Login dan kata sandi

Penyiapan

Tentukan cara orang masuk: panjang kata sandi, jalan pintas untuk jaringan rumah, dan login dari luar. Hanya pemilik yang bisa mengubahnya, di Settings > Sign-in and security (pengaturan > login dan keamanan).

Atur kata sandi terpendek

Buka Settings > Sign-in and security > Passwords (kata sandi).
Ketik angka dari 4 sampai 64. Nilai bawaannya 8.
Klik Save (simpan). Kamu akan melihat angka baru tetap ada setelah halaman dimuat ulang.

Batas minimum ini berlaku untuk setiap kata sandi baru: pemilik pertama, undangan yang diterima, perubahan di My account (akun saya), dan holyarrs reset-owner. Kata sandi yang sudah ada tetap berfungsi sampai diganti. Kata sandi terpanjang adalah 1024 karakter.

Perangkat di jaringan rumah kamu membuka HolyArrs sebagai pemilik, tanpa kata sandi. Secara bawaan nonaktif.

Buka Settings > Sign-in and security > Local network (jaringan lokal).
Tulis daftar jaringan kamu, satu per baris, maksimal 32. Pakai rentang (192.168.1.0/24, fd00::/8) atau satu alamat (192.168.1.20).
Aktifkan sakelar lalu simpan. Kamu akan melihat alamat kamu sendiri di kartu.

Sakelar tidak bisa aktif kalau daftarnya kosong, atau selama masih ada akun anak. Membuat kunci API, mengubah pengaturan login, membaca atau mengganti rahasia, dan memulihkan backup tetap meminta kata sandi.

Periksa alamatnya dulu

Beberapa penyiapan membuat semua perangkat terlihat sebagai satu alamat gateway: Docker Desktop, Docker atau Podman rootless, dan Kubernetes NodePort. Yang umum adalah 172.17.0.1, 172.18.0.1 dan seterusnya, 10.88.0.1, 10.89.x.1, 10.0.2.2 dan 192.168.65.x.

Kalau salah satunya masuk daftar, siapa pun yang bisa menjangkau HolyArrs masuk sebagai pemilik. Kartu akan memberi peringatan kalau sebuah entri terlihat seperti itu. Buka halamannya dari perangkat kedua: kalau menampilkan alamat yang sama, nonaktifkan sakelar dan hapus entri itu.

Di balik reverse proxy, HolyArrs membaca alamat yang diteruskan hanya dari proxy yang ada di HOLYARRS_TRUSTED_PROXIES. Kalau tidak, kartu tidak menampilkan alamat dan bilang proxy tidak dipercaya.

Single sign-on

Satu penyedia OpenID Connect bisa dipakai untuk login. Penyedia itu muncul sebagai tombol di halaman login.

Buka Settings > Sign-in and security > Single sign-on.
Ketik issuer penyedia lalu klik Test (uji). Tidak ada rahasia yang dikirim saat pengujian.
Ketik client id dan client secret. Centang Public client kalau penyedia tidak memakai secret.
Salin Callback address (alamat callback) dan daftarkan alamat yang persis sama di penyedia.
Ketik kata sandi kamu, ditambah kode dua faktor kalau kamu memakainya, lalu klik Save. Setiap perubahan meminta ini.

Setelah itu tautkan akun kamu sendiri: masuk dengan kata sandi, buka My account, di Linked sign-ins (login tertaut) klik Link (tautkan), konfirmasi kata sandi kamu, lalu klik Single sign-on.

Pilihan

Biarkan orang baru bergabung lewat single sign-on

Secara bawaan nonaktif. Kalau aktif, siapa pun yang berhasil login lewat penyedia mendapat akun, jadi HolyArrs meminta kamu mengonfirmasi. Pendatang baru bergabung sebagai anggota yang hanya bisa meminta. Single sign-on tidak pernah membuat pemilik atau admin.

Ubah issuer atau client id

Kamu mengetik secret lagi. Tautan lama dihapus dan semua orang yang memakai single sign-on dikeluarkan. Mereka menautkan lagi dari My account. Menonaktifkan single sign-on juga mengeluarkan mereka.

Milik kamu sendiri: My account > Linked sign-ins > Unlink (lepas tautan). Perlu konfirmasi kata sandi yang baru, dan ditolak kalau itu satu-satunya cara kamu masuk.
Milik orang lain: pemilik memakai Settings > Users and roles (pengguna dan peran). Kalau itu satu-satunya cara orang itu masuk, HolyArrs bertanya sekali lagi.

Melepas tautan mengeluarkan perangkat yang memakainya. Kalau pendaftaran terbuka, orang yang sama bisa kembali sebagai anggota baru. Nonaktifkan pendaftaran supaya dia tidak bisa masuk lagi.

