Prijava i lozinke

Odluči kako se ljudi prijavljuju: duljina lozinke, prečac za kućnu mrežu i prijava izvana. To mijenja samo vlasnik, u Settings > Sign-in and security (postavke > prijava i sigurnost).

Postavi najkraću lozinku

1. Otvori Settings > Sign-in and security > Passwords (lozinke).
2. Unesi broj od 4 do 64. Prema zadanim postavkama je 8.
3. Klikni na Save (spremi). Vidjet ćeš da novi broj ostaje i nakon ponovnog učitavanja stranice.

Najmanja duljina vrijedi za svaku novu lozinku: prvog vlasnika, prihvaćene pozivnice, promjene na My account (moj račun) i holyarrs reset-owner. Postojeće lozinke rade dok ih ne promijeniš. Najdulja lozinka ima 1024 znaka.

Caution

HolyArrs usporava ponovljene pogrešne prijave, ali kratku lozinku je i dalje lako pogoditi. Ako je HolyArrs dostupan izvan tvoje kuće, koristi 12 ili više znakova.

Preskoči prijavu na mojoj lokalnoj mreži

Uređaji na tvojoj kućnoj mreži otvaraju HolyArrs kao vlasnik, bez lozinke. Prema zadanim postavkama je isključeno.

1. Otvori Settings > Sign-in and security > Local network (lokalna mreža).
2. Navedi svoje mreže, jednu po retku, najviše 32. Koristi raspon (192.168.1.0/24, fd00::/8) ili jednu adresu (192.168.1.20).
3. Uključi prekidač i spremi. Vidjet ćeš svoju adresu na kartici.

Prekidač se ne može uključiti s praznim popisom, niti dok postoji bilo koji dječji račun. Izrada API ključeva, promjena postavki prijave, čitanje ili zamjena tajni i vraćanje backupa i dalje traže lozinku.

Prvo provjeri adresu

U nekim postavljanjima svaki uređaj izgleda kao jedna adresa pristupnika: Docker Desktop, rootless Docker ili Podman i Kubernetes NodePort. Tipične su 172.17.0.1, 172.18.0.1 i više, 10.88.0.1, 10.89.x.1, 10.0.2.2 i 192.168.65.x.

Ako navedeš jednu od njih, svatko tko dođe do HolyArrs-a ulazi kao vlasnik. Kartica upozorava kad unos izgleda tako. Otvori stranicu s drugog uređaja: ako pokaže istu adresu, isključi prekidač i ukloni taj unos.

Iza reverse proxyja HolyArrs čita proslijeđenu adresu samo od proxyja navedenih u HOLYARRS_TRUSTED_PROXIES. Inače kartica ne prikazuje adresu i kaže da proxy nije pouzdan.

Jedinstvena prijava (Single sign-on)

Ljude može prijavljivati jedan OpenID Connect pružatelj. Prikazuje se kao gumb na stranici za prijavu.

1. Otvori Settings > Sign-in and security > Single sign-on (jedinstvena prijava).
2. Unesi issuer pružatelja i klikni na Test (testiraj). Za test se ne šalje nikakva tajna.
3. Unesi client id i client secret. Označi Public client (javni klijent) ako pružatelj ne koristi tajnu.
4. Kopiraj Callback address (callback adresa) i upiši točno tu adresu kod pružatelja.
5. Unesi svoju lozinku, a ako je koristiš i kod za dvofaktorsku prijavu, pa klikni na Save. Svaka promjena to traži.

Zatim poveži vlastiti račun: prijavi se lozinkom, otvori My account, pod Linked sign-ins (povezane prijave) klikni na Link (poveži), potvrdi lozinku, pa klikni na Single sign-on.

Tip

Zadrži ispravnu lozinku vlasnika. Ako pružatelj ne radi, prijava lozinkom i dalje radi.

Izbori

Dopusti novim ljudima pridruživanje preko jedinstvene prijave

Prema zadanim postavkama je isključeno. Kad je uključeno, svatko koga pružatelj prijavi dobiva račun, pa te HolyArrs traži potvrdu. Pridošlice dolaze kao članovi koji mogu samo zatražiti. Jedinstvena prijava nikad ne stvara vlasnika ni admina.

Promijeni issuer ili client id

Ponovno unosiš tajnu. Stare veze se uklanjaju i svi koji su koristili jedinstvenu prijavu bivaju odjavljeni. Ponovno se povezuju iz My account. Isključivanje jedinstvene prijave također ih odjavljuje.

Prekini vezu prijave

• Svoju: My account > Linked sign-ins > Unlink (prekini vezu). Treba nedavnu potvrdu lozinke, a odbija se ako ti je to jedini način ulaska.
• Tuđu: vlasnik koristi Settings > Users and roles (korisnici i uloge). Ako je to osobi jedini način ulaska, HolyArrs pita još jednom.

Prekid veze odjavljuje uređaje koji su je koristili. Ako je pridruživanje otvoreno, ista osoba se može vratiti kao novi član. Isključi pridruživanje da je zadržiš vani.

