Pocket ID на VPS: единый вход в приложения с помощью passkeys

MAATRIX · 17 октября 2026 · 8 мин чтения

У небольшой команды есть файловый сервис, база знаний и ещё несколько внутренних приложений. В каждом — свои пароли, восстановление и список сотрудников. Когда приходит новый человек, администратор открывает пять вкладок. Когда человек уходит, важно вспомнить все пять.

Pocket ID помогает организовать общий вход для приложений, поддерживающих OpenID Connect. Пользователь подтверждает вход ключом доступа — passkey, например на телефоне или аппаратном ключе. Приложение получает проверенную идентичность и создаёт собственный сеанс.

Такой подход уменьшает число отдельных паролей, но делает службу входа важной частью инфраструктуры. Поэтому начнём с одного тестового приложения, запасного ключа и понятного восстановления. Переводить всё хозяйство за один вечер незачем: пароль от аварийного входа лучше искать до аварии.

Что делает Pocket ID, а что остаётся приложению

Pocket ID выступает поставщиком идентичности. Он подтверждает, какой пользователь входит, и передаёт приложению предусмотренные сведения. Право читать конкретную папку или изменять чужую задачу обычно определяет само приложение.

Это различие особенно важно для существующих пользователей. Совпадение адреса электронной почты не всегда безопасно использовать для автоматического объединения аккаунтов. Проверьте правила конкретного клиента: как он связывает внешний идентификатор, создаёт пользователя и назначает начальную роль.

Passkey связан с доменом службы входа. Пользователь подтверждает операцию средствами своего устройства; сервер не получает его отпечаток пальца или изображение лица. Но доступность ключа зависит от выбранного способа хранения и синхронизации. Аппаратный ключ, ключ в системе телефона и ключ в менеджере паролей имеют разные сценарии восстановления.

Для приложения без поддержки OIDC может потребоваться отдельный прокси авторизации. Он способен ограничить вход на сайт, но не обязательно заменяет внутреннюю модель пользователей приложения. Не считайте эти два сценария взаимозаменяемыми.

Выбираем домен надолго

Назначьте стабильный адрес, например id.example.com. Для обычного использования passkeys нужен HTTPS; исключение localhost предназначено для локального знакомства. Требования и запуск описаны в руководстве Pocket ID.

Не начинайте с временного домена, который собираетесь убрать через неделю. Домен участвует в работе ключей, а изменение адреса затрагивает настройки клиентов и вход пользователей. Проще сразу выбрать рабочее имя и защищать его так же внимательно, как сам сервер.

Для небольшой команды можно рассмотреть MAATRIX Ba Lite с 1 vCPU и 2 GB памяти как исходную площадку пилота. Pocket ID — сравнительно компактная служба, однако доступность входа важнее экономии последнего мегабайта. При совместном размещении с приложениями ресурсы нужно считать по всему стеку.

Используйте поддерживаемую Ubuntu или Debian, настройте время, обновления и доступ администратора. Сертификат должен продлеваться автоматически, а предупреждение о проблеме — приходить до его окончания. Просроченный HTTPS у единой службы входа умеет объединять команду особенно эффективно: войти не может никто.

Установка с сохранением ключа шифрования

Возьмите официальный Compose-файл и пример настроек для выбранного выпуска. В конфигурации задайте внешний адрес и собственный ключ шифрования. Пример значимых переменных:

APP_URL=https://id.example.com
ENCRYPTION_KEY=replace-with-your-own-random-secret

Значение в примере нельзя использовать как настоящий секрет. Подходящую случайную строку можно получить локально командой openssl rand -base64 32. Храните её в защищённом файле и резервной копии. Не публикуйте файл окружения в репозитории.

Проверьте постоянное хранение каталога данных, привязку порта и обратный прокси. Справочник параметров доступен в документации переменных Pocket ID. Зафиксируйте версию образа и сохраните конфигурацию.

До завершения первоначальной настройки ограничьте доступ к сервису администратором. Страница /setup предназначена для создания первого аккаунта; не оставляйте новую установку без владельца на общедоступном адресе. Создайте администратора, добавьте passkey и убедитесь, что повторная первоначальная регистрация недоступна.

Сразу добавьте второй независимый способ входа, поддерживаемый вашим процессом. Два ключа на одном потерянном телефоне могут оказаться менее независимыми, чем выглядит в списке.

Подключаем первое приложение

Выберите сервис с документированной поддержкой OIDC и тестовой учётной записью. В Pocket ID создайте клиент, задайте понятное имя и точный callback URL из настроек приложения. Внешний адрес клиента должен совпадать по протоколу, домену и пути.

Перенесите в приложение выданный Client ID, секрет для конфиденциального клиента и адрес поставщика идентичности. Используйте рекомендуемые приложением scopes; обычно для базового входа нужны сведения OIDC и профиль, но лишние права запрашивать не стоит.

