Σύνδεση και κωδικοί πρόσβασης

Ρύθμιση

Αποφάσισε πώς συνδέονται οι χρήστες: μήκος κωδικού πρόσβασης, μια συντόμευση για το οικιακό δίκτυο και σύνδεση από έξω. Μόνο ο ιδιοκτήτης τα αλλάζει, στο Settings > Sign-in and security (Ρυθμίσεις > Σύνδεση και ασφάλεια).

Όρισε τον πιο σύντομο κωδικό πρόσβασης

Άνοιξε το Settings > Sign-in and security > Passwords (Ρυθμίσεις > Σύνδεση και ασφάλεια > Κωδικοί πρόσβασης).
Γράψε έναν αριθμό από 4 έως 64. Η προεπιλογή είναι 8.
Πάτησε Save (Αποθήκευση). Θα πρέπει να δεις ότι ο νέος αριθμός μένει και μετά από ανανέωση της σελίδας.

Το ελάχιστο ισχύει για κάθε νέο κωδικό πρόσβασης: του πρώτου ιδιοκτήτη, των προσκλήσεων που γίνονται δεκτές, των αλλαγών στο My account (ο λογαριασμός μου) και του holyarrs reset-owner. Οι υπάρχοντες κωδικοί συνεχίζουν να δουλεύουν μέχρι την επόμενη αλλαγή τους. Ο μεγαλύτερος κωδικός πρόσβασης έχει 1024 χαρακτήρες.

Παράλειψε τη σύνδεση στο τοπικό μου δίκτυο

Οι συσκευές του οικιακού σου δικτύου ανοίγουν το HolyArrs ως ιδιοκτήτης, χωρίς κωδικό πρόσβασης. Είναι απενεργοποιημένο από προεπιλογή.

Άνοιξε το Settings > Sign-in and security > Local network (Ρυθμίσεις > Σύνδεση και ασφάλεια > Τοπικό δίκτυο).
Γράψε τα δίκτυά σου, ένα ανά γραμμή, έως 32. Χρησιμοποίησε εύρος (192.168.1.0/24, fd00::/8) ή μία διεύθυνση (192.168.1.20).
Ενεργοποίησε τον διακόπτη και αποθήκευσε. Θα πρέπει να δεις τη δική σου διεύθυνση στην κάρτα.

Ο διακόπτης δεν μπορεί να είναι ενεργός με άδεια λίστα, ούτε όσο υπάρχει οποιοσδήποτε λογαριασμός παιδιού. Η δημιουργία κλειδιών API, η αλλαγή των ρυθμίσεων σύνδεσης, η ανάγνωση ή αντικατάσταση μυστικών και η επαναφορά αντιγράφων ασφαλείας ζητούν πάντα κωδικό πρόσβασης.

Έλεγξε πρώτα τη διεύθυνση

Ορισμένες ρυθμίσεις κάνουν κάθε συσκευή να φαίνεται ως μία διεύθυνση πύλης: Docker Desktop, rootless Docker ή Podman και Kubernetes NodePort. Τυπικές είναι οι 172.17.0.1, 172.18.0.1 και πάνω, 10.88.0.1, 10.89.x.1, 10.0.2.2 και 192.168.65.x.

Αν βάλεις μία από αυτές στη λίστα, όποιος φτάνει στο HolyArrs μπαίνει ως ιδιοκτήτης. Η κάρτα προειδοποιεί όταν μια καταχώριση μοιάζει με τέτοια. Άνοιξε τη σελίδα από δεύτερη συσκευή: αν δείχνει την ίδια διεύθυνση, απενεργοποίησε τον διακόπτη και αφαίρεσε αυτή την καταχώριση.

Πίσω από reverse proxy, το HolyArrs διαβάζει τη διεύθυνση που προωθείται μόνο από proxies που βρίσκονται στο HOLYARRS_TRUSTED_PROXIES. Αλλιώς η κάρτα δεν δείχνει διεύθυνση και λέει ότι το proxy δεν είναι αξιόπιστο.

Ενιαία σύνδεση

Ένας πάροχος OpenID Connect μπορεί να συνδέει τους χρήστες. Εμφανίζεται ως κουμπί στη σελίδα σύνδεσης.

Άνοιξε το Settings > Sign-in and security > Single sign-on (Ρυθμίσεις > Σύνδεση και ασφάλεια > Ενιαία σύνδεση).
Γράψε τον issuer του παρόχου και πάτησε Test (Δοκιμή). Για τη δοκιμή δεν στέλνεται κανένα μυστικό.
Γράψε το client id και το client secret. Τσέκαρε το Public client (δημόσιος client) αν ο πάροχος δεν χρησιμοποιεί μυστικό.
Αντίγραψε τη Callback address (διεύθυνση callback) και δήλωσε ακριβώς αυτή τη διεύθυνση στον πάροχο.
Γράψε τον κωδικό πρόσβασής σου, και έναν κωδικό δύο παραγόντων αν χρησιμοποιείς, και πάτησε Save. Κάθε αλλαγή το ζητά.

