Bejelentkezés és jelszavak

Döntsd el, hogyan jelentkezzenek be az emberek: milyen hosszú legyen a jelszó, kihagyható-e a bejelentkezés az otthoni hálózaton, és hogyan működjön a kívülről érkező bejelentkezés. Ezeket csak a tulajdonos módosíthatja, itt: Settings > Sign-in and security (Beállítások > Bejelentkezés és biztonság).

A legrövidebb jelszó beállítása

1. Nyisd meg: Settings > Sign-in and security > Passwords (Beállítások > Bejelentkezés és biztonság > Jelszavak).
2. Írj be egy számot 4 és 64 között. Alapértelmezés szerint 8.
3. Kattints a Save (mentés) gombra. Az új számnak az oldal újratöltése után is meg kell maradnia.

A minimum minden új jelszóra vonatkozik: az első tulajdonosra, az elfogadott meghívókra, a My account (saját fiók) oldalon végzett módosításokra és a holyarrs reset-owner parancsra. A meglévő jelszavak a következő módosításukig tovább működnek. A leghosszabb jelszó 1024 karakter.

Figyelem

A HolyArrs lelassítja az ismétlődő hibás bejelentkezéseket, de a rövid jelszót így is könnyű kitalálni. Ha a HolyArrs az otthoni hálózatodon kívülről is elérhető, használj legalább 12 karaktert.

Bejelentkezés kihagyása a helyi hálózaton

Az otthoni hálózaton lévő eszközök jelszó nélkül, tulajdonosként nyitják meg a HolyArrsot. Alapértelmezés szerint ki van kapcsolva.

1. Nyisd meg: Settings > Sign-in and security > Local network (Beállítások > Bejelentkezés és biztonság > Helyi hálózat).
2. Add meg a hálózataidat, soronként egyet, legfeljebb 32-t. Használhatsz tartományt (192.168.1.0/24, fd00::/8) vagy egyetlen címet (192.168.1.20).
3. Kapcsold be a kapcsolót, és mentsd el. A kártyán a saját címedet kell látnod.

A kapcsoló nem lehet bekapcsolva üres lista mellett, és akkor sem, ha létezik bármilyen gyerekfiók. API-kulcs létrehozásához, a bejelentkezési beállítások módosításához, a titkok olvasásához vagy cseréjéhez és a backupok visszaállításához továbbra is jelszó kell.

Előbb ellenőrizd a címet

Egyes beállításoknál minden eszköz egyetlen átjárócímnek látszik: ilyen a Docker Desktop, a rootless Docker vagy Podman, és a Kubernetes NodePort. Tipikus címek: 172.17.0.1, 172.18.0.1 és följebb, 10.88.0.1, 10.89.x.1, 10.0.2.2 és 192.168.65.x.

Ha ilyet adsz meg, bárki, aki eléri a HolyArrsot, tulajdonosként lép be. A kártya figyelmeztet, ha egy bejegyzés ilyennek látszik. Nyisd meg az oldalt egy második eszközről: ha ugyanazt a címet mutatja, kapcsold ki a kapcsolót, és távolítsd el azt a bejegyzést.

Reverse proxy mögött a HolyArrs a továbbított címet csak a HOLYARRS_TRUSTED_PROXIES változóban felsorolt proxyktól olvassa. Különben a kártya nem mutat címet, és kiírja, hogy a proxy nem megbízható.

Single sign-on

Egy OpenID Connect szolgáltató léptetheti be az embereket. A bejelentkezési oldalon gombként jelenik meg.

1. Nyisd meg: Settings > Sign-in and security > Single sign-on (Beállítások > Bejelentkezés és biztonság > Single sign-on).
2. Írd be a szolgáltató issuerét, és kattints a Test (teszt) gombra. A teszthez nem küld titkot.
3. Írd be a client id-t és a client secretet. Pipáld be a Public client (nyilvános kliens) jelölőnégyzetet, ha a szolgáltató nem használ titkot.
4. Másold ki a Callback address (visszahívási cím) mezőt, és pontosan ezt a címet regisztráld a szolgáltatónál.
5. Írd be a jelszavadat, és ha használsz kétlépcsős azonosítást, a kódot is, majd kattints a Save gombra. Minden módosításnál ezt kéri.

