1.はじめに

ID、パスワードだけでの認証では心許ないので、わんこ監視システム(nginx+Mjpg-streamer)からのストリーミング参照できるデバイスを限定する目的でJWT認証も採用したのですが、各デバイス上でトークンを定期的に更新するのが少々面倒になりました。
それで、安直に多要素認証にすれば、堅牢性と運用上の利便性が両立可能かなと考えました。
今にして思えば、JWT認証は実装で結構苦戦したので、最初からMFAにしておけばよかっただけかと思います。

2.認証用に何を使用する？

この辺の知見ないので、Google AIモード(以降、AIと略す)で今のシステムに合うものを聞いてみたら、リスト上の一番上に(イチオシとして)autheliaを紹介されたので、比較検討することもなくauthelia導入に決定しました。

3.導入方法は？

これまたAIに聞いてみたら、以下を答えてくれたので、AI畜よろしくただ従うのみと。
なお、以降の記載は、まだ家内LANで使用可能な範囲の実装です。
屋外からインターネットを介して利用するにはnginxの設定が不足しています。
また、誤りがあったら申し訳ありません。自己責任でお願いします。

(1)Docker環境の準備: ラズパイにDockerとDocker Composeをインストールします。

(2)Autheliaの配置: Docker ComposeでAutheliaコンテナを立ち上げ、ユーザー情報（ID/パスワード）をYAMLやデータベース（SQLite/MariaDB等）で管理するよう設定します。
(3)リバースプロキシの設定: Nginx等の設定ファイルで、特定のエンドポイントへのアクセスをAutheliaの認証ポータルへリダイレクトするように書き換えます。
　(a)Nginxの各locationブロックにauth_request /authelia;を追加します。
　(b)未認証の場合はAutheliaのログインページ（MFAを含む）へリダイレクトさせます。
　(c)認証の委譲: 認証自体はNginx/Autheliaで完了しているため、Mjpg-streamer等でJWTを検証する必要はなくなります。
　(b)ユーザー情報の取得: Autheliaが認証成功後に、Remote-UserやRemote-GroupsといったHTTPヘッダーにユーザー情報を載せてMjpg-streamer等に転送するようにNginxを設定します。
(4)MFAの有効化: Autheliaのポータル上でTOTP（QRコードスキャン）を設定し、ログイン時に2要素目を要求するようにポリシーを設定します。

3.1 DockerとDocker-Composeの導入

# Dockerのインストールスクリプトを実行
curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh

# 現在のユーザーをdockerグループに追加（次回ログインからsudo不要に）
sudo usermod -aG docker $USER

# Docker Compose プラグインのインストール
sudo apt-get update
sudo apt-get install -y docker-compose-plugin

3.2 Autheliaの導入

Autheliaの動作には主に3つのファイルが必要となる。
最初に設定ファイルを管理するためのフォルダを作成する。

mkdir -p ~/authelia/config
cd ~/authelia

/home/（ユーザー名）/
  └── authelia/
      ├── docker-compose.yml
      └── config/
          ├── configuration.yml
          └── users_database.yml

① docker-compose.yml

services:
  authelia:
    image: authelia/authelia:latest
    container_name: authelia
    volumes:
      - ./config:/config
    networks:
      - auth-net
#    expose:
#      - 9091
    ports:
      - "9091:9091"
    restart: unless-stopped
    environment:
      - TZ=Asia/Tokyo

networks:
  auth-net:
    external: true # 事前に docker network create auth-net が必要

② config/configuration.yml (基本設定)

# ランダム文字列の生成
LC_ALL=C tr -dc 'A-Za-z0-9' </dev/urandom | head -c 64 ; echo

上記コマンドを3回実行し、各々の出力内容を、以下の"適当な長い文字列#1〜#3"に設定する。

server:
  address: 'tcp://:9091/'
jwt_secret: '適当な長い文字列#1'
default_2fa_method: 'totp'
authentication_backend:
  password_reset:
    disable: true # ラズパイ環境なら最初は無効が楽です
  file:
    path: /config/users_database.yml
session:
  name: 'authelia_session'
  secret: '適当な長い文字列#2' 
#  default_cookie_attributes:
#    insecure: true   # HTTPでのCookie送信をブラウザに許可させる
#    same_site: 'lax' # IPアドレス直叩き時のCookie動作を安定させる
  cookies:
    - domain: '192.168.x.xx'
      authelia_url: 'https://192.168.x.xx'
storage:
  local:
    path: /config/db.sqlite3
  encryption_key: '適当な長い文字列#3' 
notifier:
  filesystem:
    filename: /config/notification.txt # 2FA登録用URLがここに書き込まれます
access_control:
  default_policy: 'two_factor' # 全てにMFAを強制

