Lockatus をインストール

Lockatus は、ひとつの Docker イメージと Postgres データベースとして提供されます。初回起動時に RS256 署名鍵を生成し（データベースに暗号化して保存）、最初のスーパー管理者をシードします — そのため、ひとつの docker compose up で動作する identity ハブが手に入ります。

要件

Docker

推奨される方法です。同梱の docker compose がハブと Postgres を一緒に起動します。

マスターキー

LOCKATUS_SECRET は TOTP シークレットを暗号化し、ハブセッションに署名します。32 バイトのランダムバイトを生成します。

到達可能な issuer URL

LOCKATUS_ISSUER はトークンが持つ公開 URL です — ブラウザと連携アプリの両方から到達可能でなければなりません。

Docker で実行

git clone https://github.com/diegoparras/lockatus.git && cd lockatus
cp .env.example .env        # set POSTGRES_PASSWORD and LOCKATUS_SECRET
docker compose up -d --build
docker compose logs lockatus   # the generated admin password is printed once here
# → http://localhost:8081

マスターキーは次のように生成します。

node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"

issuer URL

単一ホストの場合は http://localhost:8081 で問題ありません。アプリが別々のコンテナで動作する場合は、ブラウザ と コンテナの両方から同じように解決される URL を使ってください（例えば Docker Desktop では http://host.docker.internal:8081）。そうすることで、フロントチャネルのリダイレクトとオフラインの JWKS 検証が一致します。

初回起動

1. http://localhost:8081 を開き、ログに一度だけ表示されたパスワード（または LOCKATUS_ADMIN_PASS に設定したもの）で LOCKATUS_ADMIN_EMAIL としてサインインします。
2. Access では、誰が各アプリでどのロールを持つかをマトリクスが示します。ユーザーを作成し、ロールを割り当てます。
3. オプションで自分のアカウントに 二要素認証 を登録し、+ App ボタンでマトリクスから新しいファミリーアプリを追加します。

OIDC ディスカバリーエンドポイント

Route	用途
GET /health	サービスの稼働状況（およびデータベースの状態）。
GET /.well-known/openid-configuration	OIDC ディスカバリー用の issuer メタデータ。
GET /jwks.json	公開鍵。アプリがトークンを オフライン で検証できるようにします。

環境変数

Variable	Default	説明
POSTGRES_PASSWORD	(required)	データベースパスワード。
LOCKATUS_SECRET	(required)	マスターキー — TOTP シークレットを暗号化し、ハブセッションに署名します。
LOCKATUS_ISSUER	http://localhost:8081	トークンに埋め込まれる公開 issuer URL。
LOCKATUS_ADMIN_EMAIL	admin@lockatus.local	最初のスーパー管理者。
LOCKATUS_ADMIN_PASS	(empty)	空 → 生成されてログに一度だけ表示されます。
LOCKATUS_SECURE_COOKIE	0	TLS の背後では 1 に設定します。
LOCKATUS_PORT	8081	ホストポート。