התחברות וסיסמאות

הגדרה

קבע איך אנשים מתחברים: אורך הסיסמה, קיצור דרך ברשת הביתית והתחברות מבחוץ. רק הבעלים משנה את אלה, ב-Settings > Sign-in and security (הגדרות > התחברות ואבטחה).

הגדרת הסיסמה הקצרה ביותר

פתח את Settings > Sign-in and security > Passwords (סיסמאות).
הקלד מספר בין 4 ל-64. ברירת המחדל היא 8.
לחץ על Save (שמירה). אתה אמור לראות שהמספר החדש נשאר גם אחרי רענון.

המינימום חל על כל סיסמה חדשה: הבעלים הראשון, הזמנות שאושרו, שינויים ב-My account (החשבון שלי) ו-holyarrs reset-owner. סיסמאות קיימות ממשיכות לעבוד עד השינוי הבא שלהן. הסיסמה הארוכה ביותר היא 1024 תווים.

דילוג על התחברות ברשת המקומית שלי

מכשירים ברשת הביתית שלך נכנסים ל-HolyArrs כבעלים, בלי סיסמה. כברירת מחדל זה כבוי.

פתח את Settings > Sign-in and security > Local network (רשת מקומית).
רשום את הרשתות שלך, אחת בכל שורה, עד 32. השתמש בטווח (192.168.1.0/24, fd00::/8) או בכתובת אחת (192.168.1.20).
הפעל את המתג ושמור. אתה אמור לראות את הכתובת שלך בכרטיס.

אי אפשר להפעיל את המתג כשהרשימה ריקה, או כל עוד קיים חשבון ילד. יצירת מפתחות API, שינוי הגדרות התחברות, קריאה או החלפה של סודות ושחזור גיבויים עדיין מבקשים סיסמה.

בדוק קודם את הכתובת

בחלק מההתקנות כל המכשירים נראים כמו כתובת שער אחת: Docker Desktop, ‏Docker או Podman ללא root, ו-Kubernetes NodePort. הכתובות הטיפוסיות הן 172.17.0.1, ‏172.18.0.1 ומעלה, ‏10.88.0.1, ‏10.89.x.1, ‏10.0.2.2 ו-192.168.65.x.

אם תרשום אחת מהן, כל מי שמגיע ל-HolyArrs נכנס כבעלים. הכרטיס מזהיר כשרשומה נראית כזו. פתח את הדף ממכשיר שני: אם מופיעה אותה כתובת, כבה את המתג והסר את הרשומה.

מאחורי reverse proxy, HolyArrs קורא את הכתובת המועברת רק מ-proxy שמופיעים ב-HOLYARRS_TRUSTED_PROXIES. אחרת הכרטיס לא מציג כתובת ואומר שה-proxy לא מהימן.

כניסה יחידה

ספק OpenID Connect אחד יכול להכניס אנשים. הוא מופיע ככפתור בדף ההתחברות.

פתח את Settings > Sign-in and security > Single sign-on (כניסה יחידה).
הקלד את ה-issuer של הספק ולחץ על Test (בדיקה). לבדיקה לא נשלח סוד.
הקלד את ה-client id ואת ה-client secret. סמן Public client (לקוח ציבורי) אם הספק לא משתמש בסוד.
העתק את Callback address (כתובת callback) ורשום בדיוק את הכתובת הזו אצל הספק.
הקלד את הסיסמה שלך, ובנוסף קוד דו-שלבי אם אתה משתמש בו, ולחץ על Save. כל שינוי מבקש את זה.

אחר כך קשר את החשבון שלך: התחבר עם הסיסמה, פתח את My account, ב-Linked sign-ins (התחברויות מקושרות) לחץ על Link (קישור), אשר את הסיסמה ולחץ על Single sign-on.

אפשרויות

לאפשר לאנשים חדשים להצטרף דרך כניסה יחידה

כברירת מחדל זה כבוי. כשזה פועל, כל מי שהספק מכניס מקבל חשבון, ולכן HolyArrs מבקש ממך לאשר. החדשים מצטרפים כחברים שיכולים רק לבקש. כניסה יחידה אף פעם לא יוצרת בעלים או מנהל.

שינוי ה-issuer או ה-client id

אתה מקליד את הסוד מחדש. קישורים ישנים נמחקים וכל מי שהשתמש בכניסה יחידה מתנתק. הם מקשרים שוב מתוך My account. גם כיבוי של הכניסה היחידה מנתק אותם.

ניתוק התחברות

שלך: My account > Linked sign-ins > Unlink (ניתוק). זה דורש אישור סיסמה עדכני, ונדחה אם זו הדרך היחידה שלך להיכנס.
של מישהו אחר: הבעלים משתמש ב-Settings > Users and roles (משתמשים ותפקידים). אם זו הדרך היחידה של האדם להיכנס, HolyArrs שואל פעם נוספת.

ניתוק מנתק את המכשירים שהשתמשו בו. אם ההצטרפות פתוחה, אותו אדם יכול לחזור כחבר חדש. כבה את ההצטרפות כדי לחסום אותו.