Ako ne radi

Simptom: HolyArrs ponovno traži tvoju lozinku. Uzrok: promjene računa, ključeva i postavki traže potvrdu lozinke iz posljednjih 10 minuta, a ako je postavljena i dvofaktorsku. Prijava izvana i prečac za lokalnu mrežu ne računaju se. Rješenje: potvrdi lozinkom. Odjava i prekidanje uređaja nikad to ne traže.

Simptom: callback nije uspio uz kratku grešku, a ostaješ bez prijave. Uzrok: callback adresa kod pružatelja razlikuje se od one u HolyArrs-u. Rješenje: ponovno kopiraj Callback address i zalijepi je točno kako jest kod pružatelja.

Simptom: račun napravljen preko jedinstvene prijave ne može postaviti lozinku. Uzrok: u ovoj verziji to nije moguće. Rješenje: prvo napravi lokalnog vlasnika, pa na njega poveži jedinstvenu prijavu.

Simptom: nakon odjave iz HolyArrs-a prijava kod pružatelja ostaje. Uzrok: HolyArrs prekida samo vlastitu prijavu. Rješenje: na zajedničkom uređaju odjavi se i kod pružatelja.

Izgubljena lozinka vlasnika? Pogledaj Sesije i lozinke.

Za napredne

Prijava preko pouzdanog proxyja

Ako reverse proxy već prijavljuje ljude, HolyArrs prihvaća ime koje mu proslijedi. Postavi to samo u varijablama okoline. Prikazuje se kao gumb na stranici za prijavu; posjet nikad ne prijavljuje nikoga samo na temelju zaglavlja.

• Proxy uklanja dolazna zaglavlja Remote-User i Remote-Name te nakon prijave postavlja vlastita.
• Remote-User: jedno stalno ime, najviše 255 bajtova. Remote-Name: neobavezno prikazno ime, najviše 200 bajtova.
• Ponovljene vrijednosti, vrijednosti spojene zarezom i vrijednosti s kontrolnim znakovima se odbijaju. Zaglavlja uloga se zanemaruju.

HolyArrs neka bude dostupan samo preko tog proxyja. Vjerovati adresi proxyja znači vjerovati svakom imenu koje pošalje. Poveži ga s računom preko My account > Link trusted proxy sign-in (poveži prijavu preko pouzdanog proxyja).

Varijable okoline

Postavi ih prije pokretanja. Obje metode su isključene dok ih ne uključiš. Pogrešno postavljanje zaustavlja pokretanje HolyArrs-a; prekid rada pružatelja ostavlja prijavu lozinkom u funkciji. Ako je HOLYARRS_OIDC_ENABLED postavljen uopće, čak i na false, okolina upravlja jedinstvenom prijavom, a Settings je samo prikazuje.

Varijabla	Što radi	Zadano
HOLYARRS_OIDC_ENABLED	Uključuje jedinstvenu prijavu	false
HOLYARRS_OIDC_ISSUER	Točan HTTPS issuer pružatelja	none
HOLYARRS_OIDC_CLIENT_ID	Registrirani client id	none
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Datoteka s client secretom, najviše 4096 bajtova. Izostavi za javnog klijenta	none
HOLYARRS_OIDC_REDIRECT_URL	Točan HTTPS callback: tvoja adresa, URL base ako postoji, pa /api/v1/auth/oidc/callback	none
HOLYARRS_OIDC_ALLOW_JOIN	Novi ljudi dolaze kao članovi koji mogu samo zatražiti	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Dopušta pružatelja u tvojoj privatnoj mreži	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Dopušta običan HTTP na loopbacku, za testiranje	false
HOLYARRS_FORWARD_AUTH_ENABLED	Uključuje prijavu preko pouzdanog proxyja	false
HOLYARRS_FORWARD_AUTH_ISSUER	Stalno HTTPS ime za ovaj proxy. Nova vrijednost računa se kao novi izvor	none
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Adrese ili rasponi proxyja odvojeni zarezom. Obavezno. Raspon svih adresa se odbija	none
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Nova imena s proxyja dolaze kao članovi koji mogu samo zatražiti	false

Dvije postavke ALLOW_LOCAL_NETWORK i ALLOW_LOOPBACK_HTTP vrijede i za jedinstvenu prijavu postavljenu u Settings.

Kako radi jedinstvena prijava

• Pružatelj mora podržavati prijavu kodom autorizacije uz PKCE S256 i RS256 tokene, sa svim endpointima na originu issuera.
• Računi se povezuju prema pružateljevu vlastitom id-u računa, nikad prema e-pošti.
• Uloge i grupe pružatelja se ne koriste.
• Client secret se sprema šifriran i više se nikad ne prikazuje. Ostavi polje praznim da ga zadržiš.

Povezane stranice

• Korisnici i uloge
• Sesije i lozinke
• Dječji računi
• URL base i reverse proxy