Kirjautuminen ja salasanat

Päätä, miten ihmiset kirjautuvat: salasanan pituus, kotiverkon oikotie ja kirjautuminen ulkopuolelta. Vain omistaja voi muuttaa näitä, kohdassa Settings > Sign-in and security (asetukset > kirjautuminen ja turvallisuus).

Aseta lyhin sallittu salasana

1. Avaa Settings > Sign-in and security > Passwords (salasanat).
2. Kirjoita luku väliltä 4–64. Oletus on 8.
3. Napsauta Save (tallenna). Uuden luvun pitäisi pysyä paikallaan, kun lataat sivun uudelleen.

Vähimmäispituus koskee jokaista uutta salasanaa: ensimmäistä omistajaa, hyväksyttyjä kutsuja, muutoksia sivulla My account (oma tili) ja komentoa holyarrs reset-owner. Nykyiset salasanat toimivat, kunnes ne vaihdetaan. Pisin salasana on 1024 merkkiä.

Varoitus

HolyArrs hidastaa toistuvia vääriä kirjautumisyrityksiä, mutta lyhyt salasana on silti helppo arvata. Jos HolyArrs on tavoitettavissa kotisi ulkopuolelta, käytä vähintään 12 merkkiä.

Ohita kirjautuminen paikallisessa verkossa

Kotiverkon laitteet avaavat HolyArrsin omistajana ilman salasanaa. Oletuksena pois päältä.

1. Avaa Settings > Sign-in and security > Local network (paikallinen verkko).
2. Listaa verkkosi, yksi verkko riviä kohti, enintään 32. Käytä joko aluetta (192.168.1.0/24, fd00::/8) tai yhtä osoitetta (192.168.1.20).
3. Ota kytkin käyttöön ja tallenna. Näet oman osoitteesi kortissa.

Kytkin ei voi olla päällä, jos lista on tyhjä tai jos lapsitili on olemassa. API-avainten luominen, kirjautumisasetusten muuttaminen, salaisuuksien lukeminen tai vaihtaminen ja varmuuskopioiden palauttaminen vaativat silti salasanan.

Tarkista osoite ensin

Joissakin asennuksissa kaikki laitteet näyttävät tulevan samasta yhdyskäytävän osoitteesta: Docker Desktop, rootless Docker tai Podman ja Kubernetesin NodePort. Tyypillisiä ovat 172.17.0.1, 172.18.0.1 ja siitä ylöspäin, 10.88.0.1, 10.89.x.1, 10.0.2.2 ja 192.168.65.x.

Jos listaat jonkin näistä, kuka tahansa, joka tavoittaa HolyArrsin, pääsee sisään omistajana. Kortti varoittaa, kun merkintä näyttää tällaiselta. Avaa sivu toiselta laitteelta: jos se näyttää saman osoitteen, ota kytkin pois päältä ja poista merkintä.

Reverse proxyn takana HolyArrs lukee välitetyn osoitteen vain proxyilta, jotka on lueteltu muuttujassa HOLYARRS_TRUSTED_PROXIES. Muuten kortti ei näytä osoitetta ja kertoo, ettei proxyyn luoteta.

Single sign-on

Yksi OpenID Connect -palveluntarjoaja voi kirjata ihmiset sisään. Se näkyy painikkeena kirjautumissivulla.

1. Avaa Settings > Sign-in and security > Single sign-on.
2. Kirjoita palveluntarjoajan issuer ja napsauta Test (testaa). Testissä ei lähetetä salaisuutta.
3. Kirjoita client id ja client secret. Rastita Public client (julkinen client), jos palveluntarjoaja ei käytä salaisuutta.
4. Kopioi Callback address (paluuosoite) ja rekisteröi täsmälleen tämä osoite palveluntarjoajalle.
5. Kirjoita salasanasi sekä kaksivaiheinen koodi, jos käytät sellaista, ja napsauta Save. Jokainen muutos vaatii tämän.

Yhdistä sitten oma tilisi: kirjaudu salasanalla, avaa My account, napsauta kohdassa Linked sign-ins (yhdistetyt kirjautumiset) Link (yhdistä), vahvista salasanasi ja valitse Single sign-on.

Vinkki

Pidä omistajan salasana toimivana. Jos palveluntarjoaja on alhaalla, salasanakirjautuminen toimii silti.

Vaihtoehdot

Anna uusien ihmisten liittyä Single sign-onin kautta

Oletuksena pois päältä. Kun tämä on päällä, jokainen, jonka palveluntarjoaja kirjaa sisään, saa tilin, joten HolyArrs pyytää sinua vahvistamaan. Uudet tulijat liittyvät jäseninä, jotka voivat vain pyytää. Single sign-on ei koskaan tee omistajaa tai ylläpitäjää.

Muuta issuer tai client id

Kirjoitat salaisuuden uudelleen. Vanhat yhteydet poistetaan ja kaikki, jotka käyttivät Single sign-ontia, kirjataan ulos. He yhdistävät tilinsä uudelleen sivulla My account. Single sign-onin poistaminen käytöstä kirjaa heidät myös ulos.

Poista kirjautumisen yhteys

• Oma: My account > Linked sign-ins > Unlink (poista yhteys). Se vaatii äskettäisen salasanan vahvistuksen, ja se hylätään, jos se on ainoa tapasi päästä sisään.
• Kenen tahansa: omistaja käyttää kohtaa Settings > Users and roles (käyttäjät ja roolit). Jos se on henkilön ainoa tapa päästä sisään, HolyArrs kysyy vielä kerran.

Yhteyden poistaminen kirjaa ulos laitteet, jotka sitä käyttivät. Jos liittyminen on auki, sama henkilö voi tulla takaisin uutena jäsenenä. Ota liittyminen pois päältä, jos haluat pitää hänet ulkopuolella.