Ezután kapcsold össze a saját fiókodat: jelentkezz be a jelszavaddal, nyisd meg a My account oldalt, a Linked sign-ins (összekapcsolt bejelentkezések) alatt kattints a Link (összekapcsolás) gombra, erősítsd meg a jelszavadat, majd kattints a Single sign-on gombra.

Tipp

Őrizz meg egy működő tulajdonosi jelszót. Ha a szolgáltató nem elérhető, a jelszavas bejelentkezés tovább működik.

Lehetőségek

Új emberek csatlakozhatnak single sign-onnal

Alapértelmezés szerint ki van kapcsolva. Bekapcsolva mindenki kap egy fiókot, akit a szolgáltató beléptet, ezért a HolyArrs megerősítést kér tőled. Az újonnan érkezők tagként csatlakoznak, és csak kérni tudnak. A single sign-on soha nem hoz létre tulajdonost vagy admint.

Az issuer vagy a client id módosítása

A titkot újra be kell írnod. A régi összekapcsolások törlődnek, és mindenki kijelentkezik, aki single sign-ont használt. A My account oldalon újra összekapcsolják. A single sign-on kikapcsolása is kijelentkezteti őket.

Bejelentkezés leválasztása

• A sajátod: My account > Linked sign-ins > Unlink (Saját fiók > Összekapcsolt bejelentkezések > Leválasztás). Ehhez friss jelszómegerősítés kell, és elutasítja, ha ez az egyetlen módod a belépésre.
• Bárkié: a tulajdonos a Settings > Users and roles (Beállítások > Felhasználók és szerepkörök) oldalt használja. Ha ez az illető egyetlen belépési módja, a HolyArrs még egyszer rákérdez.

A leválasztás kijelentkezteti azokat az eszközöket, amelyek ezt használták. Ha a csatlakozás nyitva van, ugyanaz az ember új tagként visszatérhet. Kapcsold ki a csatlakozást, ha ki akarod zárni.

Ha nem működik

Tünet: a HolyArrs újra a jelszavadat kéri. Ok: a fiókok, kulcsok és beállítások módosításához az elmúlt 10 percben megadott jelszómegerősítés kell, plusz a kétlépcsős azonosítás, ha be van állítva. A kívülről érkező bejelentkezés és a helyi hálózaton kihagyott bejelentkezés nem számít. Megoldás: erősítsd meg a jelszavaddal. A kijelentkezés és az eszközök kijelentkeztetése sosem kér jelszót.

Tünet: a visszahívás rövid hibával meghiúsult, és kijelentkezve maradsz. Ok: a szolgáltatónál megadott visszahívási cím eltér a HolyArrsban lévőtől. Megoldás: másold ki újra a Callback address mezőt, és pontosan úgy illeszd be a szolgáltatónál.

Tünet: a single sign-onnal létrejött fiókhoz nem lehet jelszót beállítani. Ok: ebben a verzióban ez nem lehetséges. Megoldás: előbb hozd létre a helyi tulajdonost, és ahhoz kapcsold hozzá a single sign-ont.

Tünet: a HolyArrsból kijelentkeztél, de a szolgáltatónál bejelentkezve maradtál. Ok: a HolyArrs csak a saját bejelentkezését fejezi be. Megoldás: megosztott eszközön jelentkezz ki a szolgáltatónál is.

Elvesztetted a tulajdonosi jelszót? Lásd: Munkamenetek és jelszavak.

