במקום 512 MB ב-upstream. אם workers נכשלים עם שגיאות על מקום זמני, הוסיפו shm_size: 512mb לשני השירותים. [2][3][14]
• לא מוגדר שרת SMTP, ולכן מיילים לשחזור חשבון, אימות כתובת והתראות למנהלים לא נשלחים עד שמוסיפים את הגדרות AUTHENTIK_EMAIL__* ל-server ול-worker. [6][7]
• רק ל-server יש את ה-volume של ‎/data. ייצוא נתונים ל-CSV של Enterprise, שה-worker מייצר, צריך אחסון משותף: הגדירו אחסון S3 ל-reports לפני שמשתמשים בו. [7][8][22]

אבטחה

• המבקר הראשון קובע את הסיסמה של akadmin ב-flow של initial-setup ‏(/if/flow/initial-setup/, כולל הלוכסן בסוף). השלימו אותו מיד אחרי ההפעלה הראשונה, לפני שהדומיין נגיש מהאינטרנט. [6][20][24]
• כברירת מחדל, headers של forwarding מתקבלים מכל הטווחים הפרטיים (10/8, ‏172.16/12, ‏192.168/16, ‏loopback). ה-proxy חייב לשלוח X-Forwarded-Proto: https; אם לקוחות לא מהימנים מגיעים ל-authentik ישירות מרשת פרטית, צמצמו את AUTHENTIK_LISTEN__TRUSTED_PROXY_CIDRS ל-proxy. [7][9]
• התבנית משמיטה את ה-socket של Docker ש-upstream מחבר ל-worker שרץ כ-root: גישה אליו שקולה ל-root במארח. אם רוצים outposts אוטומטיים, התיעוד מציע Docker socket proxy במקום ה-socket עצמו. [6][11]
• ה-metrics בפורט 9300 לא דורשים אימות; התבנית לא מפרסמת את הפורט, והוא צריך להישאר מחוץ לאינטרנט. [10]

גיבוי

• מסד PostgreSQL הוא הגיבוי החשוב: משתמשים, ‏flows, ‏providers, מדיניות ותעודות שיובאו נמצאים כולם שם. קחו עותקי pg_dump קבועים מחוץ לשרת, יחד עם ה-.env ‏(AUTHENTIK_SECRET_KEY וסיסמת מסד הנתונים). [7][17]
• גבו גם את ה-volumes של data ו-media (אייקונים שהועלו, רקעים של flows, דוחות); בלעדיהם התצורה משתחזרת, אבל התמונות שהועלו חסרות. [3][17]

גרסה אחרונה

הגרסה האחרונה של הפרויקט

authentik 2026.8.3 [18][31]

הפרופיל נבדק מול

authentik 2026.8.3

הפרופיל נבדק מול הגרסה האחרונה.

