فعال‌سازی احراز هویت در جیتسی

در این آموزش، موضوع احراز هویت در جیتسی و روش‌های فعال‌سازی آن بررسی می‌شود.

پیش‌نیازها

• یک اپ فعال Jitsi و دسترسی به تنظیمات و ترمینال آن در کنسول هم‌روش
• یک دامنه HTTPS برای Jitsi
• انتخاب یکی از روش‌های Internal،‏ JWT یا LDAP پیش از تغییر تنظیمات
• برای روش JWT، یک سرویس Keycloak یا ارائه‌دهنده سازگار با OpenID Connect و دسترسی ساخت Client
• برای روش LDAP، یک سرور LDAP در دسترس و اطلاعات اتصال و Bind

روش‌های احراز هویت

به‌طور کلی جیتسی دارای ۳ روش اصلی برای احراز هویت است. این روش‌ها عبارت‌اند از:

• احراز هویت داخلی (Internal)
• توکن (JWT)
• LDAP

در ادامه، هرکدام از این روش‌ها بررسی می‌شود.

متغیرهای محیطی معرفی‌شده در این راهنما، بخشی از مرجع رسمی راه‌اندازی جیتسی با Docker هستند.

این راهنما یکی از روش‌های ممکن برای فعال‌سازی هرکدام از این روش‌های احراز هویت را شرح می‌دهد؛ ممکن است روش‌های دیگری هم برای دستیابی به همین هدف وجود داشته باشند که در این سند پوشش داده نشده‌اند.

این راهنما صرفاً برای راه‌اندازی احراز هویت در Jitsi و ادغام آن با ارائه‌دهنده هویت نوشته شده است. همه الزامات استفاده در محیط Production در آن پوشش داده نشده و پیش از به‌کارگیری عملیاتی باید متناسب با نیاز سازمان تکمیل و بررسی شود.

احراز هویت داخلی (Internal)

در این روش، جیتسی از یوزرهای داخلی خود استفاده می‌کند و این یوزرها باید به‌صورت دستی تعریف و ساخته شوند؛ جزئیات این روش در مستند رسمی «Secure Domain Setup» آمده است. برای استفاده از این روش، ابتدا باید اپ جیتسی کانفیگ شود:

به صفحه اپ در بازارچه مراجعه و روی تب تنظیمات کلیک می‌شود.

سپس روی بخش متغیرها کلیک می‌شود.

متغیرهای زیر همراه با مقدار آن‌ها وارد و روی «اعمال تغییرات» کلیک می‌شود.

متغیر	توضیحات	مقدار
ENABLE_AUTH	فعال‌سازی احراز هویت	1
AUTH_TYPE	انتخاب نوع احراز هویت	internal

با اضافه کردن متغیرهای بالا، احراز هویت در همه بخش‌ها از جمله اضافه شدن به یک اتاق اجباری می‌شود. در صورتی که لازم است کاربران مهمان هم بتوانند به اتاق اضافه شوند، متغیر ENABLE_GUESTS=1 نیز اضافه می‌شود.

از این پس، کاربران جدید اضافه می‌شوند و می‌توان از امکانات داخلی جیتسی استفاده کرد. برای این کار، به صفحه ترمینال اپ مراجعه و پاد Prosody انتخاب می‌شود.

در نهایت با استفاده از کامندهای زیر در ترمینال، کاربران مدیریت می‌شوند:

# افزودن کاربر جدید
prosodyctl --config /config/prosody.cfg.lua register <username> meet.jitsi <password>

# حذف کاربر
prosodyctl --config /config/prosody.cfg.lua unregister <username> meet.jitsi

# مشاهده لیست کاربران
find /config/data/meet%2ejitsi/accounts -type f -exec basename {} .dat \;

توکن (JWT)

با استفاده از روش توکن، احراز هویت جیتسی به یک سرویس خارجی واگذار می‌شود. در نمونه بازارچه، آداپتور OIDC همراه اپ جیتسی ورود کاربر با Keycloak را انجام می‌دهد و سپس JWT موردقبول Jitsi را می‌سازد.

هسته Jitsi مستقیماً OIDC را پردازش نمی‌کند. متغیرهای OIDC_* و مسیرهای /oidc/* به آداپتور همراه ایمج بازارچه وابسته‌اند و در استقرار استاندارد docker-jitsi-meet بدون این آداپتور کار نمی‌کنند.

تنظیم Client در Keycloak

پیش از تنظیم متغیرهای جیتسی، طبق مستند رسمی «Creating an OpenID Connect client»، یک Client در Keycloak (یا هر ارائه‌دهنده OIDC دیگر) ساخته می‌شود:

1. یک Client جدید با نوع OpenID Connect ساخته می‌شود.
2. Client authentication روی حالت فعال (Confidential) قرار می‌گیرد تا برای این Client یک Secret تولید شود.
3. در Valid redirect URIs، آدرس callback آداپتور OIDC به‌صورت دقیق اضافه می‌شود:

https://my.jitsi.domain/oidc/tokenize

4. از تب Credentials همان Client، مقدار Client Secret کپی می‌شود.

