Authelia とは？セルフホスト SSO・2要素認証の使い方と導入ガイド

Authelia（オーセリア）の概要

Authelia は、セルフホスト環境向けのシングルサインオン（SSO）・多要素認証ポータルです。Traefik や Nginx などのリバースプロキシと連携し、その背後にある複数のWebアプリへのアクセス時に認証の層を追加できます。

Go 言語で開発されており軽量に動作するため、自宅サーバー（ホームラボ）や社内ツール群に統一的な認証を導入したい個人・企業に適しています。認証機能を持たないアプリケーションにも一括して保護をかけられる点が大きな利点です。

GitHub情報（2026-10-07取得）

• リポジトリ: https://github.com/authelia/authelia↗
• ライセンス: Apache-2.0
• 累計スター数: 29,198
• 最新リリース: v4.39.28（2026-09-17公開）

主な特徴・できること

シングルサインオン（SSO）による統一認証

Authelia はリバースプロキシ経由でユーザーの認証を一元管理します。ユーザーが一度ログインすれば、同じドメイン配下にあるプロキシ保護下の複数アプリに対して再ログインなしでアクセス可能になります。これにより、組織内のツール群（Wiki、プロジェクト管理ツール、監視ツールなど）への統一的なアクセス制御が実現します。

豊富な多要素認証（MFA）方式

Authelia は以下の多要素認証に対応しています。

• TOTP（Time-based One-Time Password）：Google Authenticator や Authy などの認証器アプリを使用した時間ベースの使い捨てコード
• WebAuthn（パスキー・セキュリティキー）：FIDO2 に対応し、YubiKey などのハードウェアセキュリティキーや、スマートフォンのパスキーを認証手段として登録可能
• プッシュ通知：スマートフォンへの認証要求を送信し、タップで承認する方式

この柔軟性により、ユーザーのセキュリティ要求と使いやすさのバランスを取ることができます。

LDAP 連携とアクセス制御

Active Directory や OpenLDAP などのディレクトリサービスと連携し、既存のユーザーデータベースを活用できます。また、細かなアクセス制御ルール（特定ユーザーグループのみが特定のアプリにアクセス可能など）を定義できるため、セキュリティポリシーに基づいたきめ細かいアクセス管理が可能です。

OpenID Connect 認定取得

Authelia は OpenID Connect（OIDC）認定を取得しており、標準的な認証プロトコルに対応しています。そのため、OIDC 対応のアプリケーションとの連携も可能です。

ライセンス・料金

Authelia は Apache License 2.0 の下で公開されたオープンソースソフトウェアです。商用利用、改変、配布が可能です。

料金：無料です。ただしセルフホスト環境での構築・運用に伴う以下のコストは考慮が必要です。

• サーバーインフラのコスト（VPS、物理サーバーなど）
• 構築・運用にかかる人的コスト
• セキュリティアップデートの監視と適用

導入方法

前提条件

Authelia を導入する際の基本的な前提条件です。

1. リバースプロキシの準備：Traefik、Nginx、Apache などのリバースプロキシが必要です。Authelia はアプリの前段に配置され、プロキシが認証済みユーザーのヘッダー情報を後ろのアプリに渡すことで認証を完成させます。

2. ドメインとSSL/TLS証明書：通常、Authelia は HTTPS でホストする必要があります。Let's Encrypt などで無料の証明書を取得できます。

3. ストレージ（オプション）：ユーザー情報やセッション情報の永続化にはファイルシステム、SQL データベース（SQLite、MySQL、PostgreSQL など）、または Redis を使用できます。

基本的な導入手順

1. Docker での起動（最も一般的）

公式の Docker イメージが提供されています。

docker pull authelia/authelia:4.39.28

or

docker pull ghcr.io/authelia/authelia:4.39.28

2. 設定ファイルの作成

Authelia は YAML 形式の設定ファイルで動作を定義します。基本的な構成例：

server:
  host: 0.0.0.0
  port: 9091

jwt:
  secret: "your-secret-here"

default_redirection_url: "https://your-domain.com"

authentication_backend:
  file:
    path: "/config/users_database.yml"

session:
  secret: "your-session-secret"
  domain: "your-domain.com"

regulation:
  max_retries: 3
  find_time: 120
  ban_time: 300

access_control:
  default_policy: deny
  rules:
    - domain: "app1.your-domain.com"
      policy: allow
    - domain: "app2.your-domain.com"
      subject: "group:admins"
      policy: allow

詳細な設定オプションについては、公式ドキュメント↗を参照してください。

3. リバースプロキシの設定

Traefik の場合の例：

http:
  routers:
    app1:
      rule: "Host(`app1.your-domain.com`)"
      service: app1-service
      middlewares:
        - authelia

  middlewares:
    authelia:
      forwardAuth:
        address: "http://authelia:9091/api/verify?rd=https://authelia.your-domain.com/"
        trustForwardHeader: true
        authResponseHeaders:
          - "Remote-User"
          - "Remote-Groups"

詳細は Authelia 公式の統合ガイド↗を確認してください。

4. ユーザーデータベースの準備

ローカルファイルベースの場合、users_database.yml を作成：

users:
  john:
    displayname: "John Doe"
    password: "$2a$12$..."
    email: "john@example.com"
    groups:
      - admins

