Přihlášení a hesla

Rozhodni, jak se lidé přihlašují: jak dlouhé musí být heslo, zkratka pro domácí síť a přihlášení zvenku. Mění to jen vlastník, v Settings > Sign-in and security (Nastavení > Přihlášení a zabezpečení).

Nastavení nejkratšího hesla

1. Otevři Settings > Sign-in and security > Passwords (hesla).
2. Zadej číslo od 4 do 64. Výchozí je 8.
3. Klikni na Save (uložit). Nové číslo by mělo po obnovení stránky zůstat.

Minimum platí pro každé nové heslo: první vlastník, přijaté pozvánky, změny v My account (můj účet) a holyarrs reset-owner. Stávající hesla fungují dál, dokud je nezměníš. Nejdelší heslo má 1024 znaků.

Upozornění

HolyArrs zpomaluje opakovaná chybná přihlášení, ale krátké heslo se pořád snadno hádá. Pokud je HolyArrs dostupný zvenku, použij 12 znaků nebo víc.

Přihlášení vynechat v místní síti

Zařízení v tvé domácí síti otevřou HolyArrs jako vlastník, bez hesla. Ve výchozím stavu je to vypnuté.

1. Otevři Settings > Sign-in and security > Local network (místní síť).
2. Vypiš své sítě, jednu na řádek, nejvýše 32. Použij rozsah (192.168.1.0/24, fd00::/8) nebo jednu adresu (192.168.1.20).
3. Zapni přepínač a ulož. Na kartě by ses měl vidět se svou adresou.

Přepínač nejde zapnout s prázdným seznamem ani ve chvíli, kdy existuje nějaký dětský účet. Vytváření API klíčů, změny nastavení přihlášení, čtení nebo výměna tajných údajů a obnova záloh se pořád ptají na heslo.

Nejdřív zkontroluj adresu

Některá nastavení udělají z každého zařízení jednu adresu brány: Docker Desktop, rootless Docker nebo Podman a Kubernetes NodePort. Typické jsou 172.17.0.1, 172.18.0.1 a výš, 10.88.0.1, 10.89.x.1, 10.0.2.2 a 192.168.65.x.

Když uvedeš některou z nich, kdokoli, kdo se k HolyArrs dostane, vejde dovnitř jako vlastník. Karta varuje, když záznam takhle vypadá. Otevři stránku z druhého zařízení: pokud ukáže stejnou adresu, vypni přepínač a ten záznam odeber.

Za reverzní proxy čte HolyArrs předanou adresu jen od proxy uvedených v HOLYARRS_TRUSTED_PROXIES. Jinak karta žádnou adresu neukáže a napíše, že proxy není důvěryhodná.

Single sign-on

Lidi může přihlašovat jeden poskytovatel OpenID Connect. Na přihlašovací stránce se ukáže jako tlačítko.

1. Otevři Settings > Sign-in and security > Single sign-on.
2. Zadej issuer poskytovatele a klikni na Test. Pro test se neposílá žádný tajný údaj.
3. Zadej client id a client secret. Zaškrtni Public client (veřejný klient), pokud poskytovatel žádný tajný údaj nepoužívá.
4. Zkopíruj Callback address (adresa zpětného volání) a přesně tuto adresu zaregistruj u poskytovatele.
5. Zadej své heslo, případně i dvoufázový kód, pokud ho používáš, a klikni na Save. Ptá se na to každá změna.

Pak propoj svůj vlastní účet: přihlas se heslem, otevři My account, pod Linked sign-ins (propojená přihlášení) klikni na Link (propojit), potvrď heslo a pak klikni na Single sign-on.

Tip

Nech si funkční heslo vlastníka. Když poskytovatel vypadne, přihlášení heslem pořád funguje.

Možnosti

Nechat nové lidi připojit se přes single sign-on

Ve výchozím stavu vypnuto. Když je zapnuto, každý, koho poskytovatel přihlásí, dostane účet, proto se HolyArrs zeptá na potvrzení. Nově příchozí se připojí jako členové, kteří smějí jen žádat. Single sign-on nikdy nevytvoří vlastníka ani správce.

Změna issueru nebo client id

Tajný údaj zadáváš znovu. Staré propojení se odeberou a všichni, kdo používali single sign-on, se odhlásí. Propojí se znovu z My account. Vypnutí single sign-on je také odhlásí.

Odpojení přihlášení

• Tvého vlastního: My account > Linked sign-ins > Unlink (odpojit). Chce to nedávné potvrzení hesla a odmítne se, pokud je to tvoje jediná cesta dovnitř.
• Kohokoli: vlastník použije Settings > Users and roles (uživatelé a role). Pokud je to jediná cesta dotyčného dovnitř, HolyArrs se zeptá ještě jednou.