אם זה לא עובד

תסמין: HolyArrs מבקש שוב את הסיסמה שלך. סיבה: שינויים בחשבונות, במפתחות ובהגדרות דורשים אישור סיסמה מ-10 הדקות האחרונות, ובנוסף קוד דו-שלבי אם הוגדר. התחברות מבחוץ וקיצור הדרך לרשת המקומית לא נספרים. פתרון: אשר עם הסיסמה שלך. התנתקות וסיום מכשירים אף פעם לא מבקשות.

תסמין: ה-callback נכשל עם שגיאה קצרה, ואתה נשאר מנותק. סיבה: כתובת ה-callback אצל הספק שונה מזו של HolyArrs. פתרון: העתק שוב את Callback address והדבק אותה בדיוק כמו שהיא אצל הספק.

תסמין: חשבון שנוצר דרך כניסה יחידה לא מצליח להגדיר סיסמה. סיבה: זה לא אפשרי בגרסה הזו. פתרון: צור קודם את הבעלים המקומי, ואז קשר אליו את הכניסה היחידה.

תסמין: התנתקת מ-HolyArrs ונשארת מחובר אצל הספק. סיבה: HolyArrs מסיים רק את ההתחברות של עצמו. פתרון: במכשיר משותף, התנתק גם אצל הספק.

איבדת את סיסמת הבעלים? ראה הפעלות וסיסמאות.

למומחים

התחברות דרך proxy מהימן

אם reverse proxy כבר מחבר אנשים, HolyArrs מקבל את השם שהוא מעביר. הגדר את זה רק בסביבה. זה מופיע ככפתור בדף ההתחברות; ביקור לבדו אף פעם לא מחבר אף אחד לפי headers בלבד.

ה-proxy מסיר את Remote-User ו-Remote-Name שמגיעים מבחוץ, ומגדיר את שלו אחרי ההתחברות.
Remote-User: שם יציב אחד, עד 255 בתים. Remote-Name: שם תצוגה אופציונלי, עד 200 בתים.
ערכים חוזרים, מופרדים בפסיקים או עם תווי בקרה נדחים. HolyArrs מתעלם מ-headers של תפקידים.

השאר את HolyArrs נגיש רק דרך ה-proxy הזה. אם אתה סומך על כתובת של proxy, אתה סומך על כל שם שהוא שולח. קשר אותו לחשבון דרך My account > Link trusted proxy sign-in (קישור התחברות דרך proxy מהימן).

משתני סביבה

הגדר אותם לפני ההפעלה. שתי השיטות כבויות אלא אם הפעלת אותן. הגדרה שגויה מונעת מ-HolyArrs לעלות; תקלה אצל הספק משאירה את ההתחברות עם סיסמה עובדת. אם HOLYARRS_OIDC_ENABLED מוגדר בכלל, אפילו ל-false, הסביבה שולטת בכניסה היחידה וההגדרות רק מציגות אותה.

משתנה	מה הוא עושה	ברירת מחדל
`HOLYARRS_OIDC_ENABLED`	הפעלת כניסה יחידה	`false`
`HOLYARRS_OIDC_ISSUER`	ה-issuer המדויק של הספק ב-HTTPS	אין
`HOLYARRS_OIDC_CLIENT_ID`	ה-client id הרשום	אין
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	קובץ שמכיל את ה-client secret, עד 4096 בתים. השמט ללקוח ציבורי	אין
`HOLYARRS_OIDC_REDIRECT_URL`	callback מדויק ב-HTTPS: הכתובת שלך, URL base אם יש, ואז `/api/v1/auth/oidc/callback`	אין
`HOLYARRS_OIDC_ALLOW_JOIN`	אנשים חדשים מצטרפים כחברים שיכולים רק לבקש	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	לאפשר ספק ברשת הפרטית שלך	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	לאפשר HTTP רגיל ב-loopback, לבדיקות	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	הפעלת התחברות דרך proxy מהימן	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	שם יציב ב-HTTPS ל-proxy הזה. ערך חדש נחשב למקור חדש	אין
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	כתובות או טווחים של proxy, מופרדים בפסיקים. חובה. טווח שכולל את כל הכתובות נדחה	אין
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	שמות חדשים מה-proxy מצטרפים כחברים שיכולים רק לבקש	`false`

שתי ההגדרות ALLOW_LOCAL_NETWORK ו-ALLOW_LOOPBACK_HTTP חלות גם על כניסה יחידה שהוגדרה ב-Settings.

איך כניסה יחידה עובדת

הספק חייב לתמוך בהתחברות authorization code עם PKCE S256 ועם tokens מסוג RS256, כשכל נקודות הקצה נמצאות ב-origin של ה-issuer.
חשבונות מותאמים לפי מזהה החשבון של הספק עצמו, אף פעם לא לפי אימייל.
תפקידים וקבוצות של הספק לא בשימוש.
ה-client secret נשמר מוצפן ולא מוצג שוב. השאר את השדה ריק כדי לשמור אותו.

קשור

HolyArrs חינמי. אם זה חסך לך זמן, תן לו כוכב ב-GitHub, תמוך בפרויקט או קנה לי קפה.