10b. ECHO Auth SSO & MFA
Le module ECHO Auth (hébergé dans docker-echo-auth-manager-manager) est le fournisseur d'identité (IdP) natif et autonome du framework. Il a pour vocation de remplacer complètement l'authentification interne d'Open WebUI par une solution externe centralisée offrant un niveau de sécurité entreprise.
Architecture et Forward Auth
ECHO Auth ne se contente pas de vérifier un mot de passe. Il est profondément intégré avec la sécurité périmétrique :
- Point de passage unique : Lorsqu'il est activé, ECHO Auth devient le seul portail d'entrée. Il est couplé au WAF via l'endpoint
/api/verify, protégeant l'ensemble de la pile de requêtes non autorisées (mécanisme de Forward Auth). - Authentification forte (MFA/TOTP) : L'authentification repose systématiquement sur un couple d'identifiants (email/mot de passe) suivi obligatoirement de la validation d'un code OTP temporel.
- Gestion centralisée des sessions : Les jetons de session (JWT) émis par ECHO Auth peuvent être révoqués dynamiquement et unitairement depuis le Dashboard Actif de l'Admin Manager, offrant une capacité d'intervention immédiate en cas de compromission d'un accès.
Le Tunnel SSH Éphémère (PKCE)
L'intégration d'ECHO Auth avec le flux d'authentification Google (OAuth2 PKCE) est essentielle pour la récupération sécurisée des jetons API sans navigateur. Lors du déploiement initial, un tunnel SSH éphémère est dynamiquement monté par l'infrastructure sur une plage de ports exposée de manière sécurisée (8020-8024).
Ce tunnel permet de capter le callback d'autorisation renvoyé par Google (sur les ports internes 8025-8034) et de finaliser la chaîne PKCE en toute autonomie (initiate_pkce_flow → await_pkce_callback). Une fois le token d'accès obtenu (ou au bout de 120s de timeout), la session SSH jetable se referme, refermant ainsi la fenêtre d'exposition réseau.