Login og adgangskoder

Bestem, hvordan folk logger ind: længden på adgangskoden, en genvej for hjemmenetværket og login udefra. Kun ejeren kan ændre dette, under Settings > Sign-in and security (Indstillinger > Login og sikkerhed).

Sæt den korteste adgangskode

1. Åbn Settings > Sign-in and security > Passwords (Indstillinger > Login og sikkerhed > Adgangskoder).
2. Skriv et tal fra 4 til 64. Standard er 8.
3. Klik på Save (gem). Du bør kunne se, at det nye tal står der stadig efter en genindlæsning.

Minimumslængden gælder for alle nye adgangskoder: den første ejer, accepterede invitationer, ændringer under My account (min konto) og holyarrs reset-owner. Eksisterende adgangskoder virker, indtil de næste gang bliver ændret. Den længste adgangskode er 1024 tegn.

Bemærk

HolyArrs bremser gentagne forkerte loginforsøg, men en kort adgangskode er stadig let at gætte. Hvis HolyArrs kan nås uden for dit hjem, så brug 12 tegn eller flere.

Spring login over på mit lokale netværk

Enheder på dit hjemmenetværk åbner HolyArrs som ejer, uden adgangskode. Slået fra som standard.

1. Åbn Settings > Sign-in and security > Local network (Indstillinger > Login og sikkerhed > Lokalt netværk).
2. List dine netværk, ét pr. linje, op til 32. Brug et område (192.168.1.0/24, fd00::/8) eller én adresse (192.168.1.20).
3. Slå kontakten til, og gem. Du bør kunne se din egen adresse på kortet.

Kontakten kan ikke være slået til med en tom liste eller så længe der findes en børnekonto. Oprettelse af API-nøgler, ændring af loginindstillinger, læsning eller udskiftning af hemmeligheder og gendannelse af backups kræver stadig en adgangskode.

Tjek adresse først

Nogle opsætninger får alle enheder til at ligne én gateway-adresse: Docker Desktop, rootless Docker eller Podman og Kubernetes NodePort. Typiske eksempler er 172.17.0.1, 172.18.0.1 og opefter, 10.88.0.1, 10.89.x.1, 10.0.2.2 og 192.168.65.x.

Hvis du lister en af dem, kommer alle, der kan nå HolyArrs, ind som ejer. Kortet advarer, når en linje ligner en af dem. Åbn siden fra en anden enhed: hvis den viser den samme adresse, så slå kontakten fra og fjern den linje.

Bag en reverse proxy læser HolyArrs kun den videresendte adresse fra proxyer i HOLYARRS_TRUSTED_PROXIES. Ellers viser kortet ingen adresse og siger, at proxyen ikke er betroet.

Single sign-on

Én OpenID Connect-udbyder kan logge folk ind. Den vises som en knap på loginsiden.

1. Åbn Settings > Sign-in and security > Single sign-on.
2. Skriv udbyderens issuer, og klik på Test. Der sendes ingen hemmelighed med til testen.
3. Skriv client id og client secret. Sæt kryds ved Public client (offentlig klient), hvis udbyderen ikke bruger nogen hemmelighed.
4. Kopier Callback address (callback-adresse), og registrer præcis den adresse hos udbyderen.
5. Skriv din adgangskode, plus en tofaktorkode, hvis du bruger en, og klik på Save. Hver ændring kræver dette.

Forbind derefter din egen konto: log ind med din adgangskode, åbn My account, klik på Link (forbind) under Linked sign-ins (forbundne logins), bekræft din adgangskode, og klik så på Single sign-on.

Tip

Behold en fungerende ejeradgangskode. Hvis udbyderen er nede, virker login med adgangskode stadig.

Valg

Lad nye folk tilmelde sig via single sign-on

Slået fra som standard. Når det er slået til, får alle, som udbyderen logger ind, en konto, så HolyArrs beder dig bekræfte. Nytilkomne bliver medlemmer, der kun kan ønske. Single sign-on laver aldrig en ejer eller admin.

Ændre issuer eller client id

Du skriver hemmeligheden igen. Gamle forbindelser fjernes, og alle, der brugte single sign-on, bliver logget ud. De forbinder igen fra My account. Hvis du slår single sign-on fra, bliver de også logget ud.

Frakoble et login

• Dit eget: My account > Linked sign-ins > Unlink (frakobl). Det kræver en nylig bekræftelse af adgangskoden og bliver afvist, hvis det er din eneste vej ind.
• Andres: ejeren bruger Settings > Users and roles (Indstillinger > Brugere og roller). Hvis det er personens eneste vej ind, spørger HolyArrs en gang til.