Μετά σύνδεσε τον δικό σου λογαριασμό: συνδέσου με τον κωδικό πρόσβασής σου, άνοιξε το My account, κάτω από το Linked sign-ins (συνδεδεμένες είσοδοι) πάτησε Link (σύνδεση), επιβεβαίωσε τον κωδικό πρόσβασής σου και πάτησε Single sign-on.

Επιλογές

Άφησε νέους χρήστες να μπαίνουν με ενιαία σύνδεση

Είναι απενεργοποιημένο από προεπιλογή. Όταν είναι ενεργό, όποιος συνδεθεί μέσω του παρόχου παίρνει λογαριασμό, γι’ αυτό το HolyArrs σου ζητά επιβεβαίωση. Οι νεοεισερχόμενοι μπαίνουν ως μέλη που μπορούν μόνο να ζητούν. Η ενιαία σύνδεση δεν φτιάχνει ποτέ ιδιοκτήτη ή διαχειριστή.

Άλλαξε τον issuer ή το client id

Γράφεις ξανά το μυστικό. Οι παλιές συνδέσεις αφαιρούνται και όσοι χρησιμοποιούσαν ενιαία σύνδεση αποσυνδέονται. Συνδέονται ξανά από το My account. Η απενεργοποίηση της ενιαίας σύνδεσης τους αποσυνδέει επίσης.

Αποσύνδεσε μια είσοδο

Τη δική σου: My account > Linked sign-ins > Unlink (αποσύνδεση). Χρειάζεται πρόσφατη επιβεβαίωση του κωδικού πρόσβασης και απορρίπτεται αν είναι ο μόνος τρόπος εισόδου σου.
Οποιουδήποτε: ο ιδιοκτήτης χρησιμοποιεί το Settings > Users and roles (Ρυθμίσεις > Χρήστες και ρόλοι). Αν είναι ο μόνος τρόπος εισόδου του χρήστη, το HolyArrs ρωτά άλλη μία φορά.

Όταν αποσυνδέσεις μια είσοδο, αποσυνδέονται και οι συσκευές που τη χρησιμοποιούσαν. Αν η είσοδος νέων χρηστών είναι ανοιχτή, το ίδιο άτομο μπορεί να επιστρέψει ως νέο μέλος. Απενεργοποίησε την είσοδο νέων χρηστών για να τον κρατήσεις έξω.

Αν δεν δουλεύει

Σύμπτωμα: το HolyArrs ζητά ξανά τον κωδικό πρόσβασής σου. Αιτία: οι αλλαγές σε λογαριασμούς, κλειδιά και ρυθμίσεις θέλουν επιβεβαίωση του κωδικού πρόσβασης από τα τελευταία 10 λεπτά, και δύο παράγοντες αν είναι ορισμένοι. Η σύνδεση από έξω και η συντόμευση του τοπικού δικτύου δεν μετράνε. Λύση: επιβεβαίωσε με τον κωδικό πρόσβασής σου. Η αποσύνδεση και ο τερματισμός συσκευών δεν το ζητούν ποτέ.

Σύμπτωμα: το callback απέτυχε με σύντομο σφάλμα και μένεις αποσυνδεδεμένος. Αιτία: η διεύθυνση callback στον πάροχο διαφέρει από αυτή του HolyArrs. Λύση: αντίγραψε ξανά τη Callback address και επικόλλησέ την ακριβώς όπως είναι στον πάροχο.

Σύμπτωμα: ένας λογαριασμός που φτιάχτηκε με ενιαία σύνδεση δεν μπορεί να ορίσει κωδικό πρόσβασης. Αιτία: δεν γίνεται σε αυτή την έκδοση. Λύση: φτιάξε πρώτα τον τοπικό ιδιοκτήτη και μετά σύνδεσε την ενιαία σύνδεση σε αυτόν.

Σύμπτωμα: αφού αποσυνδέθηκες από το HolyArrs, έμεινες συνδεδεμένος στον πάροχο. Αιτία: το HolyArrs τερματίζει μόνο τη δική του σύνδεση. Λύση: σε κοινόχρηστη συσκευή, αποσυνδέσου και από τον πάροχο.

Έχασες τον κωδικό πρόσβασης του ιδιοκτήτη; Δες τις Συνεδρίες και κωδικούς πρόσβασης.

