Gately v0.5.8 リリース

2026年10月25日

このリリースでは Gately が OIDC ID プロバイダーとして動作できるようになり、SMB によるファイル共有を追加し（#15）、すべてのログに絞り込みを加え（#16）、WAF のルールグループの順序を変更できるようにしました（#17）。

v0.5.8 をダウンロード · GitHub Release · OIDC シングルサインオンのドキュメント

OIDC シングルサインオン

Web サービスに OpenID Connect の ID プロバイダーを内蔵しました。Gitea、OpenList、Grafana など OIDC ログインに対応したアプリは、共有ユーザーでそのままログインでき、誰がログインしたかも区別できます。Authelia の OIDC 機能の代わりに使えます。

• 「Web サービス → 全体設定 → OIDC ID プロバイダー」で発行者 URL を入力してクライアントを追加するだけで使えます。発行者ドメイン用のサイトは不要です；
• 共有ユーザーに任意のメール、表示名、グループを追加しました。email、name、groups クレームとしてアプリに渡され、アプリはこれを使ってアカウントを自動作成したり、グループに応じて管理者権限を与えたりできます；
• クライアントごとにログインを許可するユーザーやグループを限定できます。PKCE、リフレッシュトークン、prompt=none / prompt=login に対応し、パブリッククライアント（シングルページアプリ、スマートフォンアプリ）は PKCE が必須です；
• ログインには Web 認証のログイン画面と TOTP 2 段階認証をそのまま使います。発行者が SSO ドメイン内にあれば、どれかのサイトにログイン済みのときはアプリに改めてログインする必要がありません；
• パスワードや TOTP の変更、ユーザーの削除、許可リストからの除外を行うと、発行済みのトークンはただちに無効になります。sub には共有ユーザーの固定 ID を使うため、名前を変えても変わりません；
• ドキュメントには Gitea、OpenList、Grafana の設定例を載せており、いずれも実際のアプリで動作を確認しています。

SMB サービス

「ファイルサービス」に「SMB サービス」を追加しました。ローカルのディレクトリを Windows エクスプローラー、macOS Finder、Linux、スマートフォンやテレビの SMB クライアントと共有します：

• SMB 2.0.2 ～ 3.1.1、NTLMv2 認証と署名に対応し、SMB 3 暗号化を必須にできます；
• ユーザーの設定は FTP、WebDAV と同じです。各ユーザーには自分の共有だけが表示され、ディレクトリごとに読み取り専用にできます；
• ページに各共有の接続先アドレスを表示し、Bonjour 告知を有効にすると Finder から直接見つけられます；
• Linux と macOS でのみ利用できます。Windows は 445 番ポートにしか接続できないため、NAS 付属の Samba が使用している場合は別のポートにしてください。

ログの絞り込み

「システムログ」と各モジュールのログカードで、レベル、ソース、キーワード（フレーズと除外語に対応）、クライアント IP またはネットワーク範囲、期間で絞り込めます。Web サービスではさらにサイト、ドメイン、ステータスコードでも絞り込めます。絞り込みはサーバー側で行い、「以前のログを読み込む」はディスクに書き出されたログファイルまで検索を続けます。Web サービスのアクセスログと WAF のヒットログにはクライアント IP、ドメイン、ステータスコード、ルール ID を記録しており、ログ内のタグをクリックするとその値で絞り込めます。ログ API も同じ絞り込みパラメーターに対応しています。

Web サービスと WAF

• サイトのリクエストヘッダーとレスポンスヘッダーを 1 行ずつ編集する形式にし、名前と値をよく使う項目（HSTS、CSP、X-Frame-Options など）から選べるようにしました。よく使うセキュリティヘッダーをワンクリックで追加でき、書式とよくある誤りをその場でチェックします。固定テキストのサイトの Content-Type もよく使う種類から選べます；
• 名前や値に不正な文字を含むリクエストヘッダーは保存時に拒否されます。以前はこうした設定でサイト全体が 502 を返していました；
• リバースプロキシの「オプション」の横に説明を追加し、6 つのオプションの役割と使いどころを 1 つずつ解説しています；
• WAF のルールグループを上下に移動できるようになりました。許可ルール（allow、ctl: など）は OWASP CRS より上に、SecRuleRemoveById などの除外ディレクティブは CRS より下に置く必要があり、画面とドキュメントの両方で説明しています。

修正

• FTP、WebDAV のユーザー名を変更し、パスワードを入力し直さずに保存すると失敗していました。

アップグレードについて

• アップグレード方法：Linux バイナリ版は「バージョン情報」ページから直接アップグレードできます。Docker は新しいイメージを取得してコンテナを再作成、fnOS はアプリセンターで新しい .fpk を、OpenWrt は新しい .ipk / .apk をインストールします。
• 設定ファイルの形式は後方互換のため、そのままアップグレードできます。共有ユーザーには初回起動時に固定 ID が自動で生成され、設定ファイルに書き戻されます。
• Web 認証のログインフォームは他のサイトからの送信を拒否します。通常のログインには影響しません。