Instalar o Lockatus

O Lockatus é distribuído como uma única imagem Docker mais um banco de dados Postgres. Ele gera sua chave de assinatura RS256 no primeiro boot (armazenada criptografada no banco de dados) e semeia o primeiro superadmin — de modo que um único docker compose up lhe dá um hub de identidade funcional.

Requisitos

Docker

O caminho suportado. O docker compose incluído sobe o hub e o Postgres juntos.

Uma chave mestra

LOCKATUS_SECRET criptografa os segredos TOTP e assina a sessão do hub. Gere 32 bytes aleatórios.

Uma URL de issuer alcançável

LOCKATUS_ISSUER é a URL pública que os tokens carregam — ela deve ser alcançável tanto pelo navegador quanto pelos apps federados.

Executar com Docker

git clone https://github.com/diegoparras/lockatus.git && cd lockatus
cp .env.example .env        # set POSTGRES_PASSWORD and LOCKATUS_SECRET
docker compose up -d --build
docker compose logs lockatus   # the generated admin password is printed once here
# → http://localhost:8081

Gere a chave mestra com:

node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"

A URL do issuer

Para um único host, http://localhost:8081 serve. Quando os apps rodam em contêineres separados, use uma URL que resolva igual a partir do navegador e dos contêineres (por exemplo http://host.docker.internal:8081 no Docker Desktop), para que o redirect do front-channel e a verificação offline do JWKS concordem.

Primeira execução

1. Abra http://localhost:8081 e faça login como LOCKATUS_ADMIN_EMAIL com a senha exibida uma única vez nos logs (ou a que você definiu em LOCKATUS_ADMIN_PASS).
2. Em Acesso, a matriz mostra quem tem qual papel em cada app. Crie usuários e atribua papéis.
3. Opcionalmente, inscreva dois fatores para a sua conta, e adicione qualquer novo app da família a partir da matriz com o botão + App.

Endpoints de discovery OIDC

Route	Finalidade
GET /health	Saúde do serviço (e status do banco de dados).
GET /.well-known/openid-configuration	Metadados do issuer para o discovery OIDC.
GET /jwks.json	A chave pública, para que os apps verifiquem os tokens offline.

Variáveis de ambiente

Variable	Default	Descrição
POSTGRES_PASSWORD	(required)	Senha do banco de dados.
LOCKATUS_SECRET	(required)	Chave mestra — criptografa os segredos TOTP e assina a sessão do hub.
LOCKATUS_ISSUER	http://localhost:8081	URL pública do issuer embutida nos tokens.
LOCKATUS_ADMIN_EMAIL	admin@lockatus.local	O primeiro superadmin.
LOCKATUS_ADMIN_PASS	(empty)	Vazio → gerada e exibida uma única vez nos logs.
LOCKATUS_SECURE_COOKIE	0	Defina como 1 atrás de TLS.
LOCKATUS_PORT	8081	Porta do host.