Sisselogimine ja paroolid

Otsusta, kuidas inimesed sisse logivad: parooli pikkus, koduvõrgu otsetee ja sisselogimine väljastpoolt. Neid sätteid muudab ainult omanik, kohas Settings > Sign-in and security (seaded > sisselogimine ja turvalisus).

Määra lühim parool

1. Ava Settings > Sign-in and security > Passwords (paroolid).
2. Sisesta arv vahemikus 4 kuni 64. Vaikeväärtus on 8.
3. Vajuta Save (salvesta). Näed, et uus arv jääb alles ka pärast lehe uuesti laadimist.

Miinimum kehtib igale uuele paroolile: esimese omaniku parool, vastu võetud kutsete paroolid, muudatused lehel My account (minu konto) ja holyarrs reset-owner. Olemasolevad paroolid töötavad edasi, kuni neid järgmine kord muudetakse. Pikim parool on 1024 märki.

Caution

HolyArrs aeglustab korduvaid valesid sisselogimisi, aga lühikest parooli on ikkagi lihtne ära arvata. Kui HolyArrs on kättesaadav väljastpoolt sinu kodu, kasuta 12 märki või rohkem.

Jäta sisselogimine oma kohtvõrgus vahele

Koduvõrgu seadmed avavad HolyArrsi omanikuna, ilma paroolita. Vaikimisi on see välja lülitatud.

1. Ava Settings > Sign-in and security > Local network (kohtvõrk).
2. Pane kirja oma võrgud, üks rea kohta, kuni 32. Kasuta vahemikku (192.168.1.0/24, fd00::/8) või ühte aadressi (192.168.1.20).
3. Lülita lüliti sisse ja salvesta. Näed kaardil oma aadressi.

Lüliti ei saa olla sees tühja loendiga ega siis, kui olemas on mõni lapse konto. API-võtmete tegemine, sisselogimissätete muutmine, saladuste lugemine või asendamine ja varukoopiate taastamine küsivad siiski parooli.

Kontrolli aadressi enne

Mõnes seadistuses paistavad kõik seadmed ühe lüüsiaadressina: Docker Desktop, rootless Docker või Podman ja Kubernetes NodePort. Tüüpilised on 172.17.0.1, 172.18.0.1 ja suuremad, 10.88.0.1, 10.89.x.1, 10.0.2.2 ja 192.168.65.x.

Pane loendisse selline aadress ja igaüks, kes HolyArrsini jõuab, pääseb sisse omanikuna. Kaart hoiatab, kui kirje näeb selline välja. Ava leht teisest seadmest: kui see näitab sama aadressi, lülita lüliti välja ja eemalda see kirje.

Reverse proxy taga loeb HolyArrs edastatud aadressi ainult nendelt proxydelt, mis on loendis HOLYARRS_TRUSTED_PROXIES. Muidu kaart aadressi ei näita ja ütleb, et proxyt ei usaldata.

Single sign-on

Inimesi saab sisse logida üks OpenID Connect pakkuja. See ilmub sisselogimislehel nupuna.

1. Ava Settings > Sign-in and security > Single sign-on (ühekordne sisselogimine).
2. Sisesta pakkuja issuer ja vajuta Test (testi). Testiks ei saadeta ühtegi saladust.
3. Sisesta client id ja client secret. Märgi linnuke kasti Public client (avalik klient), kui pakkuja saladust ei kasuta.
4. Kopeeri Callback address (tagasikutse aadress) ja registreeri täpselt see aadress pakkuja juures.
5. Sisesta oma parool, ning kui kasutad kaheastmelist sisselogimist, ka selle kood, ja vajuta Save. Iga muudatus küsib seda.

Seejärel ühenda oma konto: logi sisse parooliga, ava My account, vajuta jaotises Linked sign-ins (ühendatud sisselogimised) nuppu Link (ühenda), kinnita oma parool ja vali siis Single sign-on.

Tip

Hoia töötav omaniku parool alles. Kui pakkuja on maas, töötab parooliga sisselogimine ikka.

Valikud

Lase uutel inimestel single sign-oni kaudu liituda

Vaikimisi välja lülitatud. Sees olles saab konto igaüks, kelle pakkuja sisse logib, seepärast palub HolyArrs sul seda kinnitada. Uustulnukad liituvad liikmetena, kes saavad ainult soovida. Single sign-on ei tee kunagi omanikku ega adminni.

Muuda issuerit või client id-d

Sisesta saladus uuesti. Vanad ühendused eemaldatakse ja kõik, kes single sign-oni kasutasid, logitakse välja. Nad ühendavad end uuesti lehel My account. Ka single sign-oni välja lülitamine logib nad välja.

Katkesta sisselogimise ühendus

• Sinu oma: My account > Linked sign-ins > Unlink (katkesta ühendus). See vajab hiljutist parooli kinnitust ja see lükatakse tagasi, kui see on sinu ainus sisenemistee.
• Kellegi teise oma: omanik kasutab Settings > Users and roles (kasutajad ja rollid). Kui see on inimese ainus sisenemistee, küsib HolyArrs veel kord üle.

