sorb/axion1337.chat-gitops
1
0
Fork 0
Code Issues Pull Requests Packages Projects 1 Releases 24 Wiki Activity

[MEDIUM] Authentik OIDC-Provider/Application-Config nicht als Code erfasst #36

New Issue
Closed
opened 2026-07-28 15:01:27 +00:00 by sorb · 2 comments
sorb commented 2026-07-28 15:01:27 +00:00
Owner
Copy Link
Copy Source

Die Flow-Fixes (matrix-invitation, matrix-recovery) sind seit 2026-07-28 als Blueprint deklarativ im Repo (apps/authentik/authentik-blueprints.yaml). Die urspruengliche OIDC-Provider- und Application-Konfiguration (Client ID/Secret, Redirect-URIs, Scopes, Application-Slug "matrix") wurde aber manuell in der Authentik-UI angelegt und existiert nirgends als Code. Ginge die Authentik-Datenbank verloren, koennten wir die Flow-Struktur aus dem Blueprint wiederherstellen, aber nicht die eigentliche OIDC-Verknuepfung zu MAS - die muesste erneut manuell geklickt werden (Client-Secret waere zudem neu, MAS muesste synchron aktualisiert werden). Sollte ebenfalls als Blueprint erfasst werden (Provider + Application + Property-Mappings), analog zu den bereits gefixten Flows.

Die Flow-Fixes (matrix-invitation, matrix-recovery) sind seit 2026-07-28 als Blueprint deklarativ im Repo (`apps/authentik/authentik-blueprints.yaml`). Die urspruengliche OIDC-Provider- und Application-Konfiguration (Client ID/Secret, Redirect-URIs, Scopes, Application-Slug "matrix") wurde aber manuell in der Authentik-UI angelegt und existiert nirgends als Code. Ginge die Authentik-Datenbank verloren, koennten wir die Flow-Struktur aus dem Blueprint wiederherstellen, aber nicht die eigentliche OIDC-Verknuepfung zu MAS - die muesste erneut manuell geklickt werden (Client-Secret waere zudem neu, MAS muesste synchron aktualisiert werden). Sollte ebenfalls als Blueprint erfasst werden (Provider + Application + Property-Mappings), analog zu den bereits gefixten Flows.
sorb added the priority:mediumarea:authentik labels 2026-07-28 15:01:27 +00:00
sorb commented 2026-07-28 16:48:29 +00:00
Author
Owner
Copy Link
Copy Source

Erledigt in c52ff97: OAuth2 Provider ("Matrix Authentication Service") + Application (slug matrix) als Blueprint in apps/authentik/authentik-blueprints.yaml erfasst (matrix-oidc-provider.yaml), analog zu den bereits gefixten Flows.

client_secret wird nicht inline im Blueprint gespeichert (die ConfigMap ist nicht SOPS-verschluesselt), sondern per !Env aus AUTHENTIK_MAS_OIDC_CLIENT_SECRET gelesen, die wiederum aus einem neuen Key in der bestehenden SOPS-verschluesselten authentik-credentials Secret kommt (siehe apps/authentik/authentik.yaml HelmRelease values). Der eingetragene Wert ist der tatsaechliche, live genutzte Secret - keine Rotation, MAS<->Authentik-Pairing bleibt unveraendert.

Verifiziert: Blueprint per Flux ausgerollt, Authentik-Server/Worker neu gestartet, DB-Objekte danach 1:1 identisch zum Vorzustand (client_id, client_secret-Laenge 128, redirect_uris, 3 property_mappings, signing_key, Application-Verknuepfung) - kein Duplikat erzeugt. MAS lief durchgehend ohne Neustart/Fehler weiter.

Erledigt in c52ff97: OAuth2 Provider ("Matrix Authentication Service") + Application (slug `matrix`) als Blueprint in `apps/authentik/authentik-blueprints.yaml` erfasst (`matrix-oidc-provider.yaml`), analog zu den bereits gefixten Flows. client_secret wird nicht inline im Blueprint gespeichert (die ConfigMap ist nicht SOPS-verschluesselt), sondern per `!Env` aus `AUTHENTIK_MAS_OIDC_CLIENT_SECRET` gelesen, die wiederum aus einem neuen Key in der bestehenden SOPS-verschluesselten `authentik-credentials` Secret kommt (siehe `apps/authentik/authentik.yaml` HelmRelease values). Der eingetragene Wert ist der tatsaechliche, live genutzte Secret - keine Rotation, MAS<->Authentik-Pairing bleibt unveraendert. Verifiziert: Blueprint per Flux ausgerollt, Authentik-Server/Worker neu gestartet, DB-Objekte danach 1:1 identisch zum Vorzustand (client_id, client_secret-Laenge 128, redirect_uris, 3 property_mappings, signing_key, Application-Verknuepfung) - kein Duplikat erzeugt. MAS lief durchgehend ohne Neustart/Fehler weiter.
sorb closed this issue 2026-07-28 16:48:29 +00:00
sorb commented 2026-08-01 14:26:10 +00:00
Author
Owner
Copy Link
Copy Source

Migriert nach git.lab: axion1337.chat/axion1337.chat-gitops#36 (nur im Lab bzw. via VPN erreichbar — das Lab ist seit 2026-08-01 die Quelle der Wahrheit, siehe gitops#48). Weiterarbeit dort; dieses Gitea-Issue bleibt als Verweis stehen.

**Migriert nach git.lab**: [axion1337.chat/axion1337.chat-gitops#36](https://git.lab/axion1337.chat/axion1337.chat-gitops/-/issues/36) (nur im Lab bzw. via VPN erreichbar — das Lab ist seit 2026-08-01 die Quelle der Wahrheit, siehe gitops#48). Weiterarbeit dort; dieses Gitea-Issue bleibt als Verweis stehen.
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
area:authentik
Authentik Identity Provider
 area:database
Database and backups
 area:element
Element and UI
 area:infrastructure
K3S and infrastructure
 area:security
Security hardening
 priority:critical
Critical - This week
 priority:high
High - 1-2 weeks
 priority:low
Low - nice to have
 priority:medium
Medium - ~1 month
No labels area:authentik priority:medium
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
sorb (ScrublordMcBad)
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: sorb/axion1337.chat-gitops#36