সাইন ইন ও পাসওয়ার্ড

মানুষ কীভাবে সাইন ইন করবে তা ঠিক করুন: পাসওয়ার্ডের দৈর্ঘ্য, বাসার নেটওয়ার্কের শর্টকাট, আর বাইরে থেকে সাইন ইন। এগুলো শুধু মালিক বদলাতে পারেন, Settings > Sign-in and security (সেটিংস > সাইন ইন ও নিরাপত্তা) থেকে।

পাসওয়ার্ডের সর্বনিম্ন দৈর্ঘ্য ঠিক করুন

1. Settings > Sign-in and security > Passwords (পাসওয়ার্ড) খুলুন।
2. 4 থেকে 64-এর মধ্যে একটি সংখ্যা লিখুন। ডিফল্ট 8।
3. Save (সেভ করুন) চাপুন। রিলোড করার পরও নতুন সংখ্যাটি থেকে যাবে।

এই সর্বনিম্ন সীমা প্রতিটি নতুন পাসওয়ার্ডে খাটে: প্রথম মালিক, গ্রহণ করা আমন্ত্রণ, My account (আমার অ্যাকাউন্ট)-এ করা পরিবর্তন এবং holyarrs reset-owner। আগের পাসওয়ার্ড পরের পরিবর্তন পর্যন্ত চলতে থাকে। সবচেয়ে লম্বা পাসওয়ার্ড 1024 অক্ষরের।

Caution

HolyArrs বারবার ভুল সাইন ইন ধীর করে দেয়, তবুও ছোট পাসওয়ার্ড সহজে আন্দাজ করা যায়। বাসার বাইরে থেকে HolyArrs-এ ঢোকা গেলে 12 বা তার বেশি অক্ষর রাখুন।

আমার লোকাল নেটওয়ার্কে সাইন ইন বাদ দিন

বাসার নেটওয়ার্কের ডিভাইসগুলো পাসওয়ার্ড ছাড়াই মালিক হিসেবে HolyArrs খোলে। ডিফল্টে বন্ধ থাকে।

1. Settings > Sign-in and security > Local network (লোকাল নেটওয়ার্ক) খুলুন।
2. আপনার নেটওয়ার্কগুলো এক লাইনে একটি করে লিখুন, সর্বোচ্চ 32টি। রেঞ্জ (192.168.1.0/24, fd00::/8) বা একটি ঠিকানা (192.168.1.20) দিতে পারেন।
3. সুইচ চালু করে সেভ করুন। কার্ডে আপনি নিজের ঠিকানা দেখতে পাবেন।

তালিকা ফাঁকা থাকলে, বা কোনো Kid account (বাচ্চাদের অ্যাকাউন্ট) থাকলে সুইচ চালু করা যায় না। API কী বানানো, সাইন ইন সেটিংস বদলানো, সিক্রেট পড়া বা পাল্টানো এবং ব্যাকআপ রিস্টোর করতে তখনও পাসওয়ার্ড চাওয়া হয়।

আগে ঠিকানা দেখে নিন

কিছু সেটআপে সব ডিভাইস একটিমাত্র গেটওয়ে ঠিকানা হয়ে দেখা দেয়: Docker Desktop, rootless Docker বা Podman, আর Kubernetes NodePort। সাধারণ ঠিকানাগুলো হলো 172.17.0.1, 172.18.0.1 ও তার পরের, 10.88.0.1, 10.89.x.1, 10.0.2.2 এবং 192.168.65.x।

এর কোনোটি তালিকায় দিলে HolyArrs-এ যে-ই পৌঁছাবে সে মালিক হয়ে ঢুকে যাবে। কোনো এন্ট্রি এমন দেখালে কার্ড সতর্ক করে। পেজটি দ্বিতীয় একটি ডিভাইস থেকে খুলুন: একই ঠিকানা দেখালে সুইচ বন্ধ করুন এবং ওই এন্ট্রি মুছে দিন।