Jos se ei toimi

Oire: HolyArrs pyytää salasanaasi uudelleen. Syy: tilien, avainten ja asetusten muutokset vaativat salasanan vahvistuksen viimeisen 10 minuutin ajalta sekä kaksivaiheisen koodin, jos se on käytössä. Kirjautuminen ulkopuolelta ja paikallisen verkon oikotie eivät riitä. Ratkaisu: vahvista salasanallasi. Ulos kirjautuminen ja laitteiden päättäminen eivät koskaan kysy sitä.

Oire: palveluntarjoajan paluukutsu (callback) epäonnistui lyhyeen virheilmoitukseen, ja pysyt kirjautumatta. Syy: palveluntarjoajalle annettu paluuosoite poikkeaa HolyArrsin osoitteesta. Ratkaisu: kopioi Callback address uudelleen ja liitä se täsmälleen samana palveluntarjoajalle.

Oire: Single sign-onilla luotu tili ei voi asettaa salasanaa. Syy: tämä ei ole mahdollista tässä versiossa. Ratkaisu: tee ensin paikallinen omistaja ja yhdistä Single sign-on siihen.

Oire: HolyArrsista ulos kirjautuminen jätti sinut kirjautuneeksi palveluntarjoajalle. Syy: HolyArrs päättää vain oman kirjautumisensa. Ratkaisu: kirjaudu jaetulla laitteella ulos myös palveluntarjoajalta.

Omistajan salasana hukassa? Katso Istunnot ja salasanat.

Asiantuntijoille

Luotetun proxyn kirjautuminen

Jos reverse proxy kirjaa ihmiset jo sisään, HolyArrs hyväksyy nimen, jonka se välittää. Aseta se vain ympäristössä. Se näkyy painikkeena kirjautumissivulla; pelkkä vierailu ei koskaan kirjaa ketään sisään pelkistä otsikoista.

• Proxy poistaa saapuvat Remote-User ja Remote-Name ja asettaa omansa kirjautumisen jälkeen.
• Remote-User: yksi pysyvä nimi, enintään 255 tavua. Remote-Name: valinnainen näyttönimi, enintään 200 tavua.
• Toistetut, pilkulla yhdistetyt tai ohjausmerkkejä sisältävät arvot hylätään. Roolien otsikot ohitetaan.

Pidä HolyArrs tavoitettavissa vain tuon proxyn kautta. Proxyn osoitteeseen luottaminen tarkoittaa luottamista jokaiseen nimeen, jonka se lähettää. Yhdistä se tiliin kohdasta My account > Link trusted proxy sign-in (yhdistä luotetun proxyn kirjautuminen).

Ympäristömuuttujat

Aseta nämä ennen käynnistystä. Molemmat tavat ovat pois päältä, kunnes ne otetaan käyttöön. Virheellinen määritys estää HolyArrsin käynnistymisen; palveluntarjoajan katko jättää salasanakirjautumisen toimimaan. Jos HOLYARRS_OIDC_ENABLED on asetettu lainkaan, jopa arvoon false, ympäristö hallitsee Single sign-ontia ja Settings vain näyttää sen.

Muuttuja	Mitä se tekee	Oletus
HOLYARRS_OIDC_ENABLED	Ottaa Single sign-onin käyttöön	false
HOLYARRS_OIDC_ISSUER	Palveluntarjoajan tarkka HTTPS-issuer	ei mitään
HOLYARRS_OIDC_CLIENT_ID	Rekisteröity client id	ei mitään
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Tiedosto, jossa client secret on, enintään 4096 tavua. Jätä pois julkiselle clientille	ei mitään
HOLYARRS_OIDC_REDIRECT_URL	Tarkka HTTPS-paluuosoite: osoitteesi, URL base jos sellainen on, sitten /api/v1/auth/oidc/callback	ei mitään
HOLYARRS_OIDC_ALLOW_JOIN	Uudet ihmiset liittyvät jäseninä, jotka voivat vain pyytää	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Sallii palveluntarjoajan yksityisessä verkossasi	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Sallii tavallisen HTTP:n loopbackissa, testaukseen	false
HOLYARRS_FORWARD_AUTH_ENABLED	Ottaa luotetun proxyn kirjautumisen käyttöön	false
HOLYARRS_FORWARD_AUTH_ISSUER	Tämän proxyn pysyvä HTTPS-nimi. Uusi arvo lasketaan uudeksi lähteeksi	ei mitään
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Pilkuilla erotetut proxyn osoitteet tai alueet. Pakollinen. Kaikki osoitteet kattava alue hylätään	ei mitään
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Uudet proxyn nimet liittyvät jäseninä, jotka voivat vain pyytää	false

Kaksi asetusta, ALLOW_LOCAL_NETWORK ja ALLOW_LOOPBACK_HTTP, koskevat myös Settingsissa määritettyä Single sign-ontia.

Miten Single sign-on toimii

• Palveluntarjoajan on tuettava authorization code -kirjautumista PKCE S256:lla ja RS256-tokeneilla, ja jokaisen endpointin on oltava issuerin originissa.
• Tilit yhdistetään palveluntarjoajan oman tilin id:n mukaan, ei koskaan sähköpostin.
• Palveluntarjoajan rooleja ja ryhmiä ei käytetä.
• Client secret tallennetaan salattuna, eikä sitä näytetä enää koskaan. Jätä kenttä tyhjäksi, jos haluat pitää sen.

Aiheesta lisää

• Käyttäjät ja roolit
• Istunnot ja salasanat
• Lapsitilit
• URL base ja reverse proxy