Ühenduse katkestamine logib välja seadmed, mis seda kasutasid. Kui liitumine on lahti, võib sama inimene tulla tagasi uue liikmena. Lülita liitumine välja, et ta ei pääseks.

Kui see ei tööta

Sümptom: HolyArrs küsib sinu parooli uuesti. Põhjus: konto-, võtme- ja sätete muudatused vajavad parooli kinnitust viimase 10 minuti jooksul ning kaheastmelist sisselogimist, kui see on seatud. Sisselogimine väljastpoolt ja kohtvõrgu otsetee ei loe. Lahendus: kinnita oma parooliga. Väljalogimine ja seadmete lõpetamine ei küsi kunagi.

Sümptom: tagasikutse (callback) ebaõnnestus lühikese veateatega ja sa jääd välja logimata. Põhjus: pakkuja juures olev callback-aadress erineb HolyArrsi omast. Lahendus: kopeeri Callback address uuesti ja kleebi see täpselt pakkuja juures.

Sümptom: single sign-oni kaudu tehtud konto ei saa parooli seada. Põhjus: selles versioonis see ei ole võimalik. Lahendus: tee kõigepealt kohalik omanik ja ühenda siis single sign-on selle külge.

Sümptom: HolyArrsist väljalogimine jättis su pakkuja juures sisse logituks. Põhjus: HolyArrs lõpetab ainult oma sisselogimise. Lahendus: jagatud seadmes logi välja ka pakkuja juures.

Kaotasid omaniku parooli? Vaata Seansid ja paroolid.

Asjatundjale

Usaldatud proxy kaudu sisselogimine

Kui reverse proxy logib inimesed juba sisse, võtab HolyArrs vastu nime, mille see edastab. Sea see ainult keskkonnas. See ilmub sisselogimislehel nupuna; külastus ei logi kedagi kunagi sisse ainult päiste põhjal.

• Proxy eemaldab sissetulevad Remote-User ja Remote-Name ning seab pärast sisselogimist oma omad.
• Remote-User: üks püsiv nimi, kuni 255 baiti. Remote-Name: valikuline kuvatav nimi, kuni 200 baiti.
• Korduvad, komadega ühendatud või juhtmärke sisaldavad väärtused lükatakse tagasi. Rollipäised jäetakse tähele panemata.

Hoia HolyArrs kättesaadavana ainult selle proxy kaudu. Proxy aadressi usaldamine tähendab usaldada iga nime, mille see saadab. Ühenda see kontoga kohast My account > Link trusted proxy sign-in (ühenda usaldatud proxy kaudu sisselogimine).

Keskkonnamuutujad

Sea need enne käivitamist. Mõlemad meetodid on välja lülitatud, kuni need sisse lülitad. Vale seadistus takistab HolyArrsi käivitumist; pakkuja tõrge jätab parooliga sisselogimise tööle. Kui HOLYARRS_OIDC_ENABLED on üldse seatud, ka väärtusele false, haldab single sign-oni keskkond ja Settings ainult näitab seda.

Muutuja	Mida see teeb	Vaikeväärtus
HOLYARRS_OIDC_ENABLED	Lülita single sign-on sisse	false
HOLYARRS_OIDC_ISSUER	Pakkuja täpne HTTPS issuer	puudub
HOLYARRS_OIDC_CLIENT_ID	Registreeritud client id	puudub
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Fail, milles on client secret, kuni 4096 baiti. Avaliku kliendi puhul jäta ära	puudub
HOLYARRS_OIDC_REDIRECT_URL	Täpne HTTPS callback: sinu aadress, URL base kui on, siis /api/v1/auth/oidc/callback	puudub
HOLYARRS_OIDC_ALLOW_JOIN	Uued inimesed liituvad liikmetena, kes saavad ainult soovida	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Luba pakkuja sinu privaatvõrgus	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Luba lihtne HTTP loopbackil, testimiseks	false
HOLYARRS_FORWARD_AUTH_ENABLED	Lülita usaldatud proxy kaudu sisselogimine sisse	false
HOLYARRS_FORWARD_AUTH_ISSUER	Selle proxy püsiv HTTPS-nimi. Uus väärtus loetakse uueks allikaks	puudub
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Komadega eraldatud proxy aadressid või vahemikud. Nõutav. Kõiki aadresse hõlmav vahemik lükatakse tagasi	puudub
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Uued proxy nimed liituvad liikmetena, kes saavad ainult soovida	false

Need kaks sätet, ALLOW_LOCAL_NETWORK ja ALLOW_LOOPBACK_HTTP, kehtivad ka Settingsis seadistatud single sign-oni kohta.

Kuidas single sign-on töötab

• Pakkuja peab toetama authorization code sisselogimist PKCE S256 ja RS256 tokenitega, kõik endpointid issueri päritolul.
• Kontod sobitatakse pakkuja enda konto id järgi, mitte kunagi e-posti järgi.
• Pakkuja rolle ja gruppe ei kasutata.
• Client secret salvestatakse krüpteeritult ja seda ei näidata enam kunagi. Jäta väli tühjaks, et see alles jääks.

Seotud lehed

• Kasutajad ja rollid
• Seansid ja paroolid
• Lapse kontod
• URL base ja reverse proxy