Innskráning og lykilorð

Ákveddu hvernig fólk skráir sig inn: lengd lykilorðs, flýtileið á heimanetinu og innskráningu utan frá. Aðeins eigandinn breytir þessu, í Settings > Sign-in and security (stillingar > innskráning og öryggi).

Stilltu stysta lykilorðið

1. Opnaðu Settings > Sign-in and security > Passwords (lykilorð).
2. Sláðu inn tölu frá 4 til 64. Sjálfgefið er 8.
3. Smelltu á Save (vista). Þú ættir að sjá nýju töluna haldast eftir að þú hleður síðuna aftur.

Lágmarkið gildir um öll ný lykilorð: fyrsta eigandann, samþykkt boð, breytingar á My account (minn reikningur) og holyarrs reset-owner. Núverandi lykilorð virka áfram þar til þeim er breytt næst. Lengsta lykilorðið er 1024 stafir.

Caution

HolyArrs hægir á endurteknum rangum innskráningum, en stutt lykilorð er samt auðvelt að giska á. Ef hægt er að ná í HolyArrs utan heimilisins skaltu nota 12 eða fleiri stafi.

Sleppa innskráningu á staðarnetinu mínu

Tæki á heimanetinu þínu opna HolyArrs sem eigandi, án lykilorðs. Slökkt sjálfgefið.

1. Opnaðu Settings > Sign-in and security > Local network (staðarnet).
2. Skráðu netin þín, eitt í hverja línu, allt að 32. Notaðu bil (192.168.1.0/24, fd00::/8) eða eitt vistfang (192.168.1.20).
3. Kveiktu á rofanum og vistaðu. Þú ættir að sjá þitt eigið vistfang á spjaldinu.

Ekki er hægt að kveikja á rofanum með tóman lista, eða á meðan einhver barnareikningur er til. Að búa til API-lykla, breyta innskráningarstillingum, lesa eða skipta út leyndarmálum og endurheimta backup krefst samt lykilorðs.

Athugaðu vistfangið fyrst

Sumar uppsetningar láta öll tæki líta út eins og eitt gateway-vistfang: Docker Desktop, rootless Docker eða Podman og Kubernetes NodePort. Algeng dæmi eru 172.17.0.1, 172.18.0.1 og hærra, 10.88.0.1, 10.89.x.1, 10.0.2.2 og 192.168.65.x.

Ef þú skráir eitt af þessum kemst hver sem nær í HolyArrs inn sem eigandi. Spjaldið varar við þegar færsla lítur út eins og slíkt vistfang. Opnaðu síðuna úr öðru tæki: ef hún sýnir sama vistfang skaltu slökkva á rofanum og fjarlægja þá færslu.

Á bak við reverse proxy les HolyArrs framsenda vistfangið aðeins frá proxy sem er í HOLYARRS_TRUSTED_PROXIES. Annars sýnir spjaldið ekkert vistfang og segir að proxy-inn sé ekki treystur.

SSO

Einn OpenID Connect-veitandi getur skráð fólk inn. Hún birtist sem hnappur á innskráningarsíðunni.

1. Opnaðu Settings > Sign-in and security > Single sign-on.
2. Sláðu inn útgefanda (issuer) veitandans og smelltu á Test (prófa). Ekkert leyndarmál er sent í prófinu.
3. Sláðu inn client id og client secret. Hakaðu við Public client (opinber biðlari) ef veitandinn notar ekkert leyndarmál.
4. Afritaðu Callback address (svarvistfang) og skráðu nákvæmlega það vistfang hjá veitandanum.
5. Sláðu inn lykilorðið þitt, ásamt tveggja þátta kóða ef þú notar slíkan, og smelltu á Save. Hver breyting biður um þetta.

Tengdu svo þinn eigin reikning: skráðu þig inn með lykilorðinu, opnaðu My account, smelltu á Link (tengja) undir Linked sign-ins (tengdar innskráningar), staðfestu lykilorðið og smelltu svo á Single sign-on.

Tip

Haltu eigandalykilorði sem virkar. Ef veitandinn liggur niðri virkar innskráning með lykilorði áfram.

Valkostir

Leyfa nýju fólki að ganga til liðs með SSO

Slökkt sjálfgefið. Þegar kveikt er á því fær hver sem veitandinn skráir inn reikning, svo HolyArrs biður þig um að staðfesta. Nýliðar ganga til liðs sem meðlimir sem geta aðeins beðið um efni. SSO býr aldrei til eiganda eða stjórnanda.

Breyta útgefanda eða client id

Þú slærð leyndarmálið inn aftur. Gamlar tengingar eru fjarlægðar og allir sem notuðu SSO eru skráðir út. Þeir tengja aftur úr My account. Ef slökkt er á SSO eru þeir líka skráðir út.

Aftengja innskráningu

• Þína eigin: My account > Linked sign-ins > Unlink (aftengja). Hún krefst nýlegrar staðfestingar á lykilorði og er hafnað ef hún er eina leiðin þín inn.
• Innskráningu einhvers annars: eigandinn notar Settings > Users and roles (notendur og hlutverk). Ef hún er eina leið viðkomandi inn spyr HolyArrs einu sinni enn.

