Alkalmazásbejelentkezés beállítása
Állítsd be az Account szolgáltatást, mielőtt a felhasználók követik az első bejelentkezést. Az alkalmazásbejelentkezés az identitást igazolja. A postafiók-csatlakoztatás és a szolgáltatói hozzáférés külön marad.
Mielőtt elkezded
Használj előkészített gyökérkonfigurációt az első setupból. Meglévő felhasználók átvitelekor őrizd meg a deployment tenant-azonosítóját, a meglévő adatbázist és az auth-titkot. Regisztráld a pontos Account-origint a HTTPS-portjával együtt.
Az egységes setup kiszámolja az ACCOUNT_PUBLIC_URL, a MAILGEN_PUBLIC_URL és a hozzájuk tartozó Better Auth URL-eket. A BETTER_AUTH_URL és a NEXT_PUBLIC_BETTER_AUTH_URL az Accountra mutat. Az Account szolgáltatáshoz adatbázis-URL, BETTER_AUTH_SECRET és ECAS_DEPLOYMENT_TENANT_ID kell.
Az adminisztrátor bootstrapje
Az első setup előtt állítsd be az ECAS_BOOTSTRAP_ADMIN_EMAIL és az ECAS_BOOTSTRAP_ADMIN_PASSWORD értékét a gyökérkonfigurációban. A bootstrap-jelszónak 32–64 karakterből kell állnia. A bootstrap után is tartsd mindkettőt kitöltve a Compose feloldásához. Ezek alkalmazás-hitelesítő adatok. Elkülönülnek az adatbázis-, a Kafka UI-, a proxy- és a szolgáltatói titkoktól.
A normál inicializálás előkészíti a jogosultsági adatokat és az adminisztrátort. A meglévő bootstrap-felhasználónak meg kell őriznie a bootstrap-szerepkört, és egyeznie kell a beállított jelszóval. Ellenkező esetben a bootstrap a BOOTSTRAP_EMAIL_ALREADY_REGISTERED vagy a BOOTSTRAP_SECRET_MISMATCH hibával áll le. Az új fiókokhoz a deployment zero csoportja kell. Ha ez a csoport hiányzik vagy kétértelmű, a fiók létrehozása leáll. Egy bejelentkezési korlátozás is elutasíthat új munkamenetet.
A setup után nyisd meg az Account /login oldalát a beállított adminisztrátori fiókkal. Ellenőrizd a hozzáférést az engedélyezett adminisztrációs felülethez. Ne következtess adminisztrátori jogosultságra pusztán egy szolgáltatói e-mail-címből.
Microsoft-alkalmazásbejelentkezés
Add meg a teljes gyökérkészletet:
| Beállítás | Jelentés |
|---|---|
BFF_MICROSOFT_CLIENT_ID | Az Entra-bejelentkezési alkalmazás kliensazonosítója |
BFF_MICROSOFT_CLIENT_SECRET | A bejelentkezési alkalmazás titokértéke |
BFF_MICROSOFT_TENANT_ID | A bejelentkezési bérlő azonosítója |
A bejelentkezési alkalmazás Authentication → Web → Redirect URIs részében regisztráld a pontos Account callbacket. Például: https://account.devbox.ecas.local:8443/api/auth/callback/microsoft.
A szolgáltatói konfiguráció mindhárom értéket megköveteli. A gyökérleképezésen kívül olvashatja a régi MICROSOFT_* neveket. Egységes deploymentnél használd a kanonikus gyökérneveket.
A backend BACKEND_* hitelesítő adatai az app-only Graph-hívásokat szolgálják ki. Nem helyettesítik ezeket a bejelentkezési adatokat. A jogosultságokat és a postafiók-hozzáférést a Microsoft Graph setupon keresztül készítsd elő.
A Microsoft-identitás-összekötés ellenőrzi az aláírt identitást és a bérlőt, majd összeköti azt a jogosultsági szereplővel. Az összekötés nem hoz létre postafiókot. Az ütköző összekötések hibával állnak le, és nem váltanak csendben szereplőt.
Google-alkalmazásbejelentkezés
Kövesd a Google Cloud setupot a külön Web OAuth-bejelentkezési kliens és a nyilvános callback létrehozásához. Állítsd be a GOOGLE_APP_LOGIN_ENABLED=true értéket, és add meg a teljes BFF_GOOGLE_LOGIN_CLIENT_ID / BFF_GOOGLE_LOGIN_CLIENT_SECRET párost.
A bejelentkezési folyamat csak identitási scope-okat kér: openid, email és profile. A postafiók-kliens és a Gmail-hozzájárulás külön van. Egy részleges bejelentkezési felülírás nem kombinálódik a régi titokkal.
Munkamenet és biztonsági viselkedés
Az e-mail/jelszavas bejelentkezés engedélyezett. A jelszó hossza 8–64 karakter. Szokásos e-mail/jelszavas bejelentkezéshez nem kell e-mail-cím megerősítés. A munkamenet élettartama hét nap, a frissítési intervallum egy nap. A cookie cache ki van kapcsolva.
Az Account megbízik a beállított Account- és MailGen-originekben. Az ecas-shared cookie-előtag elválasztja a közös munkamenetet a régebbi BFF-cookie-któl. Megfelelő account. hosztnév esetén a cookie-domain lefedi a deployment testvérhosztjait.
A visszatérési célnak a MailGenhez vagy az Account adminisztrációs útvonalához kell tartoznia. Az érvénytelen célok a MailGenre térnek vissza. A localhoston kívüli célokhoz HTTPS kell. A közösségi fiókok összekapcsolására további identitási és ellenőrzési szabályok vonatkoznak. Ne használj megosztott e-mail-címet a postafiók tulajdonjogának igazolására.
Az eredmény ellenőrzése
Jelentkezz be az Accountban, és nyisd meg a beállított BFF-URL-t. Ellenőrizd az aktuális felhasználó engedélyezett műveleteit. Ezután a postafiók-hozzáférést külön ellenőrizd.
Ha a LOGIN_PROVIDER_DISABLED jelenik meg, ellenőrizd a kiválasztott connectort és annak teljes hitelesítő adatait. Callback- vagy cookie-hiba esetén ellenőrizd a pontos hosztot, a portot, a tanúsítvány megbízhatóságát és a nyilvános originöket. A konfigurációt szokásos újraindítással alkalmazd. A quick start nem tölti be újra. Lásd a végrehajtási módokat.