রিভার্স প্রক্সির পেছনে থাকলে HolyArrs ফরওয়ার্ড করা ঠিকানা শুধু HOLYARRS_TRUSTED_PROXIES-এ থাকা প্রক্সি থেকেই পড়ে। না হলে কার্ডে কোনো ঠিকানা দেখায় না, আর জানায় যে প্রক্সিটি বিশ্বস্ত নয়।

সিঙ্গেল সাইন-অন

একটি OpenID Connect প্রোভাইডার মানুষকে সাইন ইন করাতে পারে। এটি সাইন ইন পেজে একটি বোতাম হয়ে দেখা দেয়।

1. Settings > Sign-in and security > Single sign-on (সিঙ্গেল সাইন-অন) খুলুন।
2. প্রোভাইডারের issuer লিখে Test (টেস্ট) চাপুন। টেস্টে কোনো সিক্রেট পাঠানো হয় না।
3. client id আর client secret লিখুন। প্রোভাইডার সিক্রেট ব্যবহার না করলে Public client (পাবলিক ক্লায়েন্ট) টিক দিন।
4. Callback address (কলব্যাক ঠিকানা) কপি করে ঠিক ওই ঠিকানাটাই প্রোভাইডারে রেজিস্টার করুন।
5. আপনার পাসওয়ার্ড লিখুন, টু-ফ্যাক্টর কোড ব্যবহার করলে সেটিও, তারপর Save চাপুন। প্রতিটি পরিবর্তনে এটি চাওয়া হয়।

এরপর নিজের অ্যাকাউন্ট লিংক করুন: পাসওয়ার্ড দিয়ে সাইন ইন করুন, My account খুলুন, Linked sign-ins (লিংক করা সাইন ইন)-এর নিচে Link (লিংক) চাপুন, পাসওয়ার্ড নিশ্চিত করুন, তারপর Single sign-on বেছে নিন।

Tip

একটি কাজ করা মালিকের পাসওয়ার্ড রেখে দিন। প্রোভাইডার বন্ধ থাকলেও পাসওয়ার্ড দিয়ে সাইন ইন চলে।

বিকল্প

সিঙ্গেল সাইন-অনের মাধ্যমে নতুন মানুষকে যোগ দিতে দিন

ডিফল্টে বন্ধ। চালু থাকলে প্রোভাইডার যাকেই সাইন ইন করাবে সে একটি অ্যাকাউন্ট পাবে, তাই HolyArrs আপনার নিশ্চিতকরণ চায়। নতুনরা সদস্য হিসেবে যোগ দেয়, যারা শুধু অনুরোধ করতে পারে। সিঙ্গেল সাইন-অন কখনো মালিক বা অ্যাডমিন বানায় না।

issuer বা client id বদলান

সিক্রেট আবার লিখতে হবে। পুরোনো লিংকগুলো সরে যায় এবং যাঁরা সিঙ্গেল সাইন-অন ব্যবহার করতেন সবাই সাইন আউট হয়ে যান। তাঁরা My account থেকে আবার লিংক করেন। সিঙ্গেল সাইন-অন বন্ধ করলেও তাঁরা সাইন আউট হয়ে যান।

একটি সাইন ইনের লিংক সরান

• নিজের: My account > Linked sign-ins > Unlink (লিংক সরান)। এর জন্য সাম্প্রতিক পাসওয়ার্ড নিশ্চিতকরণ লাগে, আর ঢোকার ওটাই একমাত্র পথ হলে এটি প্রত্যাখ্যান হয়।
• যে কারও: মালিক Settings > Users and roles (ইউজার ও রোল) ব্যবহার করেন। ওটাই ওই ব্যক্তির ঢোকার একমাত্র পথ হলে HolyArrs আরও একবার জিজ্ঞেস করে।