Når du frakobler, bliver de enheder, der brugte det, logget ud. Hvis tilmelding er åben, kan den samme person komme tilbage som nyt medlem. Slå tilmelding fra for at holde vedkommende ude.

Hvis det ikke virker

Symptom: HolyArrs spørger igen efter din adgangskode. Årsag: ændringer af konti, nøgler og indstillinger kræver en bekræftelse af adgangskoden inden for de sidste 10 minutter, plus tofaktor, hvis den er sat. Login udefra og genvejen for det lokale netværk tæller ikke med. Løsning: bekræft med din adgangskode. Når du logger ud eller afslutter enheder, bliver du aldrig spurgt.

Symptom: et callback fejlede med en kort fejl, og du forbliver logget ud. Årsag: callback-adressen hos udbyderen er en anden end i HolyArrs. Løsning: kopier Callback address igen, og indsæt den præcis, som den er, hos udbyderen.

Symptom: en konto oprettet via single sign-on kan ikke sætte en adgangskode. Årsag: det er ikke muligt i denne version. Løsning: lav først den lokale ejer, og forbind så single sign-on til den.

Symptom: da du loggede ud af HolyArrs, var du stadig logget ind hos udbyderen. Årsag: HolyArrs afslutter kun sit eget login. Løsning: log også ud hos udbyderen på en delt enhed.

Har du mistet ejerens adgangskode? Se Sessioner og adgangskoder.

For erfarne

Login via betroet proxy

Hvis en reverse proxy allerede logger folk ind, accepterer HolyArrs det navn, den sender med. Sæt det kun i miljøet. Det vises som en knap på loginsiden; et besøg logger aldrig nogen ind alene ud fra headers.

• Proxyen fjerner indkommende Remote-User og Remote-Name og sætter sine egne efter login.
• Remote-User: ét stabilt navn, højst 255 bytes. Remote-Name: valgfrit visningsnavn, højst 200 bytes.
• Gentagne værdier, værdier adskilt med komma og værdier med kontroltegn bliver afvist. Rolle-headers bliver ignoreret.

Sørg for, at HolyArrs kun kan nås gennem den proxy. Hvis du stoler på en proxys adresse, stoler du på alle de navne, den sender. Forbind den til en konto fra My account > Link trusted proxy sign-in (forbind login via betroet proxy).

Miljøvariabler

Sæt disse før start. Begge metoder er slået fra, medmindre de slås til. En forkert opsætning forhindrer HolyArrs i at starte; hvis udbyderen er nede, virker login med adgangskode stadig. Hvis HOLYARRS_OIDC_ENABLED er sat, selv til false, ejer miljøet single sign-on, og Settings viser det kun.

Variabel	Hvad den gør	Standard
HOLYARRS_OIDC_ENABLED	Slå single sign-on til	false
HOLYARRS_OIDC_ISSUER	Udbyderens præcise HTTPS-issuer	ingen
HOLYARRS_OIDC_CLIENT_ID	Registreret client id	ingen
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Fil med client secret, højst 4096 bytes. Udelad den for en offentlig klient	ingen
HOLYARRS_OIDC_REDIRECT_URL	Præcis HTTPS-callback: din adresse, URL base hvis der er en, og så /api/v1/auth/oidc/callback	ingen
HOLYARRS_OIDC_ALLOW_JOIN	Nye folk bliver medlemmer, der kun kan ønske	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Tillad en udbyder på dit private netværk	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Tillad almindelig HTTP på loopback, til test	false
HOLYARRS_FORWARD_AUTH_ENABLED	Slå login via betroet proxy til	false
HOLYARRS_FORWARD_AUTH_ISSUER	Stabilt HTTPS-navn til denne proxy. En ny værdi tæller som en ny kilde	ingen
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Proxyadresser eller -områder adskilt med komma. Påkrævet. Et område med alle adresser bliver afvist	ingen
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Nye proxynavne bliver medlemmer, der kun kan ønske	false

De to indstillinger ALLOW_LOCAL_NETWORK og ALLOW_LOOPBACK_HTTP gælder også for single sign-on, der er sat op i Settings.

Sådan virker single sign-on

• Udbyderen skal understøtte login med authorization code med PKCE S256 og RS256-tokens, og alle endpoints skal ligge på issuerens origin.
• Konti matches på udbyderens eget konto-id, aldrig på e-mail.
• Udbyderens roller og grupper bruges ikke.
• Client secret gemmes krypteret og vises aldrig igen. Lad feltet stå tomt for at beholde den.

Se også

• Brugere og roller
• Sessioner og adgangskoder
• Børnekonti
• URL base og reverse proxy