Порядок подключения описан в руководстве Connect an app. Если ваш клиент поддерживает discovery, используйте предусмотренный механизм вместо ручного копирования десятка адресов. При этом проверьте, что сервер приложения действительно может обратиться к домену Pocket ID.

Сохраните обычный аварийный административный вход в целевом приложении, если оно позволяет такой вариант. Проверьте его до включения обязательного SSO. Аварийная учётная запись должна храниться защищённо и использоваться по понятной процедуре, а не как общий ежедневный логин.

Учётная запись не должна размножаться после подключения

Перед включением общего входа выясните, как приложение сопоставляет нового пользователя с существующим. Совпадение отображаемого имени ничего не доказывает. Электронная почта тоже требует понимания: кто подтвердил адрес и может ли человек его поменять. Некоторые приложения создают новую учётную запись вместо соединения со старой, и вчерашние документы остаются у второго, уже невидимого владельца.

Проверьте это на отдельном пользователе с одним тестовым документом. Запишите прежний идентификатор, войдите через Pocket ID и убедитесь, что права и документ сохранились. Если приложение предлагает миграцию пользователей, следуйте именно его процедуре. Не объединяйте записи прямым обновлением базы только потому, что два адреса выглядят одинаково. Единый вход должен уменьшать число загадок, а не создавать вторую бухгалтерию пользователей.

Проверяем не только счастливый путь

В приватном окне откройте приложение, перейдите к Pocket ID, подтвердите passkey и вернитесь обратно. Проверьте имя пользователя, созданную роль и доступные данные. Новый пользователь не должен неожиданно стать администратором.

Повторите вход с другого устройства. Затем попробуйте пользователя, которому доступ к приложению не назначен. Если используются группы, проверьте изменение членства и фактическое поведение после него. Передаваемая группа и роль внутри приложения могут обновляться в разное время.

Испытайте выход. Завершение сеанса в одном приложении не обязательно завершает сеанс в Pocket ID и во всех остальных клиентах. Это поведение определяется поддержкой протокола и настройками сторон. Запишите фактический результат и объясните его пользователям.

Особенно важна проверка отзыва доступа. Отключите учебного пользователя и попробуйте продолжить работу в ранее открытой вкладке. Текущий сеанс приложения может жить до собственного срока истечения. Для срочного отключения иногда требуется отозвать сеансы и в поставщике идентичности, и в самом приложении.

Потерянный телефон: порядок действий заранее

У пользователя должны быть инструкции, которые не требуют входа в уже недоступную систему. Определите, кто подтверждает личность при восстановлении, как добавляется новый ключ и какие старые ключи удаляются.

Для администратора храните резервный ключ отдельно от рабочего устройства. Проверьте, что он действительно позволяет войти. Просто купить второй аппаратный ключ и положить его в ящик недостаточно: сначала его нужно зарегистрировать и испытать.

Официальный раздел восстановления стоит изучить до запуска. Не превращайте доступ к VPS в повседневный способ обходить проверку пользователя. Аварийные административные действия должны оставлять понятную запись: причина, исполнитель, время и результат.

Если используются синхронизируемые passkeys, учтите зависимость от учётной записи и устройств, через которые они синхронизируются. При смене телефона полезно проверить доступ к важным приложениям до удаления данных старого устройства.

Обновления и копии службы входа

В копию входят данные Pocket ID, конфигурация и ключ шифрования. Храните их защищённо и отдельно от рабочего сервера. Потеря единственного секрета может сделать резервную базу недостаточной для восстановления.

Проверяйте восстановление в изолированной среде с подходящим тестовым доменом и отдельными клиентами. Не запускайте вторую копию на рабочем адресе без продуманного переключения: пользовательские сеансы, сертификаты и клиенты должны видеть согласованное состояние.

После обновления проверьте вход, запрет для неназначенного пользователя, работу запасного ключа и callback первого приложения. Только затем подключайте остальные сервисы. Если выпуск меняет схему данных, откат требует согласованной копии, а не только прежнего контейнера.

Для контроля используйте внешний мониторинг доступности домена и отдельную проверку реального входа по согласованному безопасному сценарию. Успешная загрузка страницы ещё не доказывает, что клиент принимает токены.

Когда схема готова к команде

Составьте перечень приложений, их владельцев, callback URL и способа аварийного доступа. Секреты держите в защищённом хранилище, а в обычном документе — только инструкции и ссылки. Для каждого сервиса запишите, как прекращается уже существующий сеанс пользователя.

Подключайте сотрудников небольшими группами. Пусть каждый выполнит вход с основного устройства, зарегистрирует запасной вариант и узнает порядок восстановления. Не заставляйте человека выяснять всё это в момент срочной задачи.

Единый вход приносит порядок, когда вместе с ним появляется единый процесс: выдача доступа, проверка прав, отзыв и восстановление. Pocket ID обеспечивает техническую основу, VPS держит её доступной, а несколько заранее проверенных правил избавляют команду от неприятного открытия, что ключ от всех дверей остался в единственном телефоне.