লিংক সরালে যে ডিভাইসগুলো ওটা ব্যবহার করত সেগুলো সাইন আউট হয়ে যায়। যোগ দেওয়া খোলা থাকলে একই ব্যক্তি নতুন সদস্য হয়ে ফিরে আসতে পারে। তাকে আটকাতে যোগ দেওয়া বন্ধ করুন।

কাজ না করলে

লক্ষণ: HolyArrs আবার আপনার পাসওয়ার্ড চায়। কারণ: অ্যাকাউন্ট, কী ও সেটিংসের পরিবর্তনে শেষ 10 মিনিটের মধ্যে পাসওয়ার্ড নিশ্চিত করতে হয়, আর সেট করা থাকলে টু-ফ্যাক্টরও। বাইরের সাইন ইন এবং লোকাল নেটওয়ার্কের শর্টকাট এখানে ধরা হয় না। সমাধান: পাসওয়ার্ড দিয়ে নিশ্চিত করুন। সাইন আউট করা আর ডিভাইস শেষ করতে কখনো চাওয়া হয় না।

লক্ষণ: একটি ছোট এরর দিয়ে কলব্যাক ব্যর্থ হয়েছে, আর আপনি সাইন আউট অবস্থায় থাকছেন। কারণ: প্রোভাইডারে দেওয়া কলব্যাক ঠিকানা HolyArrs-এর ঠিকানার সঙ্গে মেলে না। সমাধান: Callback address আবার কপি করে প্রোভাইডারে হুবহু পেস্ট করুন।

লক্ষণ: সিঙ্গেল সাইন-অনে বানানো অ্যাকাউন্টে পাসওয়ার্ড সেট করা যাচ্ছে না। কারণ: এই ভার্সনে এটি সম্ভব নয়। সমাধান: আগে লোকাল মালিক বানান, তারপর তাতে সিঙ্গেল সাইন-অন লিংক করুন।

লক্ষণ: HolyArrs থেকে সাইন আউট করার পরও প্রোভাইডারে সাইন ইন থেকে গেছে। কারণ: HolyArrs শুধু নিজের সাইন ইন শেষ করে। সমাধান: শেয়ার করা ডিভাইসে প্রোভাইডার থেকেও সাইন আউট করুন।

মালিকের পাসওয়ার্ড হারিয়ে ফেলেছেন? দেখুন সেশন ও পাসওয়ার্ড।

বিশেষজ্ঞদের জন্য

ট্রাস্টেড প্রক্সি সাইন ইন

কোনো রিভার্স প্রক্সি আগে থেকেই মানুষকে সাইন ইন করালে HolyArrs তার পাঠানো নামটি মেনে নেয়। এটি শুধু এনভায়রনমেন্টে সেট করুন। এটি সাইন ইন পেজে একটি বোতাম হয়ে দেখা দেয়; শুধু হেডার দেখে কেউ কখনো সাইন ইন হয়ে যায় না।

• প্রক্সি আসা Remote-User ও Remote-Name সরিয়ে ফেলে এবং সাইন ইনের পর নিজেরটি বসায়।
• Remote-User: একটি স্থির নাম, সর্বোচ্চ 255 বাইট। Remote-Name: ঐচ্ছিক দেখানোর নাম, সর্বোচ্চ 200 বাইট।
• বারবার আসা, কমা দিয়ে জোড়া বা কন্ট্রোল ক্যারেক্টারসহ মান প্রত্যাখ্যান করা হয়। রোলের হেডার উপেক্ষা করা হয়।

HolyArrs শুধু ওই প্রক্সির মধ্য দিয়েই ঢোকার মতো রাখুন। কোনো প্রক্সির ঠিকানা বিশ্বাস করা মানে সে যত নাম পাঠায় সবই বিশ্বাস করা। এটি অ্যাকাউন্টে লিংক করুন My account > Link trusted proxy sign-in (ট্রাস্টেড প্রক্সি সাইন ইন লিংক করুন) থেকে।