Odpojení odhlásí zařízení, která ho používala. Pokud je připojení otevřené, tentýž člověk se může vrátit jako nový člen. Pokud ho chceš nechat venku, vypni připojování.

Když to nefunguje

Příznak: HolyArrs se znovu ptá na heslo. Příčina: změny účtů, klíčů a nastavení chtějí potvrzení heslem z posledních 10 minut, případně i dvoufázový kód. Přihlášení zvenku a zkratka pro místní síť se nepočítají. Řešení: potvrď heslem. Odhlášení a ukončení zařízení se nikdy neptají.

Příznak: zpětné volání selhalo s krátkou chybou a zůstáváš odhlášený. Příčina: adresa zpětného volání u poskytovatele se liší od té v HolyArrs. Řešení: zkopíruj Callback address znovu a vlož ji u poskytovatele přesně tak, jak je.

Příznak: účet vytvořený přes single sign-on nemůže nastavit heslo. Příčina: v této verzi to nejde. Řešení: nejdřív vytvoř místního vlastníka a pak k němu propoj single sign-on.

Příznak: po odhlášení z HolyArrs jsi zůstal přihlášený u poskytovatele. Příčina: HolyArrs ukončuje jen vlastní přihlášení. Řešení: na sdíleném zařízení se odhlas i u poskytovatele.

Ztratil jsi heslo vlastníka? Viz Relace a hesla.

Pro pokročilé

Přihlášení přes důvěryhodné proxy

Pokud lidi už přihlašuje reverzní proxy, HolyArrs přijme jméno, které předá. Nastavuje se jen v prostředí. Na přihlašovací stránce se ukáže jako tlačítko; návštěva nikoho nepřihlásí jen na základě hlaviček.

• Proxy odstraní příchozí Remote-User a Remote-Name a po přihlášení nastaví své vlastní.
• Remote-User: jedno stálé jméno, nejvýše 255 bajtů. Remote-Name: volitelné zobrazované jméno, nejvýše 200 bajtů.
• Opakované hodnoty, hodnoty spojené čárkou nebo s řídicími znaky se odmítnou. Hlavičky rolí se ignorují.

Nech HolyArrs dostupný jen přes tu proxy. Důvěřovat adrese proxy znamená důvěřovat každému jménu, které pošle. Propoj ho s účtem v My account > Link trusted proxy sign-in (propojit přihlášení přes důvěryhodné proxy).

Proměnné prostředí

Nastav je před spuštěním. Obě metody jsou vypnuté, dokud je nezapneš. Chybné nastavení zabrání spuštění HolyArrs; výpadek poskytovatele nechá přihlášení heslem fungovat. Pokud je HOLYARRS_OIDC_ENABLED nastavena vůbec, i na false, single sign-on řídí prostředí a Settings ho jen zobrazí.

Proměnná	Co dělá	Výchozí
HOLYARRS_OIDC_ENABLED	Zapne single sign-on	false
HOLYARRS_OIDC_ISSUER	Přesný HTTPS issuer poskytovatele	žádný
HOLYARRS_OIDC_CLIENT_ID	Registrované client id	žádné
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Soubor s client secret, nejvýše 4096 bajtů. U veřejného klienta vynech	žádný
HOLYARRS_OIDC_REDIRECT_URL	Přesné HTTPS zpětné volání: tvá adresa, případně URL base, pak /api/v1/auth/oidc/callback	žádné
HOLYARRS_OIDC_ALLOW_JOIN	Noví lidé se připojí jako členové, kteří smějí jen žádat	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Povolí poskytovatele ve tvé soukromé síti	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Povolí prosté HTTP na loopbacku, pro testování	false
HOLYARRS_FORWARD_AUTH_ENABLED	Zapne přihlášení přes důvěryhodné proxy	false
HOLYARRS_FORWARD_AUTH_ISSUER	Stálé HTTPS jméno této proxy. Nová hodnota se počítá jako nový zdroj	žádné
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Adresy nebo rozsahy proxy oddělené čárkou. Povinné. Rozsah všech adres se odmítne	žádné
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Nová jména z proxy se připojí jako členové, kteří smějí jen žádat	false

Obě nastavení ALLOW_LOCAL_NETWORK a ALLOW_LOOPBACK_HTTP platí i pro single sign-on nastavené v Settings.

Jak funguje single sign-on

• Poskytovatel musí podporovat přihlášení autorizačním kódem s PKCE S256 a tokeny RS256, přičemž každý koncový bod leží na původu issueru.
• Účty se párují podle vlastního id účtu u poskytovatele, nikdy podle e-mailu.
• Role a skupiny poskytovatele se nepoužívají.
• Client secret se ukládá šifrovaně a už se nikdy nezobrazí. Nech pole prázdné, pokud ho chceš zachovat.

Související

• Uživatelé a role
• Relace a hesla
• Dětské účty
• URL base a reverzní proxy