Prisijungimas ir slaptažodžiai

Sąranka

Nuspręsk, kaip žmonės prisijungia: slaptažodžio ilgis, namų tinklo išimtis ir prisijungimas iš išorės. Tai keisti gali tik savininkas, per Settings > Sign-in and security (nustatymai > prisijungimas ir sauga).

Nustatyk trumpiausią slaptažodį

Atidaryk Settings > Sign-in and security > Passwords (nustatymai > prisijungimas ir sauga > slaptažodžiai).
Įvesk skaičių nuo 4 iki 64. Pagal numatymą jis yra 8.
Paspausk Save (išsaugoti). Turėtum pamatyti, kad naujas skaičius lieka ir perkrovus puslapį.

Minimumas galioja kiekvienam naujam slaptažodžiui: pirmajam savininkui, priimtiems kvietimams, pakeitimams puslapyje My account (mano paskyra) ir holyarrs reset-owner. Esami slaptažodžiai veikia, kol juos pakeisi. Ilgiausias slaptažodis yra 1024 simbolių.

Praleisk prisijungimą mano vietiniame tinkle

Įrenginiai tavo namų tinkle atidaro HolyArrs kaip savininkas, be slaptažodžio. Pagal numatymą išjungta.

Atidaryk Settings > Sign-in and security > Local network (nustatymai > prisijungimas ir sauga > vietinis tinklas).
Surašyk savo tinklus, po vieną eilutėje, iki 32. Naudok intervalą (192.168.1.0/24, fd00::/8) arba vieną adresą (192.168.1.20).
Įjunk jungiklį ir išsaugok. Turėtum pamatyti savo adresą kortelėje.

Jungiklio negalima įjungti su tuščiu sąrašu arba kol yra bent viena vaiko paskyra. API raktų kūrimas, prisijungimo nustatymų keitimas, paslapčių skaitymas ar keitimas ir backup atkūrimas vis tiek prašo slaptažodžio.

Pirma patikrink adresą

Kai kuriose sąrankose visi įrenginiai atrodo kaip vienas šliuzo adresas: Docker Desktop, rootless Docker ar Podman ir Kubernetes NodePort. Tipiniai yra 172.17.0.1, 172.18.0.1 ir didesni, 10.88.0.1, 10.89.x.1, 10.0.2.2 ir 192.168.65.x.

Jei įrašysi vieną iš jų, kiekvienas, pasiekiantis HolyArrs, pateks kaip savininkas. Kortelė įspėja, kai įrašas panašus į tokį. Atidaryk puslapį iš antro įrenginio: jei rodo tą patį adresą, išjunk jungiklį ir pašalink tą įrašą.

Už reverse proxy HolyArrs persiųstą adresą skaito tik iš proxy, nurodytų HOLYARRS_TRUSTED_PROXIES. Kitaip kortelė adreso nerodo ir sako, kad proxy nėra patikimas.

Single sign-on

Žmones gali prijungti vienas OpenID Connect tiekėjas. Jis rodomas kaip mygtukas prisijungimo puslapyje.

Atidaryk Settings > Sign-in and security > Single sign-on (nustatymai > prisijungimas ir sauga > single sign-on).
Įvesk tiekėjo issuer ir paspausk Test (tikrinti). Tikrinimui jokia paslaptis nesiunčiama.
Įvesk client id ir client secret. Pažymėk Public client (viešasis klientas), jei tiekėjas paslapties nenaudoja.
Nukopijuok Callback address (atgalinio iškvietimo adresas) ir tiksliai tą patį adresą užregistruok pas tiekėją.
Įvesk savo slaptažodį ir dviejų veiksnių kodą, jei jį naudoji, ir paspausk Save. To prašo kiekvienas pakeitimas.

Tada susiek savo paskyrą: prisijunk slaptažodžiu, atidaryk My account, skiltyje Linked sign-ins (susieti prisijungimai) paspausk Link (susieti), patvirtink slaptažodį ir paspausk Single sign-on.

Pasirinkimai

Leisk naujiems žmonėms prisijungti per single sign-on

Pagal numatymą išjungta. Kai įjungta, kiekvienas, kurį tiekėjas prijungia, gauna paskyrą, todėl HolyArrs prašo tai patvirtinti. Naujokai tampa nariais, kurie gali tik prašyti. Single sign-on niekada nesukuria savininko ar administratoriaus.

Pakeisk issuer arba client id

Paslaptį įvedi iš naujo. Senos nuorodos pašalinamos, o visi, kurie naudojo single sign-on, atjungiami. Jie susieja iš naujo puslapyje My account. Išjungus single sign-on jie taip pat atjungiami.