এনভায়রনমেন্ট ভেরিয়েবল

চালু করার আগে এগুলো সেট করুন। দুটি পদ্ধতিই চালু না করলে বন্ধ থাকে। ভুল সেটআপে HolyArrs চালুই হয় না; প্রোভাইডার বন্ধ থাকলে পাসওয়ার্ড সাইন ইন চলতে থাকে। HOLYARRS_OIDC_ENABLED যদি কোনোভাবে সেট করা থাকে, false হলেও, তাহলে সিঙ্গেল সাইন-অন এনভায়রনমেন্টের হাতে থাকে এবং Settings শুধু সেটি দেখায়।

ভেরিয়েবল	এটি কী করে	ডিফল্ট
HOLYARRS_OIDC_ENABLED	সিঙ্গেল সাইন-অন চালু করে	false
HOLYARRS_OIDC_ISSUER	প্রোভাইডারের হুবহু HTTPS issuer	নেই
HOLYARRS_OIDC_CLIENT_ID	রেজিস্টার করা client id	নেই
HOLYARRS_OIDC_CLIENT_SECRET_FILE	client secret রাখা ফাইল, সর্বোচ্চ 4096 বাইট। পাবলিক ক্লায়েন্টের জন্য বাদ দিন	নেই
HOLYARRS_OIDC_REDIRECT_URL	হুবহু HTTPS কলব্যাক: আপনার ঠিকানা, থাকলে URL base, তারপর /api/v1/auth/oidc/callback	নেই
HOLYARRS_OIDC_ALLOW_JOIN	নতুনরা সদস্য হিসেবে যোগ দেয়, যারা শুধু অনুরোধ করতে পারে	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	আপনার প্রাইভেট নেটওয়ার্কের প্রোভাইডারকে অনুমতি দেয়	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	টেস্টের জন্য loopback-এ সাধারণ HTTP-র অনুমতি দেয়	false
HOLYARRS_FORWARD_AUTH_ENABLED	ট্রাস্টেড প্রক্সি সাইন ইন চালু করে	false
HOLYARRS_FORWARD_AUTH_ISSUER	এই প্রক্সির জন্য একটি স্থির HTTPS নাম। নতুন মান নতুন সোর্স হিসেবে গণ্য হয়	নেই
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	কমা দিয়ে আলাদা করা প্রক্সি ঠিকানা বা রেঞ্জ। আবশ্যক। সব ঠিকানার রেঞ্জ প্রত্যাখ্যান করা হয়	নেই
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	প্রক্সির নতুন নামগুলো সদস্য হিসেবে যোগ দেয়, যারা শুধু অনুরোধ করতে পারে	false

ALLOW_LOCAL_NETWORK ও ALLOW_LOOPBACK_HTTP এই দুটি সেটিং Settings-এ সেটআপ করা সিঙ্গেল সাইন-অনের ক্ষেত্রেও খাটে।

সিঙ্গেল সাইন-অন কীভাবে কাজ করে

• প্রোভাইডারকে PKCE S256 ও RS256 টোকেনসহ authorization code সাইন ইন সমর্থন করতে হবে, আর প্রতিটি endpoint থাকতে হবে issuer-এর origin-এ।
• অ্যাকাউন্ট মেলানো হয় প্রোভাইডারের নিজের অ্যাকাউন্ট id দিয়ে, কখনো ইমেইল দিয়ে নয়।
• প্রোভাইডারের রোল ও গ্রুপ ব্যবহার করা হয় না।
• client secret এনক্রিপ্টেড অবস্থায় রাখা হয় এবং আর কখনো দেখানো হয় না। রাখতে চাইলে ঘরটি ফাঁকা রাখুন।

সংশ্লিষ্ট

• ইউজার ও রোল
• সেশন ও পাসওয়ার্ড
• বাচ্চাদের অ্যাকাউন্ট
• URL base ও রিভার্স প্রক্সি