ورود و گذرواژه‌ها
راه‌اندازی
مشخص کنید افراد چطور وارد شوند: طول گذرواژه، میان‌بر شبکهٔ خانگی و ورود از بیرون. فقط مالک این موارد را تغییر می‌دهد، در Settings (تنظیمات) > Sign-in and security (ورود و امنیت).
تعیین کوتاه‌ترین گذرواژه
پیوند به تعیین کوتاه‌ترین گذرواژه- Settings > Sign-in and security > Passwords (گذرواژه‌ها) را باز کنید.
- عددی از 4 تا 64 وارد کنید. مقدار پیش‌فرض 8 است.
- روی Save (ذخیره) کلیک کنید. باید ببینید عدد جدید بعد از بارگذاری دوبارهٔ صفحه هم می‌ماند.
حداقل طول برای هر گذرواژهٔ جدید اعمال می‌شود: مالک اول، دعوت‌های پذیرفته‌شده، تغییرها در My account (حساب من) و holyarrs reset-owner. گذرواژه‌های موجود تا تغییر بعدی کار می‌کنند. بلندترین گذرواژه 1024 نویسه است.
رد کردن ورود در شبکهٔ محلی من
پیوند به رد کردن ورود در شبکهٔ محلی مندستگاههای شبکهٔ خانگی شما بدون گذرواژه و به‌عنوان مالک HolyArrs را باز می‌کنند. به‌طور پیش‌فرض خاموش است.
- Settings > Sign-in and security > Local network (شبکهٔ محلی) را باز کنید.
- شبکه‌های خود را هر کدام در یک خط فهرست کنید، حداکثر 32 مورد. از یک محدوده (
192.168.1.0/24،fd00::/8) یا یک نشانی (192.168.1.20) استفاده کنید. - کلید را روشن کنید و ذخیره کنید. باید نشانی خودتان را روی کارت ببینید.
کلید با فهرست خالی روشن نمی‌شود، و تا وقتی حساب کودک وجود دارد هم روشن نمی‌شود. ساخت کلید API، تغییر تنظیمات ورود، خواندن یا جایگزین کردن مقدارهای محرمانه و بازیابی بکاپ‌ها همچنان گذرواژه می‌خواهند.
اول نشانی را بررسی کنید
پیوند به اول نشانی را بررسی کنیددر بعضی راه‌اندازی‌ها همهٔ دستگاه‌ها مثل یک نشانی گیت‌وی دیده می‌شوند: Docker Desktop، Docker یا Podman بدون root، و NodePort در Kubernetes. نمونه‌های رایج 172.17.0.1، 172.18.0.1 و بالاتر، 10.88.0.1، 10.89.x.1، 10.0.2.2 و 192.168.65.x هستند.
اگر یکی از این‌ها را فهرست کنید، هر کسی که به HolyArrs برسد به‌عنوان مالک وارد می‌شود. وقتی یک مورد شبیه این‌ها باشد، کارت هشدار می‌دهد. صفحه را از دستگاه دوم باز کنید: اگر همان نشانی را نشان داد، کلید را خاموش کنید و آن مورد را حذف کنید.
پشت یک ریورس پراکسی، HolyArrs نشانی ارسال‌شده را فقط از پراکسی‌های موجود در HOLYARRS_TRUSTED_PROXIES می‌خواند. در غیر این صورت کارت هیچ نشانی نشان نمی‌دهد و می‌گوید پراکسی مورد اعتماد نیست.
Single sign-on
پیوند به Single sign-onیک ارائه‌دهندهٔ OpenID Connect می‌تواند افراد را وارد کند. در صفحهٔ ورود به‌شکل یک دکمه دیده می‌شود.
- Settings > Sign-in and security > Single sign-on را باز کنید.
- issuer ارائه‌دهنده را وارد کنید و روی Test (آزمایش) کلیک کنید. برای آزمایش هیچ مقدار محرمانه‌ای ارسال نمی‌شود.
- client id و client secret را وارد کنید. اگر ارائه‌دهنده secret استفاده نمی‌کند، Public client (کلاینت عمومی) را علامت بزنید.
- Callback address (نشانی بازگشت) را کپی کنید و دقیقاً همان نشانی را در ارائه‌دهنده ثبت کنید.
- گذرواژهٔ خود را وارد کنید، و اگر از کد دومرحله‌ای استفاده می‌کنید آن را هم، و روی Save کلیک کنید. هر تغییر این را می‌خواهد.
