Anwendungen (SSO-Gate)

Stelle jeden HTTP-Dienst auf deinem Cluster hinter die kubehz-Anmeldung — am Gateway, ohne Änderung an der App. Du nennst die Route; kubehz registriert den OIDC-Client, liefert dessen Secret in deinen Cluster und hängt die Gateway-Policy an. Ab dann erreichen Besucher deinen Dienst erst nach der Anmeldung.

Early Access

Die gehostete Control Plane ist im Early Access. Diese Seite beschreibt das gehostete Feature (Dashboard → Cluster → Einstellungen → Anwendungen); auf einem selbst gehosteten Cluster ist dieselbe Mechanik das lok8s-Addon sso-gate mit einem OIDC-Issuer deiner Wahl.

Was es tut

Das Gateway deines Clusters (Envoy Gateway) kann einen kompletten OIDC-Login-Flow — Redirect, Callback, Session-Cookie, Token-Validierung — vor einer Route ausführen, bevor Verkehr den Dienst dahinter erreicht. Dashboards, Admin-Panels, Statusseiten und interne Tools ohne eigene Authentifizierung bekommen so echtes Sign-in — ohne Sidecar, ohne Proxy-Container, ohne eine Zeile App-Code.

kubehz automatisiert die lästige Hälfte: Für jede geschützte Anwendung registriert der Operator einen eigenen OIDC-Client bei kubehz ID, schreibt das Client-Secret in deinen Cluster (es passiert nie deinen Browser oder unsere API) und hängt die Gateway-Policy an deine Route.

Einen Dienst schützen

1. Öffne den Cluster im Dashboard → Einstellungen → Anwendungen.
2. Dienst schützen: Name, öffentlicher Hostname und (falls abweichend) Namespace und HTTPRoute-Name.
3. Beobachte den Status: Ausstehend, während der Operator konvergiert, dann Geschützt. Hat dein Cluster noch kein Envoy Gateway, liest du Gateway fehlt samt Hinweis — installiere das envoy-gateway-Addon und das Gate aktiviert sich von selbst.

Das Entfernen einer Anwendung (hinter einer expliziten Bestätigung — der Dienst wird wieder öffentlich) räumt alles ab: Policy, Secret und OIDC-Client.

Gut zu wissen

• Wer sich anmelden kann: alle in deinem kubehz-Team. Rollenbasierte Einschränkungen („nur Editoren") stehen auf der Roadmap.
• Welche Routen infrage kommen: jede HTTPRoute an einem Envoy Gateway in deinem Cluster. Eine Anwendung pro Route.
• Änderungen am Set erfordern einen frischen zweiten Faktor (wie andere sicherheitsrelevante Aktionen), und jede Änderung landet im Audit-Log deines Tenants.
• Der Dienst selbst braucht kein OIDC — hat er aber natives OIDC, verdrahte lieber das mit deinem Identitäts-Setup, statt doppelt zu gaten.

---

Doku-Status

Aspekt	Detail
Zustand	Early Access — Funktion live
Zuletzt geprüft	2026-07-15