Rauthy

Conteneur LXC DevScripts v0.37.1

Script en développement. À essayer sur une machine de test seulement.

Script en développement : le projet demande de ne pas l'utiliser en production.

Accès par défaut

Adresse: http://ADRESSE-IP:8443Remplacez ADRESSE-IP par l'adresse donnée à la fin de l'installation.
Compte: admin@localhost
Console et SSH: Console du conteneur dans l'interface Proxmox : compte root, connexion automatique sans mot de passe. Le SSH de root n'est ouvert que si vous l'avez demandé à l'installation.
Configuration: /opt/rauthy_data/config.toml

Open https://<IP>:8443/auth/v1/ and accept the self-signed certificate. Sign in as admin@localhost with the password_plain value under [bootstrap] in /opt/rauthy_data/config.toml (only read on the very first start) and change it on the account page right away.
No mail server is configured, so password reset, user registration and event e-mails are not sent. Set smtp_url, smtp_username, smtp_password and smtp_from under [email] in /opt/rauthy_data/config.toml and restart Rauthy.

Valeurs publiques de l'éditeur : changez-les dès la première connexion.

Rauthy is a single sign-on identity and access management server. It is an OpenID Connect and OAuth 2 provider with an admin UI, passkey (FIDO2/WebAuthn) and OTP multi-factor login, upstream login providers, SCIM, forward auth and PAM/SSH login. This script builds Rauthy from the release source and runs it with its embedded Hiqlite (Raft-replicated SQLite) database, served over HTTPS with a self-signed certificate.

Site ↗ Documentation ↗ Dépôt de l'application ↗ Voir le code du script ↗

Installer

Cœurs: 4
Mémoire: 4 Go
Disque: 12 Go
Système: Debian 13

bash -c "$(curl -fsSL https://raw.githubusercontent.com/community-scripts/DevScripts/main/ct/rauthy.sh)"

Configuration : /opt/rauthy_data/config.toml

Dans le shell du nœud Proxmox. Exécutez cette commande dans le shell du nœud Proxmox, pas dans une VM. Lisez le script d'abord.

Générateur : préparer la commande avec vos réglages

Remplissez seulement ce que vous voulez changer. Les valeurs vides gardent le réglage par défaut du script.

Cœurs Nombre de cœurs du conteneur. Mémoire (Mo) Mémoire vive en mégaoctets. Disque (Go) Taille du disque en gigaoctets. Nom de la machine Identifiant du conteneur Laissez vide pour le prochain identifiant libre. Pont réseau Pont ou réseau virtuel auquel brancher le conteneur. Adresse « dhcp » ou une adresse avec masque (10.64.250.10/24). Passerelle Seulement avec une adresse fixe. VLAN Stockage du conteneur Stockage des modèles Conteneur non privilégié Recommandé : oui. Accès SSH pour root Étiquettes Séparées par des points-virgules. Affichage détaillé

Tutoriel pas à pas

De l'interface de Proxmox jusqu'à la première connexion, pour Rauthy.

Ouvrez l'interface de Proxmox dans votre navigateur et connectez-vous.
Dans l'arbre de gauche, cliquez sur votre nœud, puis sur « Shell ».
Vérifiez que le nœud a la place pour ce conteneur : 4 cœurs, 4 Go de mémoire, 12 Go de disque.

Copiez cette commande, collez-la dans le shell et appuyez sur Entrée.

bash -c "$(curl -fsSL https://raw.githubusercontent.com/community-scripts/DevScripts/main/ct/rauthy.sh)"

À la question « Use Default Settings? », répondez oui pour garder les réglages par défaut. Répondez non pour choisir vous-même l'identifiant, l'adresse, le disque ou le réseau.
Attendez la fin de l'installation : le script affiche l'adresse du conteneur.
Ouvrez http://ADRESSE-IP:8443 dans votre navigateur, en remplaçant ADRESSE-IP par l'adresse affichée.
Connectez-vous avec le compte admin@localhost, puis changez tout de suite le mot de passe.
Pour entrer dans le conteneur : sélectionnez-le dans Proxmox, puis « Console ». La session root s'ouvre sans mot de passe.
Pour mettre à jour plus tard : tapez update dans la console du conteneur.
Le fichier de configuration se trouve ici : /opt/rauthy_data/config.toml

À savoir

Passkeys (WebAuthn) only work under a DNS name with a certificate the browser trusts; an IP address is never a valid relying party. So the script sets admin_force_mfa = false, otherwise the admin UI would be unreachable by IP. For production, serve Rauthy under a domain, set server.pub_url, webauthn.rp_id and webauthn.rp_origin to it before anyone registers a passkey (changing rp_id later breaks existing passkeys), register a passkey for the admin and then set admin_force_mfa = true.
The OIDC issuer is https://<pub_url>/auth/v1/ (discovery at /auth/v1/.well-known/openid-configuration). server.pub_url in /opt/rauthy_data/config.toml points at the container IP; change it when the IP changes or Rauthy sits behind a domain, then run systemctl restart rauthy. Behind a reverse proxy, proxy to https://<IP>:8443 and also set proxy_mode = true and trusted_proxies = ['<proxy IP>/32'] under [server].
Back up /opt/rauthy_data/config.toml together with the Hiqlite database in /opt/rauthy_data/hiqlite. The [encryption] keys encrypt client secrets and other stored values, a database restored without them is unusable.
The self-signed certificate in /etc/ssl/rauthy is valid for one year. Replace rauthy.crt and rauthy.key there with your own certificate (or renew it) and restart Rauthy.
Rauthy publishes no release binaries, so the install and every update compile it from the release source (Rust). This takes about 50 minutes on 4 cores, up to 2.5 GB of RAM and 9 GB of disk; an update builds while the old version keeps running. The server itself uses about 200 MB, so RAM can be lowered after the install and raised again before an update.

Notes de la version v0.37.1

Security

Ephemeral Clients

The lookup of an ephemeral (CIMD) client document fetched any client_id URL with the shared HTTP client: it followed redirects, used system proxies, connected to loopback, private and link-local addresses (including cloud metadata endpoints) and read the body without a size limit. Since the client_id comes from an unauthenticated request, this was an SSRF and memory exhaustion vector. The lookup now uses a dedicated fetcher that follows redirects only t…

2FAuth

Conteneur LXC

2FAuth is a web based self-hosted alternative to One Time Passcode (OTP) generators like Google Authenticator, designed for both mobile and desktop. It aims to ease you …

Mise à jour Port 80

Authelia

Conteneur LXC

Authelia is an open-source authentication and authorization server and portal fulfilling the identity and access management (IAM) role of information security in providi…

Mise à jour Port 443 Accès par défaut

BunkerWeb

Conteneur LXC

BunkerWeb is a security-focused web server that enhances web application protection. It guards against common web vulnerabilities like SQL injection, XSS, and CSRF. It f…

Mise à jour

CertMate

Conteneur LXC

CertMate is a self-hosted SSL/TLS certificate manager. It issues and renews certificates over ACME (Let's Encrypt, ZeroSSL or a private ACME CA) with DNS-01 across many …

Mise à jour Port 8000

Certimate

Conteneur LXC

Certimate is an open-source SSL certificate management tool that automates the application, deployment, and renewal of SSL certificates, supporting integration with vari…

Mise à jour Port 8090 Accès par défaut

CrowdSec

Complément

CrowdSec is a free and open-source intrusion prevention system (IPS) designed to provide network security against malicious traffic. It is a collaborative IPS that analy…