بعد حساب خودتان را متصل کنید: با گذرواژه وارد شوید، My account را باز کنید، زیر Linked sign-ins (ورودهای متصل) روی Link (اتصال) کلیک کنید، گذرواژه‌تان را تأیید کنید و بعد Single sign-on را انتخاب کنید.
گزینه‌ها
پیوند به گزینههااجازهٔ پیوستن افراد جدید از راه single sign-on
پیوند به اجازهٔ پیوستن افراد جدید از راه single sign-onبه‌طور پیش‌فرض خاموش است. وقتی روشن باشد، هر کسی که ارائه‌دهنده وارد کند حساب می‌گیرد، برای همین HolyArrs از شما تأیید می‌خواهد. تازه‌واردها به‌عنوان عضوی می‌پیوندند که فقط می‌تواند درخواست بدهد. single sign-on هرگز مالک یا مدیر نمی‌سازد.
تغییر issuer یا client id
پیوند به تغییر issuer یا client idمقدار محرمانه را دوباره وارد می‌کنید. اتصال‌های قبلی حذف می‌شوند و هر کسی که از single sign-on استفاده کرده بود از حساب خارج می‌شود. آن‌ها دوباره از My account متصل می‌شوند. خاموش کردن single sign-on هم آن‌ها را خارج می‌کند.
قطع اتصال یک ورود
پیوند به قطع اتصال یک ورود- مال خودتان: My account > Linked sign-ins > Unlink (قطع اتصال). به تأیید تازهٔ گذرواژه نیاز دارد، و اگر تنها راه ورود شما باشد رد می‌شود.
- مال هر کس دیگر: مالک از Settings > Users and roles (کاربران و نقش‌ها) استفاده می‌کند. اگر تنها راه ورود آن فرد باشد، HolyArrs یک بار دیگر می‌پرسد.
قطع اتصال، دستگاه‌هایی را که از آن استفاده می‌کردند از حساب خارج می‌کند. اگر پیوستن باز باشد، همان فرد می‌تواند به‌عنوان عضو جدید برگردد. برای بیرون نگه داشتن او، پیوستن را خاموش کنید.
اگر کار نکرد
پیوند به اگر کار نکردنشانه: HolyArrs دوباره گذرواژه‌تان را می‌خواهد. علت: تغییر حساب‌ها، کلیدها و تنظیمات به تأیید گذرواژه در 10 دقیقهٔ اخیر نیاز دارد، و در صورت فعال بودن، کد دومرحله‌ای. ورود از بیرون و میان‌بر شبکهٔ محلی حساب نمی‌شوند. راه‌حل: با گذرواژه‌تان تأیید کنید. خروج از حساب و پایان دادن به دستگاه‌ها هرگز تأیید نمی‌خواهند.
نشانه: بازگشت (callback) با یک خطای کوتاه شکست خورد و شما خارج می‌مانید. علت: نشانی بازگشت در ارائه‌دهنده با نشانی HolyArrs فرق دارد. راه‌حل: Callback address را دوباره کپی کنید و دقیقاً همان را در ارائه‌دهنده جای‌گذاری کنید.
نشانه: حسابی که با single sign-on ساخته شده نمی‌تواند گذرواژه تعیین کند. علت: در این نسخه ممکن نیست. راه‌حل: اول مالک محلی را بسازید، بعد single sign-on را به آن متصل کنید.
نشانه: با خروج از HolyArrs، در ارائه‌دهنده همچنان وارد مانده‌اید. علت: HolyArrs فقط ورود خودش را پایان می‌دهد. راه‌حل: روی دستگاه مشترک، از ارائه‌دهنده هم خارج شوید.
گذرواژهٔ مالک را گم کرده‌اید؟ نشست‌ها و گذرواژه‌ها را ببینید.
برای حرفه‌ای‌ها
پیوند به برای حرفهایهاورود با پراکسی مورد اعتماد
اگر یک ریورس پراکسی از قبل افراد را وارد می‌کند، HolyArrs نامی را که پراکسی می‌فرستد قبول می‌کند. فقط در محیط (environment) تنظیمش کنید. در صفحهٔ ورود به‌شکل یک دکمه دیده می‌شود؛ یک بازدید هرگز فقط از روی هدرها کسی را وارد نمی‌کند.
