Синдром утёнка | Твой умный дом и данные

🔐 Один аккаунт на всё. Зачем мне свой Keycloak

У меня уже несколько сервисов: фото, вики, таблицы, файлы, трекинг. Отдельный пароль для каждого быстро превращается в «qwerty123» везде. Поэтому вход везде один, через Keycloak.

Простыми словами: это как «Войти через Google», только сервер ваш. Сервисы не хранят ваш пароль, они спрашивают Keycloak, вы ли это. Меняете пароль или включаете двухфакторку в одном месте, и это работает везде.

Что это даёт вам:

один логин для веб-версии фото, приложения Immich и вики
регистрация за минуту, без ожидания инвайта
никаких аккаунтов Google или Яндекса в цепочке

🔧 Изнутри
Единый вход — это единая точка отказа: упал Keycloak, и не войти никуда. Поэтому у меня два узла в кластере. Они находят друг друга через таблицу в базе, общаются по mTLS и обновляются по очереди, так что один всегда в работе.

Байка из продакшена. Однажды страница входа стала грузиться мучительно долго. Keycloak был ни при чём: firewall резал прокси доступ к одному узлу. Прокси ждал таймаута и только потом шёл на второй. Кластер работал и при этом маскировал проблему.

💡 Совет: на сервере с Docker никогда не делайте systemctl restart nftables. Стандартный конфиг начинается с flush ruleset и снесёт правила Docker вместе со всей сетью контейнеров. Применяйте свои правила через nft -f файл.

━━━━━━━━━━━━━━━
🛠 Сделаю сам
Ansible: кластер из двух узлов, MariaDB, nftables, по желанию Kerberos для доменной сети
→ github.com/apnagaev/keycloak

☁️ Хочу готовое
→ Зарегистрируйтесь на photo.nagaev.biz, этот же аккаунт откроет вики

🏢 Нужен такой вход для команды или компании? Пиши в комментарии

🗄 Notion ушёл. Мои заметки остались у меня

В сентябре 2024-го Notion отключил пользователей из России. У кого не было экспорта, тот потерял всё. После этого я поднял свою базу знаний.

На wiki.nagaev.biz не одна вики, а три инструмента:
📝 Outline: редактор уровня Notion. Markdown, команды через «/», вложенные страницы, совместное редактирование
📐 draw.io: схемы и диаграммы прямо в документах
📊 Grist: таблицы с формулами, как Airtable, только свои

Вход по тому же аккаунту, что и на photo.nagaev.biz. У Outline вообще нет входа по паролю, только через единую авторизацию. О ней расскажу в следующем посте.

🔧 Грабли, о которых молчат гайды
Всё работает на двух серверах: упадёт один, и вики продолжит работать.
С Grist так нельзя. Его документы — это файлы SQLite. Если два сервера одновременно пишут в один файл через сетевой диск, блокировки SQLite ненадёжны, и документ можно повредить.
Поэтому Outline работает на обоих узлах сразу, а Grist только на одном. Второй держится в горячем резерве, и балансировщик сам переключается на него, если основной не отвечает.

━━━━━━━━━━━━━━━
🛠 Сделаю сам
Ansible-плейбук: два узла, firewall, перезапуск без простоя
→ github.com/apnagaev/outline
Понадобятся Docker, PostgreSQL, Redis, Keycloak (или другой OIDC-провайдер) и общий диск для вложений.

☁️ Хочу готовое
→ wiki.nagaev.biz: заходите с аккаунтом от фотохранилища
━━━━━━━━━━━━━━━

А вы где ведёте заметки после Notion? 👇