andre/homelab-gitops
1
0
Fork 0
Code Issues 3 Pull requests 1 Projects Releases Packages Wiki Activity Actions

feat(scanservjs): OAuth2/OIDC Authentifizierung hinzufügen #28

New issue
Open
opened 2026-08-05 12:20:53 +00:00 by andre · 0 comments
andre commented 2026-08-05 12:20:53 +00:00
Owner
Copy link

Hintergrund

Der scanservjs Service ist aktuell nur via IP-Whitelist (LAN) geschützt. Für zusätzliche Sicherheit soll eine OAuth2/OIDC Authentifizierung implementiert werden, analog zu anderen Services im Cluster (z.B. ArgoCD mit Forgejo OIDC).

Optionen

Option 1: OAuth2-Proxy + Traefik ForwardAuth (empfohlen)

  • Bewährte Lösung mit oauth2-proxy Standard
  • Single Sign-On mit Forgejo
  • Traefik ForwardAuth Middleware

Option 2: Forgejo OIDC direkt

  • Direkte Integration ohne OAuth2-Proxy
  • Custom ForwardAuth-Logic nötig

Option 3: Basic Auth

  • Einfachste Lösung
  • Kein Single Sign-On

Tasks

Abhängigkeiten

  • Forgejo OIDC (bereits für ArgoCD im Einsatz)
  • cert-manager für TLS
  • Traefik Middleware Support

Akzeptanzkriterien

  • scanservjs nur mit gültiger OAuth-Auth zugänglich
  • Login über Forgejo Accounts
  • LAN-IP-Whitelist bleibt erhalten (Defense in Depth)
  • Kein Performance-Impact
## Hintergrund Der scanservjs Service ist aktuell nur via IP-Whitelist (LAN) geschützt. Für zusätzliche Sicherheit soll eine OAuth2/OIDC Authentifizierung implementiert werden, analog zu anderen Services im Cluster (z.B. ArgoCD mit Forgejo OIDC). ## Optionen ### Option 1: OAuth2-Proxy + Traefik ForwardAuth (empfohlen) - Bewährte Lösung mit oauth2-proxy Standard - Single Sign-On mit Forgejo - Traefik ForwardAuth Middleware ### Option 2: Forgejo OIDC direkt - Direkte Integration ohne OAuth2-Proxy - Custom ForwardAuth-Logic nötig ### Option 3: Basic Auth - Einfachste Lösung - Kein Single Sign-On ## Tasks - OAuth-App in Forgejo erstellen (Issuer: https://forgejo.chief-detektor.dev, Client ID: scanservjs, Callback: https://scan.chief-detektor.dev/oauth2/callback) - OAuth2-Proxy Deployment + Service - Traefik Middleware für ForwardAuth - Ingress anpassen - Vault Secrets für OAuth credentials - Ansible Rolle aktualisieren - Testen & Dokumentation ## Abhängigkeiten - Forgejo OIDC (bereits für ArgoCD im Einsatz) - cert-manager für TLS - Traefik Middleware Support ## Akzeptanzkriterien - scanservjs nur mit gültiger OAuth-Auth zugänglich - Login über Forgejo Accounts - LAN-IP-Whitelist bleibt erhalten (Defense in Depth) - Kein Performance-Impact
Sign in to join this conversation.
No Branch/Tag specified
Branches Tags
main
tune-cnpg-probes
grow-forgejo-pvc
update-forgejo-mcp
add_basic_auth_rosenhammer.dev
allow-paperless-gpt-to-create-tags
fix-paperless-upload-url
refactor-scanservjs-configmap-generator
fix-paperless-upload-sidecar
fix-dbus-for-scanservjs
deploy-scansrvjs
feat/argocd-forgejo-sso
feat/public-forgejo-mcp
fix/workloads-trailing-blank-line
chore/remove-preview-applications
refactor/contact-sender-from-vault
fix/contact-sender
feat/ephemeral-storage-requests
feat/rosenhammer-staging-smtp
fix/magellan-pin-index-revision
fix/forgejo-runner-architecture-labels
fix/magellan-container-startup
fix/magellan-private-repo-clone
fix/magellan-qdrant-snapshots-path
fix/magellan-pvc-sync-waves
feat/magellan-staging
feat/forgejo-runner-atlas
feat/rosenhammer-staging
fix-paperless-gpt-secret-key
add-paperless-gpt
fix-paperless-service-link-port
fix-longhorn-volume-placement
add-immich-and-paperless
No results found.
Labels
Clear labels
No items
No labels
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference
andre/homelab-gitops#28
No description provided.