- پراکسی
Remote-UserوRemote-Nameورودی را پاک می‌کند و بعد از ورود، خودش آن‌ها را تنظیم می‌کند. Remote-User: یک نام ثابت، حداکثر 255 بایت.Remote-Name: نام نمایشی اختیاری، حداکثر 200 بایت.- مقدارهای تکراری، با کاما به‌هم‌چسبیده یا دارای نویسهٔ کنترلی رد می‌شوند. هدرهای نقش نادیده گرفته می‌شوند.
HolyArrs را فقط از راه همان پراکسی در دسترس نگه دارید. اعتماد به نشانی یک پراکسی یعنی اعتماد به هر نامی که می‌فرستد. آن را از My account > Link trusted proxy sign-in به یک حساب متصل کنید.
متغیرهای محیطی
این‌ها را پیش از شروع تنظیم کنید. هر دو روش خاموش هستند، مگر روشن شوند. یک تنظیم بد جلوی شروع HolyArrs را می‌گیرد؛ از کار افتادن ارائه‌دهنده باعث می‌شود ورود با گذرواژه همچنان کار کند. اگر HOLYARRS_OIDC_ENABLED اصلاً تنظیم شده باشد، حتی روی false، single sign-on در اختیار محیط است و Settings فقط آن را نشان می‌دهد.
| متغیر | کار آن | پیش‌فرض |
|---|---|---|
HOLYARRS_OIDC_ENABLED |
روشن کردن single sign-on | false |
HOLYARRS_OIDC_ISSUER |
issuer دقیق HTTPS ارائه‌دهنده | ندارد |
HOLYARRS_OIDC_CLIENT_ID |
client id ثبت‌شده | ندارد |
HOLYARRS_OIDC_CLIENT_SECRET_FILE |
فایلی که client secret را نگه می‌دارد، حداکثر 4096 بایت. برای کلاینت عمومی آن را نگذارید | ندارد |
HOLYARRS_OIDC_REDIRECT_URL |
نشانی بازگشت دقیق HTTPS: نشانی شما، URL base در صورت وجود، سپس /api/v1/auth/oidc/callback |
ندارد |
HOLYARRS_OIDC_ALLOW_JOIN |
افراد جدید به‌عنوان عضوی می‌پیوندند که فقط می‌تواند درخواست بدهد | false |
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK |
اجازهٔ ارائه‌دهنده‌ای در شبکهٔ خصوصی شما | false |
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP |
اجازهٔ HTTP ساده روی loopback، برای آزمایش | false |
HOLYARRS_FORWARD_AUTH_ENABLED |
روشن کردن ورود با پراکسی مورد اعتماد | false |
HOLYARRS_FORWARD_AUTH_ISSUER |
نام ثابت HTTPS برای این پراکسی. مقدار جدید یک منبع جدید حساب می‌شود | ندارد |
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS |
نشانی‌ها یا محدوده‌های پراکسی، جداشده با کاما. الزامی است. محدوده‌ای که همهٔ نشانی‌ها را بگیرد رد می‌شود | ندارد |
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN |
نام‌های جدید پراکسی به‌عنوان عضوی می‌پیوندند که فقط می‌تواند درخواست بدهد | false |
دو تنظیم ALLOW_LOCAL_NETWORK و ALLOW_LOOPBACK_HTTP برای single sign-on راه‌اندازی‌شده در Settings هم اعمال می‌شوند.
single sign-on چطور کار می‌کند
- ارائه‌دهنده باید ورود با authorization code همراه با PKCE S256 و توکن‌های RS256 را پشتیبانی کند، و همهٔ endpointها روی origin مربوط به issuer باشند.
- حساب‌ها با شناسهٔ حساب خود ارائه‌دهنده تطبیق داده می‌شوند، هرگز با ایمیل.
- نقش‌ها و گروه‌های ارائه‌دهنده استفاده نمی‌شوند.
- client secret رمزگذاری‌شده ذخیره می‌شود و دیگر نشان داده نمی‌شود. برای نگه داشتن آن، فیلد را خالی بگذارید.
صفحه‌های مرتبط
پیوند به صفحه‌های مرتبطHolyArrs رایگان است. اگر در وقتتان صرفه‌جویی کرد، در GitHub به آن ستاره بدهید، حمایت مالی کنید یا برای من یک قهوه بخرید.