Вход и пароли

Реши как влизат хората: дължина на паролата, пряк път за домашната мрежа и вход отвън. Само собственикът променя тези настройки, в Settings > Sign-in and security (Настройки > Вход и сигурност).

Задай най-късата парола

1. Отвори Settings > Sign-in and security > Passwords (Пароли).
2. Въведи число от 4 до 64. По подразбиране е 8.
3. Натисни Save (запази). Трябва да видиш, че новото число остава и след презареждане.

Минимумът важи за всяка нова парола: на първия собственик, на приетите покани, при промените в My account (моят акаунт) и при holyarrs reset-owner. Вече зададените пароли работят, докато не ги смениш. Най-дългата парола е 1024 знака.

Caution

HolyArrs забавя повторните грешни опити за вход, но късата парола пак се налучква лесно. Ако HolyArrs е достъпен извън дома ти, избери 12 или повече знака.

Пропусни входа в моята локална мрежа

Устройствата в домашната ти мрежа отварят HolyArrs като собственик, без парола. По подразбиране е изключено.

1. Отвори Settings > Sign-in and security > Local network (Локална мрежа).
2. Изброй мрежите си по една на ред, до 32. Използвай диапазон (192.168.1.0/24, fd00::/8) или един адрес (192.168.1.20).
3. Включи превключвателя и запази. Трябва да видиш собствения си адрес на картата.

Превключвателят не може да е включен при празен списък или докато съществува детски акаунт. Създаването на API ключове, промяната на настройките за вход, четенето или смяната на тайни и възстановяването на резервни копия пак искат парола.

Първо провери адреса

При някои настройки всяко устройство изглежда като един адрес на шлюза: Docker Desktop, rootless Docker или Podman и Kubernetes NodePort. Типични са 172.17.0.1, 172.18.0.1 и нагоре, 10.88.0.1, 10.89.x.1, 10.0.2.2 и 192.168.65.x.

Ако впишеш някой от тях, всеки, който стигне до HolyArrs, влиза като собственик. Картата предупреждава, когато запис прилича на такъв. Отвори страницата от второ устройство: ако показва същия адрес, изключи превключвателя и махни този запис.

Зад reverse proxy HolyArrs чете препратения адрес само от proxy сървъри в HOLYARRS_TRUSTED_PROXIES. Иначе картата не показва адрес и казва, че proxy сървърът не е доверен.

Единен вход (SSO)

Един доставчик на OpenID Connect може да вписва хората. Той се показва като бутон на страницата за вход.

1. Отвори Settings > Sign-in and security > Single sign-on (Единен вход).
2. Въведи издателя (issuer) на доставчика и натисни Test (тествай). За теста не се изпраща тайна.
3. Въведи client id и client secret. Отбележи Public client (публичен клиент), ако доставчикът не ползва тайна.
4. Копирай Callback address (адрес за обратно извикване) и регистрирай точно този адрес при доставчика.
5. Въведи паролата си, плюс код за двуфакторна защита, ако ползваш такава, и натисни Save. Всяка промяна иска това.

После свържи собствения си акаунт: влез с паролата си, отвори My account, под Linked sign-ins (свързани входове) натисни Link (свържи), потвърди паролата си, после избери Single sign-on.

Tip

Дръж работеща парола на собственика. Ако доставчикът не работи, входът с парола пак действа.

Възможности

Остави нови хора да се присъединяват през единен вход

По подразбиране е изключено. Когато е включено, всеки, когото доставчикът впише, получава акаунт, затова HolyArrs те моли да потвърдиш. Новодошлите влизат като членове, които могат само да заявяват. Единният вход никога не прави собственик или администратор.

Смени издателя или client id

Въвеждаш тайната отново. Старите връзки се махат и всички, които са ползвали единен вход, се отписват. Те се свързват отново от My account. Изключването на единния вход също ги отписва.

Разкачи вход

• Собствения си: My account > Linked sign-ins > Unlink (разкачи). Нужно е скорошно потвърждение с парола, а ако това е единственият ти начин за вход, се отказва.
• На друг човек: собственикът ползва Settings > Users and roles (Потребители и роли). Ако това е единственият начин за вход на човека, HolyArrs пита още веднъж.