パスワードは bcrypt でハッシュ化する必要があります。

活用シーン

自宅ラボ（ホームラボ）での複数サービス管理

自宅で Nextcloud、Gitea、Jellyfin、Synology NAS など複数のセルフホストサービスを運用する場合、それぞれに異なるパスワードを設定・管理するのは煩雑です。Authelia を導入することで、単一のログイン画面から全サービスへのアクセスを統一できます。

小規模企業の社内ツール統合

社内向けの Wiki、プロジェクト管理ツール、時間管理ツール、監視ダッシュボードなど、複数のウェブアプリケーションを運用する企業では、Authelia で統一認証基盤を構築できます。LDAP 連携により、既存の Active Directory やユーザーディレクトリと同期することも可能です。

認証なしのアプリケーションへの保護追加

レガシーアプリケーションや、認証機能を持たないシンプルなウェブアプリケーション（内部ツールなど）に対して、Authelia をプロキシの前段に配置することで、事後的にアクセス制御を追加できます。

セキュリティ要件が高い環境

パスキーやハードウェアセキュリティキーによる強力な多要素認証が必要な環境（医療機関、金融機関など）でも、Authelia の WebAuthn 対応により要件を満たせます。

デメリット・注意点

構築・運用コストの高さ

Authelia はセルフホスト型です。導入には以下の負担が発生します：

• 技術的スキルの要求：Docker、リバースプロキシ（Traefik など）、ネットワーク設定、SSL/TLS 証明書の管理に対する基礎知識が必要
• 継続的な運用：セキュリティアップデートの監視と適用、ストレージ（データベース）の管理、バックアップの実施が必要
• インフラ費用：サーバーインフラのコストが発生

対象は、技術チームを持つ組織や、セルフホストに習熟した個人です。エンタープライズグレードのマネージドサービス（Okta、Azure AD など）を求める場合には向きません。

リバースプロキシの設定難度

Authelia は単体では機能完結しません。リバースプロキシとの連携が必須であり、Traefik や Nginx の設定が必要です。特に forwardAuth（フォワード認証）の正確な設定が重要であり、設定ミスがあるとセキュリティホールになる可能性があります。

セキュリティ管理の責任が利用者にある

オープンソース型のため、以下の点で責任が利用者側にあります：

• セキュリティ脆弱性が発見された際の迅速な対応
• TLS 証明書の自動更新・管理
• バックアップとディザスタリカバリの計画・実行
• ログ監視とセキュリティ監査

標準化されたサポートがない

コミュニティサポートに依存するため、企業としての SLA（Service Level Agreement）や優先的なサポートは提供されません。ただし、GitHub Issues↗ や Discussion↗ で質問することは可能です。

よくある質問

Authelia は無料で使えますか？

はい、Apache License 2.0 で公開されており、商用利用も含めて無料です。ただしセルフホスト環境であるため、サーバーのホスティング費用や運用コストは別途発生します。

どのリバースプロキシに対応していますか？

Traefik、Nginx、Apache、Caddy など、フォワード認証（Forward Auth）機能を備えたプロキシなら動作します。詳細は 公式の統合ガイド↗ で確認してください。

LDAP を使わずにローカルファイルでユーザー管理できますか？

はい。ローカルの YAML ファイルにユーザー情報を記述することで、簡単なユーザー管理が可能です。小規模環境に向いています。

パスキー（WebAuthn）は本当に安全ですか？

WebAuthn は FIDO2 標準に基づいており、フィッシング耐性に優れています。ただし、スマートフォンのパスキーとハードウェアセキュリティキー（YubiKey など）では信頼度が異なります。要件に応じて使い分ける必要があります。

既存の Bitwarden などのパスワード管理ツールと併用できますか？

はい。Authelia は認証の層を提供するもので、パスワード管理ツールと競合しません。Vaultwarden（Bitwardenのセルフホスト版）と組み合わせれば、統一認証と暗号化されたシークレット管理が両立します。

本番環境で使っても大丈夫ですか？

Authelia は OpenSSF Best Practices Gold バッジを取得し、継続的にメンテナンスされています。ただし導入前に、十分なテストと運用体制の構築が必要です。セキュリティアップデートの監視を怠らないことが重要です。

まとめ

Authelia は、セルフホスト環境で複数のウェブアプリケーションへの統一的な認証を提供するオープンソースツールです。シングルサインオンと豊富な多要素認証オプション（TOTP、WebAuthn、プッシュ通知）により、セキュリティと利便性を両立させます。

向いている環境：

• 自宅ラボで複数のセルフホストサービスを運用している個人
• 技術チームを持つ中小企業で、社内ツール群への統一認証が必要
• 認証機能を持たないレガシーアプリケーションに保護を追加したい組織

検討が必要な点：

• リバースプロキシ、Docker、ネットワーク設定など一定の技術スキルが必要
• セキュリティアップデートと運用の責任が利用者にある
• 導入・運用に人的コストがかかる

導入前には、公式ドキュメント↗ で詳細な設定手順を確認し、テスト環境で十分な検証を行うことをお勧めします。

公式資料

• authelia 公式リポジトリ↗
• authelia 公式README↗

関連リンク・公式情報

ここで紹介したツールの一次情報（公式サイト・ソースコード）と、オープンソースラボ内の関連ページをまとめました。導入検討の際にご活用ください。

公式サイト・ソースコード（外部リンク）

• authelia 公式サイト↗
• authelia GitHubリポジトリ↗

オープンソースラボの関連ページ（内部リンク）

• authelia の詳細・評価をオープンソースラボで見る
• 同じカテゴリのOSSをもっと探す