Client ID و Client Secret ساخته‌شده در این مرحله، در ادامه در متغیرهای OIDC_CLIENT_ID و OIDC_CLIENT_SECRET استفاده می‌شوند.

به صفحه اپ در بازارچه مراجعه و روی تب تنظیمات کلیک می‌شود.

سپس روی بخش متغیرها کلیک می‌شود.

متغیرهای زیر همراه با مقدار آن‌ها وارد و روی «اعمال تغییرات» کلیک می‌شود.

توضیحات متغیرها

متغیر	توضیحات	مثال
ENABLE_AUTH	فعال‌سازی احراز هویت	1
AUTH_TYPE	انتخاب نوع احراز هویت توکن	jwt
OIDC_ISSUER_URL	آدرس ارائه سرویس OIDC (آدرس Realm در Keycloak)	https://my.keycloak.domain/realms/myrealm
OIDC_CLIENT_ID	Client ID ساخته‌شده در Keycloak	jitsi
OIDC_CLIENT_SECRET	Client Secret همان Client در Keycloak	mykeycloakclientsecret
JWT_APP_ID	نام استفاده‌شده در iss و aud توکن	myjitsi
JWT_APP_SECRET	Secret استفاده‌شده برای امضا و بررسی توکن	my-very-long-secret
TOKEN_AUTH_URL	آدرس ریدایرکت جهت احراز هویت	https://my.jitsi.domain/oidc/auth?state={state}

• آدرس TOKEN_AUTH_URL باید آدرس دامنه جیتسی باشد و عبارت /oidc/auth?state={state} به آن اضافه شود. برای مثال اگر دامنه استفاده‌شده example.com باشد، مقدار این متغیر برابر https://example.com/oidc/auth?state={state} خواهد بود.

JWT_APP_SECRET از Keycloak دریافت نمی‌شود و باید با یک مولد امن ساخته شود. همین مقدار باید هم در بخش بررسی توکن Jitsi/Prosody و هم در آداپتور OIDC تنظیم شده باشد تا توکن تولیدشده توسط آداپتور معتبر شناخته شود. این مقدار با Client Secret کلاینت Keycloak متفاوت است.

با اضافه کردن متغیرهای بالا، احراز هویت در همه بخش‌ها از جمله اضافه شدن به یک اتاق اجباری می‌شود. در صورتی که لازم است کاربران مهمان هم بتوانند به اتاق اضافه شوند، متغیر ENABLE_GUESTS=1 نیز اضافه می‌شود.

LDAP

با استفاده از این روش، جیتسی به سرور LDAP متصل می‌شود و از کاربران درون LDAP جهت احراز هویت در جیتسی استفاده می‌شود. مراحل فعال‌سازی این روش در ادامه آمده است:

به صفحه اپ در بازارچه مراجعه و روی تب تنظیمات کلیک می‌شود.

سپس روی بخش متغیرها کلیک می‌شود.

متغیرهای زیر همراه با مقدار آن‌ها وارد و روی «اعمال تغییرات» کلیک می‌شود.

متغیر	توضیحات	مقدار
ENABLE_AUTH	فعال‌سازی احراز هویت	1
AUTH_TYPE	انتخاب نوع احراز هویت LDAP	ldap
LDAP_URL	آدرس اتصال به سرور LDAP	ldaps://ldap.example.com/
LDAP_BASE	Base DN جست‌وجو در LDAP	dc=example,dc=com
LDAP_BINDDN	DN کاربر برای اتصال (Bind)؛ برای bind ناشناس خالی می‌ماند	—
LDAP_BINDPW	رمز عبور همان کاربر؛ برای bind ناشناس خالی می‌ماند	—
LDAP_FILTER	فیلتر جست‌وجوی کاربر در LDAP	—
LDAP_TLS_CHECK_PEER	اعتبارسنجی گواهی سرور LDAP	1

در اتصال ldaps:// یا StartTLS، مسیر CA با LDAP_TLS_CACERT_FILE در دسترس Prosody قرار می‌گیرد. برای StartTLS، مقدار LDAP_START_TLS=1 و URL با scheme برابر ldap:// تنظیم می‌شود. هم‌زمان از LDAPS و StartTLS استفاده نمی‌شود.

با اضافه کردن متغیرهای بالا، احراز هویت در همه بخش‌ها از جمله اضافه شدن به یک اتاق اجباری می‌شود. در صورتی که لازم است کاربران مهمان هم بتوانند به اتاق اضافه شوند، متغیر ENABLE_GUESTS=1 نیز اضافه می‌شود.