Þegar innskráning er aftengd eru þau tæki skráð út sem notuðu hana. Ef opið er fyrir að ganga til liðs getur sama manneskja komið aftur sem nýr meðlimur. Slökktu á því til að halda viðkomandi úti.

Ef það virkar ekki

Einkenni: HolyArrs biður aftur um lykilorðið þitt. Orsök: breytingar á reikningum, lyklum og stillingum krefjast staðfestingar á lykilorði frá síðustu 10 mínútum, auk tveggja þátta ef það er stillt. Innskráning utan frá og flýtileiðin á staðarnetinu teljast ekki með. Lausn: staðfestu með lykilorðinu þínu. Að skrá sig út og enda tæki biður aldrei um það.

Einkenni: svarið (callback) mistókst með stuttri villu og innskráningin næst ekki. Orsök: svarvistfangið hjá veitandanum er ekki það sama og í HolyArrs. Lausn: afritaðu Callback address aftur og límdu það nákvæmlega inn hjá veitandanum.

Einkenni: reikningur sem var búinn til með SSO getur ekki sett lykilorð. Orsök: það er ekki hægt í þessari útgáfu. Lausn: búðu fyrst til staðbundinn eiganda og tengdu svo SSO við hann.

Einkenni: þú skráðir þig út úr HolyArrs en innskráningin hjá veitandanum helst. Orsök: HolyArrs lýkur aðeins sinni eigin innskráningu. Lausn: á sameiginlegu tæki skaltu líka skrá þig út hjá veitandanum.

Týndirðu eigandalykilorðinu? Sjá Setur og lykilorð.

Fyrir sérfræðinga

Innskráning um traustan proxy

Ef reverse proxy skráir fólk nú þegar inn tekur HolyArrs við nafninu sem hann sendir. Stilltu þetta aðeins í umhverfinu. Það birtist sem hnappur á innskráningarsíðunni; heimsókn skráir engan inn eingöngu út frá hausum.

• Proxy-inn fjarlægir innkomandi Remote-User og Remote-Name og setur sín eigin eftir innskráningu.
• Remote-User: eitt stöðugt nafn, að hámarki 255 bæti. Remote-Name: valfrjálst birtingarnafn, að hámarki 200 bæti.
• Endurteknum gildum, gildum aðskildum með kommum eða gildum með stjórnstöfum er hafnað. Hlutverkahausar eru hunsaðir.

Hafðu HolyArrs aðeins aðgengilegt í gegnum þann proxy. Að treysta vistfangi proxy þýðir að treysta hverju nafni sem hann sendir. Tengdu hann við reikning úr My account > Link trusted proxy sign-in.

Umhverfisbreytur

Stilltu þessar áður en þú ræsir. Báðar aðferðirnar eru slökktar nema kveikt sé á þeim. Röng uppsetning kemur í veg fyrir að HolyArrs ræsist; ef veitandinn liggur niðri virkar innskráning með lykilorði áfram. Ef HOLYARRS_OIDC_ENABLED er yfirhöfuð stillt, jafnvel á false, á umhverfið SSO og Settings sýnir hana aðeins.

Breyta	Hvað hún gerir	Sjálfgefið
HOLYARRS_OIDC_ENABLED	Kveikja á SSO	false
HOLYARRS_OIDC_ISSUER	Nákvæmur HTTPS-útgefandi veitandans	ekkert
HOLYARRS_OIDC_CLIENT_ID	Skráð client id	ekkert
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Skrá með client secret, að hámarki 4096 bæti. Slepptu fyrir opinberan biðlara	ekkert
HOLYARRS_OIDC_REDIRECT_URL	Nákvæmt HTTPS-svarvistfang: vistfangið þitt, URL base ef einhver, svo /api/v1/auth/oidc/callback	ekkert
HOLYARRS_OIDC_ALLOW_JOIN	Nýtt fólk gengur til liðs sem meðlimir sem geta aðeins beðið um efni	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Leyfa veitanda á einkaneti þínu	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Leyfa venjulegt HTTP á loopback, til prófana	false
HOLYARRS_FORWARD_AUTH_ENABLED	Kveikja á innskráningu um traustan proxy	false
HOLYARRS_FORWARD_AUTH_ISSUER	Stöðugt HTTPS-nafn fyrir þennan proxy. Nýtt gildi telst ný uppspretta	ekkert
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Proxy-vistföng eða bil aðskilin með kommum. Nauðsynlegt. Bili sem nær yfir öll vistföng er hafnað	ekkert
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Ný proxy-nöfn ganga til liðs sem meðlimir sem geta aðeins beðið um efni	false

Stillingarnar tvær ALLOW_LOCAL_NETWORK og ALLOW_LOOPBACK_HTTP gilda líka um SSO sem er sett upp í Settings.

Hvernig SSO virkar

• Veitandinn þarf að styðja innskráningu með authorization code og PKCE S256 og RS256 tokens, með alla endapunkta á uppruna útgefandans.
• Reikningar passa saman eftir eigin reikningsauðkenni veitandans, aldrei eftir tölvupósti.
• Hlutverk og hópar veitandans eru ekki notuð.
• Client secret er geymt dulkóðað og aldrei sýnt aftur. Skildu reitinn eftir tóman til að halda því.

Tengt efni

• Notendur og hlutverk
• Setur og lykilorð
• Barnareikningar
• Reverse proxy og URL base