Разкачането отписва устройствата, които са го ползвали. Ако присъединяването е отворено, същият човек може да се върне като нов член. Изключи присъединяването, за да го спреш.

Ако не работи

Проблем: HolyArrs пак иска паролата ти. Причина: промените по акаунти, ключове и настройки искат потвърждение с парола от последните 10 минути, плюс двуфакторен код, ако е зададен. Входът отвън и пряк път за локалната мрежа не се броят. Решение: потвърди с паролата си. Излизането и прекратяването на устройства никога не питат.

Проблем: обратното извикване е пропаднало с кратка грешка и оставаш извън акаунта. Причина: адресът за обратно извикване при доставчика се различава от този в HolyArrs. Решение: копирай Callback address отново и го постави точно така при доставчика.

Проблем: акаунт, направен през единен вход, не може да зададе парола. Причина: в тази версия не е възможно. Решение: първо направи локален собственик, после свържи единния вход към него.

Проблем: след излизане от HolyArrs оставаш влязъл при доставчика. Причина: HolyArrs прекратява само собствения си вход. Решение: на споделено устройство излез и при доставчика.

Загубил си паролата на собственика? Виж Сесии и пароли.

За експерти

Вход през доверен proxy

Ако reverse proxy вече вписва хората, HolyArrs приема името, което той подава. Задава се само в средата. Показва се като бутон на страницата за вход; едно посещение никога не вписва никого само по заглавки.

• Proxy сървърът маха входящите Remote-User и Remote-Name и след вписването задава свои.
• Remote-User: едно постоянно име, най-много 255 байта. Remote-Name: показвано име по избор, най-много 200 байта.
• Повтарящи се стойности, стойности със запетаи и с управляващи знаци се отказват. Заглавките за роли се игнорират.

Дръж HolyArrs достъпен само през този proxy. Да се доверяваш на адреса на proxy сървъра значи да се доверяваш на всяко име, което той изпраща. Свържи го с акаунт от My account > Link trusted proxy sign-in (свържи вход през доверен proxy).

Променливи на средата

Задай ги преди стартиране. И двата метода са изключени, докато не ги включиш. Грешна настройка спира стартирането на HolyArrs; срив при доставчика оставя входа с парола работещ. Ако HOLYARRS_OIDC_ENABLED е зададена изобщо, дори като false, средата управлява единния вход, а Settings само го показва.

Променлива	Какво прави	По подразбиране
HOLYARRS_OIDC_ENABLED	Включва единния вход	false
HOLYARRS_OIDC_ISSUER	Точният HTTPS издател на доставчика	няма
HOLYARRS_OIDC_CLIENT_ID	Регистрираният client id	няма
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Файл с client secret, най-много 4096 байта. Пропусни за публичен клиент	няма
HOLYARRS_OIDC_REDIRECT_URL	Точният HTTPS адрес за обратно извикване: твоят адрес, URL base ако има, после /api/v1/auth/oidc/callback	няма
HOLYARRS_OIDC_ALLOW_JOIN	Новите хора влизат като членове, които могат само да заявяват	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Позволява доставчик в твоята частна мрежа	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Позволява обикновен HTTP на loopback, за тест	false
HOLYARRS_FORWARD_AUTH_ENABLED	Включва вход през доверен proxy	false
HOLYARRS_FORWARD_AUTH_ISSUER	Постоянно HTTPS име за този proxy. Нова стойност се брои за нов източник	няма
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Адреси или диапазони на proxy сървъри, разделени със запетая. Задължително. Диапазон за всички адреси се отказва	няма
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Новите имена от proxy влизат като членове, които могат само да заявяват	false

Двете настройки ALLOW_LOCAL_NETWORK и ALLOW_LOOPBACK_HTTP важат и за единен вход, зададен в Settings.

Как работи единният вход

• Доставчикът трябва да поддържа вход с authorization code с PKCE S256 и токени RS256, като всяка крайна точка е на origin на издателя.
• Акаунтите се съпоставят по собствения id на акаунта при доставчика, никога по имейл.
• Ролите и групите на доставчика не се ползват.
• Client secret се пази криптиран и никога не се показва отново. Остави полето празно, за да го запазиш.

Свързано

• Потребители и роли
• Сесии и пароли
• Детски акаунти
• URL base и reverse proxy