SSO · YubiKey FIDO2

รหัสเข้า + คู่มือ SSO / YubiKey

สร้างรหัสตั้งต้น แล้วใช้กับ Authentik (IdP) + YubiKey FIDO2 เป็น MFA จากนั้นโยงแอปบน VPS และ Bitwarden ผ่าน SSO

YubiKey FIDO2

SSO คืออะไร

Single Sign-On = ล็อกอินที่ Authentik จุดเดียว แล้วเข้าแอปบน VPS1 / VPS2 และ Bitwarden ได้โดยไม่ต้องจำรหัสแยกทุกระบบ

  1. เปิดแอป → Traefik ส่งไป Authentik
  2. ใส่ username / password (จากตัวสร้างด้านล่าง)
  3. แตะ YubiKey (FIDO2/WebAuthn)
  4. เข้าแอป / Bitwarden ด้วย session เดียวกัน

YubiKey FIDO2

FIDO2/WebAuthn คือมาตรฐานกุญแจฮาร์ดแวร์ — ตอน login Authentik จะถามเบราว์เซอร์ ให้แตะ YubiKey แทนรหัส OTP ธรรมดา

  • ใน Authentik ตั้ง WebAuthn เป็น cross-platform (กุญแจถอดได้)
  • บังคับ Authenticator Validation ใน authentication flow
  • ควรมี YubiKey สำรองอย่างน้อย 1 ดอก + recovery codes
  • ต้องใช้ HTTPS (WebAuthn ใช้บน secure context เท่านั้น)
รหัสรายวัน · เปลี่ยนเองได้

รหัสเข้าใช้ง่ายๆ วันละครั้ง

สร้างรหัสสั้นสำหรับ user ใน Authentik (เช่น daily) — ทุกวันกดเปลี่ยนใหม่ แล้วไปตั้งเป็นรหัสผ่านของ user นั้น

วันนี้ (Bangkok): 2026-11-02

ยังไม่มีรหัสวันนี้ — กดสร้างก่อน

  1. ใน Authentik สร้าง user ชื่อ daily (ครั้งแรกครั้งเดียว)
  2. กดสร้าง/เปลี่ยนรหัสวันนี้ แล้วคัดลอก
  3. ไปที่ user → Set password ใส่รหัสนี้ (หรือรันสคริปต์บน VPS: deploy/codexphub/set-daily-password.sh)
  4. วันรุ่งขึ้นกด “เปลี่ยนรหัสวันนี้” แล้วอัปเดตใน Authentik อีกครั้ง

สร้างรหัสตั้งต้น

กดสร้าง แล้วคัดลอกไปใส่ Authentik user / Bitwarden SSO Identifier

ยังไม่มีรหัส — กดสร้างรหัสก่อน

ลำดับใช้งานกับของจริง

  1. ติดตั้ง Authentik จาก deploy/authentik/
  2. สร้าง user ด้วย Username/Password จากด้านบน
  3. เปิด YubiKey ตาม deploy/authentik/YUBIKEY.md
  4. ครอบแอป VPS1/VPS2 ด้วย Traefik forward-auth
  5. ใส่ SSO Identifier ใน Bitwarden แล้วเชื่อม OIDC ตาม BITWARDEN_OIDC.md

Theme tokens จาก Figma SDS· โทนแดง · เก็บรหัสไว้ที่ปลอดภัย อย่า commit ลง git · Cloudflare Pages