③ config/users_database.yml (ユーザー定義)

# パスワードハッシュ生成コマンド
docker run --rm authelia/authelia:latest authelia hash-password "your_password"

上記コマンドで生成したパスワードを下記password:欄に貼り付ける。

users:
  your_username:
    displayname: "User Name"
    password: "$argon2id$v=19$m=65536,t=3,p=4..." 
    email: user@example.com
    groups:
      - admins

4.Autheliaの起動

# ネットワークを作成して起動
docker network create auth-net #①
docker compose down #②
docker compose up -d

①を実行すると、長い16進文字列が出力されるが、Dockerが作成した「ネットワークID」で、特に記録などは不要である（出力目的は各人で調べてほしい、もしかすると使用機会があるかも）。
②が必要かどうかは、よくわからない（なくてもよいかも）。

5.Nginxの導入

いろいろな方が導入記事を書かれているので、そちらを参照ください。

6.Nginxの設定

/etc/nginx/sites-enabled/xxx　を修正するが、これはシンボリックリンクファイルで、実体は/etc/nginx/sites-available/xxx。
新規インストール直後でsites-enabled下に何もない状態の場合、先にsites-available下に実体ファイルを作成してから、sites-enabled下にシンボリックリンクを作成することになる。
なお、xxxに付与する名称は各人の目的に合わせて決めれば良い。

/etc/nginx/sites-enabled/xxx)

server {
    listen 443 ssl;
    server_name 192.168.x.xx

    ssl_certificate /etc/nginx/ssl/lan.crt;
    ssl_certificate_key /etc/nginx/ssl/lan.key;

    # --- 0. Authelia 自体の設定 ---
    # 混同を避けるため、/authelia/ というパスでログイン画面を動かします
    # "location /"より上に置く必要あり
    location /authelia/ {
        auth_request off; # 明示的に認証チェックoff
        proxy_pass http://127.0.0.1:9091/; # 末尾の / が重要
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # autheliaが内部で使う/api、/staticも認証除外にする
    location /api/ {
        auth_request off;
        proxy_pass http://127.0.0.1:9091/api/;
        proxy_set_header Host $host;
    }

    location /static/ {
        auth_request off;
        proxy_pass http://127.0.0.1:9091/static/;
        proxy_set_header Host $host;
    }

    # --- 1. メインのアプリ（Mjpg-streamer）の設定 ---
    location / {
        # Autheliaに認証を確認しに行く
        auth_request /internal/authelia/authz;

        # 認証成功時、Autheliaからユーザー情報を受け取る
        auth_request_set $user $upstream_http_remote_user;
        proxy_set_header Remote-User $user;

        # エラー（未認証）なら、Autheliaのログイン画面へ飛ばす
        error_page 401 = @error401;

        # 本来のmjpg-streamerへ転送
        proxy_pass http://192.168.x.xx:80xx/;

        # ストリーミングをスムーズにするための設定
        proxy_buffering off;
        proxy_request_buffering off;
        # 接続を維持（Keep-alive）しやすく
        proxy_http_version 1.1;
    }

    # --- 2. 認証チェック用（内部処理用） ---
    location = /internal/authelia/authz {
        internal;
        proxy_pass http://127.0.0.1:9091/api/verify;
        proxy_set_header Host $host;
        proxy_set_header X-Original-URL $scheme://$http_host$request_uri;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Content-Length "";
        proxy_pass_request_body off;
    }

    # --- 3. 未認証時にログイン画面へ飛ばす設定 ---
    location @error401 {
        # ログイン後、元のURLに戻れるように引数 (?rd=...) を付ける
        return 302 https://192.168.x.xx/authelia/?rd=$scheme://$http_host$request_uri;
    }
}

設定変更後、以下を実行して設定反映を。

sudo nginx -t
sudo systemctl restart nginx

7.デバイス登録を完了させる手順

7.1 nginxサーバーに接続

https://192.168.x.xx （httpsであることを確認）にアクセス。
警告画面が出たら「詳細設定」からアクセスを許可。
ID/パスワード入力しログインを試みると画面が遷移する。

7.2 登録用QRコードのスキャン

ラズパイのターミナルで cat ~/authelia/config/notification.txt を実行。
登録用URLが表示されるので、PCのブラウザのアドレスバーに貼り付けて開く。
ブラウザにQRコードの画面が表示される。
スマホの認証アプリ（Google Authenticatorなど）でQRコードをスキャン。
(このスキャンでサーバーで生成されたsecretがスマホに保存される)
スマホに表示された6桁の数字(TOTP)をブラウザに入力すると認証される。