按维护者说明确认 Authelia 为 active 的唯一主 OIDC broker

services/authelia.md

@@ -0,0 +1,45 @@
+---
+title: Authelia
+lifecycle: active
+evidence: documented
+last_reviewed: 2026-09-16
+last_verified: null
+sources:
+  - 维护者于 2026-09-16 确认当前状态
+---
+
+# Authelia
+
+**Authelia 已作为 homelab 唯一的主 OIDC broker 工作，当前状态为 active。**
+此状态由维护者于 2026-09-16 明确，本轮未查询运行环境。
+
+## 用途与入口
+
+Authelia 承担人类用户的统一登录与应用 OIDC 接入。现有架构中，Samba AD 提供用户目录，
+Authelia 提供网页认证与 OIDC；机器和 workload 身份由 [SPIFFE/SPIRE](spire.md) 提供。
+SPIRE 的 OIDC discovery 用于机器身份验签，不构成另一个人类登录 broker。
+
+登录入口沿用源码仓库记录：<https://auth.ddupan.top>。
+从已接入的应用选择其 SSO 登录入口，按 Authelia 页面完成认证后返回应用。
+具体应用入口和访问权限仍由各服务文档说明。
+
+## 当前状态与历史记录
+
+源码工作区 `apps/authelia/README.md` 中将 OIDC 描述为后续阶段的内容属于旧记录，
+不能继续作为当前部署状态依据。旧 Keycloak、Casdoor 位于源码仓库 `archive/`，
+不属于当前 OIDC 登录方案；目前无需为统一身份而重新引入它们。
+
+本次只更新知识库状态，未修改原工作区 README，也未将 broker active 扩大解释为
+所有应用都已接入 OIDC。现有 forward-auth 接入与 OIDC 是不同的应用认证方式，
+具体配置继续以各服务说明为准。
+
+## 维护入口
+
+以下路径相对于 homelab-infra：
+
+- `apps/authelia/`：Authelia 部署配置；README 中过时的 OIDC 阶段说明待同步。
+- `infrastructure/samba-ad/README.md`：用户目录与 AD。
+- `platform/envoy-gateway/README.md`：网关认证集成。
+- `archive/keycloak/RETIRED.md`、`archive/casdoor/RETIRED.md`：旧身份方案的退役记录。
+
+新增应用的 OIDC 接入与权限配置在对应源码和服务文档中维护，不在知识库保存实际 client secret。

services/index.md

@@ -1,8 +1,9 @@
 # 服务总览
 
 审阅日期：2026-09-16。以下覆盖源码工作区 apps/、platform/、infrastructure/ 的一级组件，以及集群入口。
-**所有条目本轮均未现场验证。** 状态栏表示文档、ticket 或配置证据，不表示实时健康状态。
-SPIFFE/SPIRE 已按维护者授权补读 #34；其他条目仍为初轮工作区盘点，查询前先向维护者对齐。
+**所有条目本轮均未现场验证。** 状态栏表示维护者说明、文档、ticket 或配置证据，不表示实时健康状态。
+SPIFFE/SPIRE 已按维护者授权补读 #34；LAN DNS 与 Authelia 已按维护者说明更新，
+独立项目按指定 README 收录。其余条目仍为初轮工作区盘点，查询前先向维护者对齐。
 来源路径相对于 [homelab-infra](https://git.ddupan.top/panxiao81/homelab-infra)；包含未提交内容，见首页证据边界。
 
 入口按来源记录列出，访问范围和可达性仍需验证。缺口详情见[待核实清单](../verification.md)。
@@ -11,7 +12,7 @@ SPIFFE/SPIRE 已按维护者授权补读 #34；其他条目仍为初轮工作区
 
 | 组件 | 用途 | 记录入口 | 状态依据 | 来源 | 文档缺口 / 下一步 |
 |---|---|---|---|---|---|
-| authelia | 统一登录与 OIDC | `auth.ddupan.top` | 记录已部署；旧 README 冲突 | `apps/authelia/README.md` | 补当前登录与接入指南 |
+| [authelia](authelia.md) | 唯一主 OIDC broker、统一登录 | `auth.ddupan.top` | active；维护者于 2026-09-16 明确已在工作 | 维护者说明、`apps/authelia/` | 同步源码 README 中过时的 OIDC 阶段说明 |
 | [blocky](lan-dns.md) | LAN 主 DNS、广告过滤、分流 | `192.168.10.127:53` | 维护者说明已作为 DHCP 主 DNS，上游为路由器 | 维护者 2026-09-16 说明、`apps/blocky/README.md` | 无需逐台确认主机；旧源码说明待同步 |
 | codex-proxy | 代理服务，具体接口待确认 | `待核实` | 仅发现配置 | `apps/codex-proxy/docker-compose.yml` | 缺 README 与使用说明 |
 | gitea | 代码托管与 Actions | `git.ddupan.top` | 记录已部署 | `apps/gitea/README.md` | 补首次使用与 runner 选择 |