Kalau tidak berhasil

Gejala: HolyArrs meminta kata sandi kamu lagi. Penyebab: perubahan pada akun, kunci, dan pengaturan butuh konfirmasi kata sandi dalam 10 menit terakhir, ditambah dua faktor kalau diaktifkan. Login dari luar dan jalan pintas jaringan lokal tidak dihitung. Solusi: konfirmasi dengan kata sandi kamu. Keluar dan mengakhiri perangkat tidak pernah memintanya.

Gejala: callback gagal dengan pesan error singkat, dan kamu tetap belum login. Penyebab: alamat callback di penyedia berbeda dari HolyArrs. Solusi: salin Callback address lagi dan tempel persis sama di penyedia.

Gejala: akun yang dibuat lewat single sign-on tidak bisa mengatur kata sandi. Penyebab: belum bisa di versi ini. Solusi: buat pemilik lokal dulu, lalu tautkan single sign-on ke akun itu.

Gejala: setelah keluar dari HolyArrs, kamu masih login di penyedia. Penyebab: HolyArrs hanya mengakhiri login miliknya sendiri. Solusi: di perangkat bersama, keluar juga di penyedia.

Lupa kata sandi pemilik? Lihat Sesi dan kata sandi.

Untuk yang mahir

Kalau reverse proxy sudah membuat orang login, HolyArrs menerima nama yang diteruskannya. Atur hanya lewat environment. Ini muncul sebagai tombol di halaman login; kunjungan tidak pernah membuat siapa pun login hanya dari header.

Proxy menghapus Remote-User dan Remote-Name yang masuk, lalu mengisi miliknya sendiri setelah login.
Remote-User: satu nama yang stabil, maksimal 255 byte. Remote-Name: nama tampilan opsional, maksimal 200 byte.
Nilai yang berulang, digabung koma, atau berisi karakter kontrol ditolak. Header peran diabaikan.

Pastikan HolyArrs hanya bisa dijangkau lewat proxy itu. Mempercayai alamat proxy berarti mempercayai setiap nama yang dikirimnya. Tautkan ke akun dari My account > Link trusted proxy sign-in.

Variabel lingkungan

Atur ini sebelum memulai. Kedua metode nonaktif kecuali diaktifkan. Penyiapan yang salah membuat HolyArrs tidak mau mulai; penyedia yang mati tidak mengganggu login dengan kata sandi. Kalau HOLYARRS_OIDC_ENABLED diatur sama sekali, bahkan ke false, environment yang memegang single sign-on dan Settings hanya menampilkannya.

Variabel	Fungsinya	Bawaan
`HOLYARRS_OIDC_ENABLED`	Mengaktifkan single sign-on	`false`
`HOLYARRS_OIDC_ISSUER`	Issuer HTTPS persis dari penyedia	tidak ada
`HOLYARRS_OIDC_CLIENT_ID`	Client id yang terdaftar	tidak ada
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	File berisi client secret, maksimal 4096 byte. Kosongkan untuk public client	tidak ada
`HOLYARRS_OIDC_REDIRECT_URL`	Callback HTTPS persis: alamat kamu, URL base kalau ada, lalu `/api/v1/auth/oidc/callback`	tidak ada
`HOLYARRS_OIDC_ALLOW_JOIN`	Orang baru bergabung sebagai anggota yang hanya bisa meminta	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	Mengizinkan penyedia di jaringan pribadi kamu	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	Mengizinkan HTTP biasa di loopback, untuk pengujian	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	Mengaktifkan login lewat trusted proxy	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	Nama HTTPS yang stabil untuk proxy ini. Nilai baru dihitung sebagai sumber baru	tidak ada
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	Alamat atau rentang proxy dipisah koma. Wajib. Rentang semua alamat ditolak	tidak ada
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	Nama proxy baru bergabung sebagai anggota yang hanya bisa meminta	`false`

Dua pengaturan ALLOW_LOCAL_NETWORK dan ALLOW_LOOPBACK_HTTP juga berlaku untuk single sign-on yang diatur di Settings.

Cara kerja single sign-on

Penyedia harus mendukung login authorization code dengan PKCE S256 dan token RS256, dengan setiap endpoint berada di origin issuer.
Akun dicocokkan lewat id akun milik penyedia sendiri, tidak pernah lewat email.
Peran dan grup dari penyedia tidak dipakai.
Client secret disimpan terenkripsi dan tidak pernah ditampilkan lagi. Biarkan kolomnya kosong untuk mempertahankannya.

Terkait

HolyArrs gratis. Kalau ini menghemat waktumu, beri bintang di GitHub, jadi sponsor atau traktir saya kopi.