Haladóknak

Bejelentkezés megbízható proxyn át

Ha egy reverse proxy már beléptet embereket, a HolyArrs elfogadja a proxy által átadott nevet. Csak a környezeti változókban állítható be. A bejelentkezési oldalon gombként jelenik meg; egy látogatás önmagában, pusztán a fejlécek alapján soha nem léptet be senkit.

• A proxy eltávolítja a beérkező Remote-User és Remote-Name fejléceket, és a bejelentkezés után a sajátját állítja be.
• Remote-User: egy állandó név, legfeljebb 255 bájt. Remote-Name: opcionális megjelenített név, legfeljebb 200 bájt.
• Az ismételt, vesszővel összefűzött vagy vezérlőkaraktert tartalmazó értékeket elutasítja. A szerepkör-fejléceket figyelmen kívül hagyja.

Úgy állítsd be, hogy a HolyArrs csak ezen a proxyn keresztül legyen elérhető. Ha megbízol egy proxycímben, minden nevében is megbízol, amit küld. Fiókhoz itt kapcsolhatod: My account > Link trusted proxy sign-in (Saját fiók > Megbízható proxyn át történő bejelentkezés összekapcsolása).

Környezeti változók

Ezeket indítás előtt állítsd be. Mindkét módszer alapból ki van kapcsolva. Hibás beállítás esetén a HolyArrs nem indul el; ha a szolgáltató kiesik, a jelszavas bejelentkezés tovább működik. Ha a HOLYARRS_OIDC_ENABLED bármilyen értékre be van állítva, akár false-ra is, a single sign-ont a környezet kezeli, és a Beállítások csak megmutatja.

Változó	Mit csinál	Alapértelmezett
HOLYARRS_OIDC_ENABLED	Bekapcsolja a single sign-ont	false
HOLYARRS_OIDC_ISSUER	A szolgáltató pontos HTTPS issuere	nincs
HOLYARRS_OIDC_CLIENT_ID	A regisztrált client id	nincs
HOLYARRS_OIDC_CLIENT_SECRET_FILE	A client secretet tartalmazó fájl, legfeljebb 4096 bájt. Nyilvános kliensnél hagyd el	nincs
HOLYARRS_OIDC_REDIRECT_URL	A pontos HTTPS visszahívási cím: a címed, ha van, az URL base, majd /api/v1/auth/oidc/callback	nincs
HOLYARRS_OIDC_ALLOW_JOIN	Az új emberek tagként csatlakoznak, és csak kérni tudnak	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Megengedi a magánhálózatodon lévő szolgáltatót	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Megengedi a sima HTTP-t loopbacken, teszteléshez	false
HOLYARRS_FORWARD_AUTH_ENABLED	Bekapcsolja a megbízható proxyn át történő bejelentkezést	false
HOLYARRS_FORWARD_AUTH_ISSUER	Állandó HTTPS név ehhez a proxyhoz. Új érték új forrásnak számít	nincs
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Vesszővel elválasztott proxycímek vagy tartományok. Kötelező. A minden címet lefedő tartományt elutasítja	nincs
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Az új proxynevek tagként csatlakoznak, és csak kérni tudnak	false

A két beállítás, az ALLOW_LOCAL_NETWORK és az ALLOW_LOOPBACK_HTTP a Beállításokban megadott single sign-onra is vonatkozik.

Hogyan működik a single sign-on

• A szolgáltatónak támogatnia kell az authorization code bejelentkezést PKCE S256-tal és RS256 tokenekkel, és minden végpontnak az issuer eredetén kell lennie.
• A fiókokat a szolgáltató saját fiókazonosítója alapján párosítja, soha nem e-mail alapján.
• A szolgáltató szerepköreit és csoportjait nem használja.
• A client secret titkosítva van tárolva, és nem jelenik meg újra. Hagyd üresen a mezőt, ha meg akarod tartani.

Kapcsolódó oldalak

• Felhasználók és szerepkörök
• Munkamenetek és jelszavak
• Gyerekfiókok
• URL base és reverse proxy