Για έμπειρους

Σύνδεση μέσω αξιόπιστου proxy

Αν ένα reverse proxy συνδέει ήδη τους χρήστες, το HolyArrs δέχεται το όνομα που περνά. Όρισέ το μόνο στο περιβάλλον. Εμφανίζεται ως κουμπί στη σελίδα σύνδεσης· μια επίσκεψη δεν συνδέει ποτέ κανέναν μόνο από headers.

Το proxy αφαιρεί τα εισερχόμενα Remote-User και Remote-Name και ορίζει τα δικά του μετά τη σύνδεση.
Remote-User: ένα σταθερό όνομα, έως 255 bytes. Remote-Name: προαιρετικό όνομα εμφάνισης, έως 200 bytes.
Τιμές που επαναλαμβάνονται, χωρίζονται με κόμμα ή έχουν χαρακτήρες ελέγχου απορρίπτονται. Τα headers ρόλων αγνοούνται.

Κράτα το HolyArrs προσβάσιμο μόνο μέσω αυτού του proxy. Το να εμπιστεύεσαι τη διεύθυνση ενός proxy σημαίνει ότι εμπιστεύεσαι κάθε όνομα που στέλνει. Σύνδεσέ το με έναν λογαριασμό από το My account > Link trusted proxy sign-in (σύνδεση εισόδου μέσω αξιόπιστου proxy).

Μεταβλητές περιβάλλοντος

Όρισέ τες πριν την εκκίνηση. Και οι δύο μέθοδοι είναι απενεργοποιημένες εκτός αν τις ενεργοποιήσεις. Μια λάθος ρύθμιση εμποδίζει την εκκίνηση του HolyArrs· μια διακοπή του παρόχου αφήνει τη σύνδεση με κωδικό πρόσβασης να δουλεύει. Αν το HOLYARRS_OIDC_ENABLED είναι ορισμένο έστω και ως false, το περιβάλλον ελέγχει την ενιαία σύνδεση και οι Ρυθμίσεις μόνο την εμφανίζουν.

Μεταβλητή	Τι κάνει	Προεπιλογή
`HOLYARRS_OIDC_ENABLED`	Ενεργοποιεί την ενιαία σύνδεση	`false`
`HOLYARRS_OIDC_ISSUER`	Ο ακριβής issuer HTTPS του παρόχου	κανένα
`HOLYARRS_OIDC_CLIENT_ID`	Το δηλωμένο client id	κανένα
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	Αρχείο με το client secret, έως 4096 bytes. Παράλειψέ το για δημόσιο client	κανένα
`HOLYARRS_OIDC_REDIRECT_URL`	Ακριβές callback HTTPS: η διεύθυνσή σου, το URL base αν υπάρχει, και μετά `/api/v1/auth/oidc/callback`	κανένα
`HOLYARRS_OIDC_ALLOW_JOIN`	Οι νέοι χρήστες μπαίνουν ως μέλη που μπορούν μόνο να ζητούν	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	Επιτρέπει πάροχο στο ιδιωτικό σου δίκτυο	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	Επιτρέπει απλό HTTP στο loopback, για δοκιμές	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	Ενεργοποιεί τη σύνδεση μέσω αξιόπιστου proxy	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	Σταθερό όνομα HTTPS για αυτό το proxy. Μια νέα τιμή μετράει ως νέα πηγή	κανένα
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	Διευθύνσεις ή εύρη proxy χωρισμένα με κόμμα. Απαιτείται. Εύρος που καλύπτει όλες τις διευθύνσεις απορρίπτεται	κανένα
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	Τα νέα ονόματα proxy μπαίνουν ως μέλη που μπορούν μόνο να ζητούν	`false`

Οι δύο ρυθμίσεις ALLOW_LOCAL_NETWORK και ALLOW_LOOPBACK_HTTP ισχύουν και για την ενιαία σύνδεση που έχει οριστεί στις Ρυθμίσεις.

Πώς δουλεύει η ενιαία σύνδεση

Ο πάροχος πρέπει να υποστηρίζει σύνδεση με authorization code και PKCE S256 και tokens RS256, με κάθε endpoint στο origin του issuer.
Οι λογαριασμοί αντιστοιχίζονται με το δικό τους id λογαριασμού του παρόχου, ποτέ με email.
Οι ρόλοι και οι ομάδες του παρόχου δεν χρησιμοποιούνται.
Το client secret αποθηκεύεται κρυπτογραφημένο και δεν εμφανίζεται ποτέ ξανά. Άφησε το πεδίο κενό για να το κρατήσεις.

Σχετικά

Το HolyArrs είναι δωρεάν. Αν σου γλίτωσε χρόνο, βάλε του αστέρι στο GitHub, γίνε χορηγός ή κέρασέ με έναν καφέ.