נבדק ב-

14 באוק׳ 2026

מצב

נבדק ב-90 הימים האחרונים

איפה הגרסאות מתפרסמות

GitHub Releases

הגרסאות האחרונות של כל האפליקציות

גרסה

סטטוס הפרופיל

פורסם

נבדק מול גרסה

authentik 2026.8.3

גרסת הפרופיל

1.0.0

המספרים אומתו

14 באוק׳ 2026

גרסת הקטלוג

2026.10.10

מדיניות sizing

2026.10.0

קובץ Compose

לא אומת

הפרויקט וחלופות

האתר הרשמי

goauthentik.io

קוד מקור

github.com/goauthentik/authentik

חלופות

KeycloakAutheliaZITADEL

מקורות

1. Docker Docs: Control startup order in Compose (pg_isready healthcheck, service_healthy) (תיעוד רשמי · נקרא 11 באוק׳ 2026)
2. authentik repository: compose.yml at version/2026.8.3 (postgres:16-alpine; server and worker on server:2026.8.3, 9000/9443 published, shm_size 512mb, ./data; worker as root with docker.sock) (Compose רשמי · נקרא 14 באוק׳ 2026)
3. authentik repository: lifecycle/container/Dockerfile at version/2026.8.3 (USER 1000; /data/media links to /media; TMPDIR=/dev/shm/; HEALTHCHECK ak healthcheck, start period 120 s) (מאגר רשמי · נקרא 14 באוק׳ 2026)
4. authentik repository: lifecycle/ak at version/2026.8.3 (as root: docker group for the socket, chown of /data and /certs, then setpriv to authentik; not root: permission fixes skipped) (מאגר רשמי · נקרא 14 באוק׳ 2026)
5. authentik repository: authentik/admin/files/backends/file.py at version/2026.8.3 (files under /data/<usage>/<schema>; uploads allowed only when /data is a mount) (מאגר רשמי · נקרא 14 באוק׳ 2026)
6. authentik Docs: Docker Compose installation (at least 2 CPU cores and 2 GB RAM; PG_PASS and AUTHENTIK_SECRET_KEY in .env; Docker socket optional, manual outposts; initial setup) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
7. authentik Docs: Configuration (PostgreSQL 14 - 18; AUTHENTIK_POSTGRESQL__*; listen 9000, 9443, metrics 9300; trusted proxy CIDRs default to private ranges; storage in /data; secret key signs cookies) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
8. authentik Docs: Architecture (server with embedded outpost; /data holds uploaded files and CSV reports; worker runs background tasks, optional /certs and /templates) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
9. authentik Docs: Reverse proxy (X-Forwarded-Host/Proto/For and WebSocket upgrade over HTTP/1.1; headers accepted only from trusted proxy networks) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
10. authentik Docs: Monitoring (/-/health/live/ returns 200 while the server runs, /-/health/ready/ checks PostgreSQL; ak healthcheck in the worker; metrics on 9300) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
11. authentik Docs: Docker outpost integration (automatic outpost deployment through the Docker socket, optionally via a socket proxy) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
12. authentik Docs: Manual Outpost deployment in Docker Compose (proxy, LDAP, RAC and RADIUS outpost snippets) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
13. Docker Docs: Volumes (an empty volume mounted over existing image content gets that content copied into it) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
14. Docker Docs: dockerd reference (--default-shm-size, default 64MiB) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
15. authentik Docs: Worker (tasks queued in PostgreSQL; processes × threads, default 1 × 2, run at once; LDAP sync split into pages of 50 plus a meta task; old tasks purged after TASK_EXPIRATION) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
16. authentik Docs: Events (event retention set in System > Settings, default 365 days; forward logs and shorten retention for long-term storage) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
17. authentik Docs: Backup & Restore (PostgreSQL holds all configuration and is the critical backup; /data holds icons, backgrounds and CSV reports; certificates are stored in the database) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
18. authentik Docs: Upgrade authentik (no downgrades, back up the database; go through the latest .x of every version in order; outposts must match the server version) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
19. authentik Docs: Upgrade PostgreSQL on Docker Compose (pg_dump, recreate the data volume on the new major, restore) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
20. authentik Docs: First steps (the initial-setup flow sets the default admin account; the URL needs its trailing slash) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
21. authentik Docs: Automated install (AUTHENTIK_BOOTSTRAP_PASSWORD_HASH, PBKDF2-SHA256 with 1,000,000 iterations; plaintext AUTHENTIK_BOOTSTRAP_PASSWORD discouraged) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
22. authentik Docs: Data Exports (Enterprise: user and event exports in CSV, downloaded from Events > Data Exports) (תיעוד רשמי · נקרא 14 באוק׳ 2026)
23. authentik Release 2026.8 (forwarded headers used only from trusted proxy networks; hash_password takes no password argument) (Release notes · נקרא 14 באוק׳ 2026)
24. authentik Release 2026.5 (listeners default to [::] instead of 0.0.0.0; POSTGRESQL__CONN_OPTIONS deprecated; first start redirects to initial setup) (Release notes · נקרא 14 באוק׳ 2026)
25. authentik Release 2026.2 (SCIM providers filter users by application policies; User.ak_groups deprecated) (Release notes · נקרא 14 באוק׳ 2026)
26. authentik Release 2025.12 (file storage moved to /data, /media to /data/media, files served from /files; group names unique in the database) (Release notes · נקרא 14 באוק׳ 2026)
27. authentik Release 2025.10 (Redis removed: cache, embedded outpost and WebSockets on PostgreSQL, roughly 50% more database connections) (Release notes · נקרא 14 באוק׳ 2026)
28. goauthentik/helm: charts/authentik/values.yaml at authentik-2026.8.3 (example requests for server and worker: 100m CPU, 512Mi memory each; server ports 9000, 9443, 9300) (מאגר רשמי · נקרא 14 באוק׳ 2026)
29. authentik repository: LICENSE at version/2026.8.3 (MIT; authentik/enterprise under its own license; website/ CC BY-SA 4.0) (מאגר רשמי · נקרא 14 באוק׳ 2026)
30. GHCR manifest of ghcr.io/goauthentik/server:2026.8.3 (linux/amd64): 382,343,402 B compressed (364.6 MiB), built 2026-09-17, user 1000 (מאגר רשמי · נקרא 14 באוק׳ 2026)
31. GHCR tags of ghcr.io/goauthentik/server (newest stable 2026.8.3; also patch tags 2026.5.7 and 2026.2.7) (מאגר רשמי · נקרא 14 באוק׳ 2026)
32. docker-library/postgres: 18/trixie Dockerfile (postgres uid/gid 999, VOLUME /var/lib/postgresql) (מאגר רשמי · נקרא 14 באוק׳ 2026)
33. docker-library/postgres: 18/trixie docker-entrypoint.sh (chown PGDATA, then gosu postgres) (מאגר רשמי · נקרא 14 באוק׳ 2026)
34. PostgreSQL 18 documentation: 19.4 Resource Consumption (תיעוד רשמי · נקרא 10 באוק׳ 2026)
35. PostgreSQL 18 documentation: 19.3 Connections and Authentication (תיעוד רשמי · נקרא 10 באוק׳ 2026)
36. PostgreSQL 18 documentation: 19.10 Vacuuming (autovacuum settings) (תיעוד רשמי · נקרא 10 באוק׳ 2026)
37. PostgreSQL 18 documentation: 19.5 Write Ahead Log (max_wal_size) (תיעוד רשמי · נקרא 10 באוק׳ 2026)
38. PostgreSQL 18 documentation: 51.2 How Connections Are Established (תיעוד רשמי · נקרא 10 באוק׳ 2026)
39. Docker Official Image postgres: documentation (docker-library/docs) (תיעוד רשמי · נקרא 10 באוק׳ 2026)
40. Docker Hub: library/postgres tag 18.6 (compressed image sizes) (מאגר רשמי · נקרא 10 באוק׳ 2026)