Hostuj relay Happier u siebie: SSO, mTLS i twoja własna baza danych

SSO: organizacje GitHub, grupy OIDC i certyfikaty klienta

Tożsamość jest delegowana do tego, co już prowadzisz. Zadaniem Happier jest egzekwować ją przy każdym żądaniu, a nie tylko przy rejestracji, i pytać wciąż od nowa.

Wymagaj dostawcy tożsamości, sprawdzanego przy każdym żądaniu

Anonimowa rejestracja jest domyślnie włączona, bo większość osób hostujących u siebie stawia relay za Tailscale i na tym kończy. Wyłącz ją i zamiast tego wymagaj dostawcy tożsamości, a uprawnienie jest egzekwowane na każdej uwierzytelnionej trasie HTTP i przy handshake’u czasu rzeczywistego — nie tylko w drzwiach wejściowych. Żądanie od kogoś, kto już się nie kwalifikuje, jest odrzucane, a nie obniżane do niższych uprawnień.

Logowanie przez GitHub, ograniczone do twoich organizacji

Dopuść konkretne loginy albo wymagaj członkostwa w jednej lub kilku organizacjach GitHub, dopasowując dowolną z nich albo wszystkie. Zalecana ścieżka weryfikuje członkostwo przez GitHub App, a nie przez własny token OAuth użytkownika, więc dostęp nie przetrwa cofnięcia zgody przez programistę — i nie psuje się, kiedy ktoś ją cofnie.

Logowanie jednokrotne OIDC, z regułami dostępu per dostawca

Okta, Entra ID, Auth0, Keycloak, cokolwiek z dokumentem discovery. Każdy dostawca ma własne reguły dostępu: listę dozwolonych loginów, dopuszczone domeny e-mail, grupy, w których użytkownik musi być w co najmniej jednej, grupy, w których musi być we wszystkich. Jeśli twój IdP pomija grupy w tokenie i zwraca zamiast nich wskaźnik overage, Happier traktuje użytkownika jako niekwalifikującego się, a nie jako pozbawionego grup.

Certyfikaty klienta mTLS z twojego MDM

Zakończ mTLS na swoim reverse proxy i przekaż do Happier zweryfikowaną tożsamość. Odwzoruj ją z pola SAN email albo SAN UPN certyfikatu, żeby urządzenie rotujące certyfikat wciąż było tą samą osobą, i ogranicz ją listami dozwolonych wystawców i domen e-mail. Nieznane certyfikaty są odrzucane, chyba że celowo włączysz automatyczne zakładanie kont.

Offboarding: członkostwo sprawdzane ponownie w interwale, który ustawisz

Członkostwo jest sprawdzane ponownie w interwale, który ustawisz — domyślnie raz dziennie, aż do jednej minuty — a wynik jest buforowany w rekordzie tożsamości. Ciekawe ustawienie dotyczy tego, co się dzieje, gdy twój IdP jest nieosiągalny: domyślnie tryb permisywny albo tryb ścisły, w którym serwer odmawia dostępu, zamiast pozwolić, by nieaktualne sprawdzenie uprawnień zastąpiło aktualne.

Polityka przechowywania, retencja i baza danych, którą hostujesz

Kontrolki, o które audytor pyta w drugiej kolejności, gdy skończy z uwierzytelnianiem.

Trzy polityki przechowywania, a domyślną jest ta ścisła

Tylko szyfrowane end-to-end, co odrzuca zapisy jawnym tekstem i jest tym, co robi świeży serwer. Opcjonalne, gdzie decyduje konto albo sesja. Albo tylko jawny tekst, dla organizacji, które zarządzają szyfrowaniem na poziomie infrastruktury i chcą indeksowania po stronie serwera — realny kompromis, powiedziany wprost: przy tym ustawieniu serwer może odczytać przechowywaną treść.

Okna retencji, które ustawiasz, egzekwowane bez czytania transkrypcji

Domyślnie wyłączone: nie ustawiaj nic, a serwer trzyma sesje na zawsze. Włącz je, a reguła dla sesji jest celowo zachowawcza — drzewo sesji jest usuwane tylko wtedy, gdy jest nieaktywne według utrwalonej flagi, starsze niż próg według dwóch osobnych znaczników czasu i nieobserwowane jako żywe w pamięci, przy czym próg jest sprawdzany ponownie wewnątrz transakcji usuwania. Nigdy nie musi odszyfrować transkrypcji, żeby zdecydować.

Wyłącz funkcje dla wszystkich naraz

Głos, funkcje społecznościowe, przesyłanie zgłoszeń błędów, załączniki, wbudowany terminal, przekazywanie sesji, połączone usługi, wskaźniki limitów — każde z nich jest zmienną środowiskową na serwerze, ogłaszaną klientom w czasie działania. Klienci dostosowują się do tego, co serwer podaje jako dostępne, więc wyłączona możliwość jest w interfejsie nieobecna, a nie obecna i niedziałająca.

Limity szybkości i endpoint diagnostyczny, który kontrolujesz

Globalny limiter plus limity per trasa, każdy z własnym oknem i wybraną przez ciebie strategią klucza — po IP albo po użytkowniku z powrotem do IP, czego chcesz, gdy stu programistów dzieli jeden adres wyjściowy VPN. Migawka diagnostyczna serwera jest wyłączona, dopóki jej nie włączysz, a gdy ją włączysz, jest dostępna tylko dla właściciela.

Obraz Dockera, z SQLite albo Postgresem pod spodem

Publikowany obraz relay-server działa jako użytkownik bez uprawnień roota, z wbudowanym interfejsem webowym, domyślnie używa SQLite na jednym zamontowanym wolumenie i przyjmuje udokumentowane nadpisanie na Postgresa. MySQL też działa, z obrazu zbudowanego ze źródeł — gotowy obraz celowo pomija tego klienta. Przypnij niezmienny tag; obraz nie aktualizuje się sam.

Jeśli twoja organizacja ma zerową retencję danych

Co dostaje dział zakupów: licencję MIT i obraz kontenera

Postaw testowy relay i sprawdź, co egzekwuje