Atsiek prisijungimą

Savo paties: My account > Linked sign-ins > Unlink (mano paskyra > susieti prisijungimai > atsieti). Reikia neseniai patvirtinto slaptažodžio, o jei tai vienintelis tavo būdas prisijungti, atsisakoma.
Kieno nors kito: savininkas naudoja Settings > Users and roles (nustatymai > naudotojai ir rolės). Jei tai vienintelis to žmogaus būdas prisijungti, HolyArrs paklausia dar kartą.

Atsiejimas atjungia įrenginius, kurie jį naudojo. Jei prisijungimas naujiems žmonėms atviras, tas pats žmogus gali sugrįžti kaip naujas narys. Išjunk prisijungimą naujiems žmonėms, kad jo neįleistum.

Jei neveikia

Požymis: HolyArrs vėl prašo tavo slaptažodžio. Priežastis: paskyrų, raktų ir nustatymų pakeitimams reikia slaptažodžio patvirtinimo per paskutines 10 minučių, o jei įjungta, ir dviejų veiksnių kodo. Prisijungimas iš išorės ir vietinio tinklo išimtis į tai neskaičiuojami. Sprendimas: patvirtink slaptažodžiu. Atsijungimas ir įrenginių atjungimas niekada neprašo.

Požymis: callback nepavyko su trumpa klaida, ir lieki neprisijungęs. Priežastis: callback adresas pas tiekėją skiriasi nuo HolyArrs. Sprendimas: dar kartą nukopijuok Callback address ir tiksliai tokį įklijuok pas tiekėją.

Požymis: paskyra, sukurta per single sign-on, negali nustatyti slaptažodžio. Priežastis: šioje versijoje tai neįmanoma. Sprendimas: pirmiausia sukurk vietinį savininką, tada prie jo susiek single sign-on.

Požymis: atsijungus nuo HolyArrs liekama prisijungus pas tiekėją. Priežastis: HolyArrs užbaigia tik savo prisijungimą. Sprendimas: bendrame įrenginyje atsijunk ir pas tiekėją.

Pamiršai savininko slaptažodį? Žr. Sesijos ir slaptažodžiai.

Pažengusiems

Patikimo proxy prisijungimas

Jei reverse proxy jau prijungia žmones, HolyArrs priima vardą, kurį šis perduoda. Nustatyk tai tik aplinkoje. Jis rodomas kaip mygtukas prisijungimo puslapyje; vien apsilankymas niekada neprijungia žmogaus pagal antraštes.

Proxy pašalina gaunamus Remote-User ir Remote-Name ir po prisijungimo nustato savus.
Remote-User: vienas pastovus vardas, daugiausia 255 baitai. Remote-Name: neprivalomas rodomas vardas, daugiausia 200 baitų.
Pakartotinės, kableliais sujungtos reikšmės ar reikšmės su valdymo simboliais atmetamos. Rolių antraštės ignoruojamos.

Palik HolyArrs pasiekiamą tik per tą proxy. Pasitikėti proxy adresu reiškia pasitikėti kiekvienu jo siunčiamu vardu. Susiek jį su paskyra per My account > Link trusted proxy sign-in (mano paskyra > susieti patikimo proxy prisijungimą).

Aplinkos kintamieji

Nustatyk juos prieš paleidimą. Abu būdai išjungti, kol neįjungi. Bloga sąranka sustabdo HolyArrs paleidimą; tiekėjo gedimas palieka veikiantį prisijungimą slaptažodžiu. Jei HOLYARRS_OIDC_ENABLED nustatytas bet kaip, net į false, single sign-on valdo aplinka, o nustatymai jį tik rodo.

Kintamasis	Ką daro	Numatytasis
`HOLYARRS_OIDC_ENABLED`	Įjungia single sign-on	`false`
`HOLYARRS_OIDC_ISSUER`	Tikslus tiekėjo HTTPS issuer	nėra
`HOLYARRS_OIDC_CLIENT_ID`	Užregistruotas client id	nėra
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	Failas su client secret, daugiausia 4096 baitai. Viešajam klientui praleisk	nėra
`HOLYARRS_OIDC_REDIRECT_URL`	Tikslus HTTPS callback: tavo adresas, URL base, jei yra, tada `/api/v1/auth/oidc/callback`	nėra
`HOLYARRS_OIDC_ALLOW_JOIN`	Nauji žmonės prisijungia kaip nariai, kurie gali tik prašyti	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	Leidžia tiekėją tavo privačiame tinkle	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	Leidžia paprastą HTTP loopback adresu, testavimui	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	Įjungia patikimo proxy prisijungimą	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	Pastovus HTTPS vardas šiam proxy. Nauja reikšmė skaitoma nauju šaltiniu	nėra
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	Kableliais atskirti proxy adresai ar intervalai. Privaloma. Visų adresų intervalas atmetamas	nėra
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	Nauji proxy vardai prisijungia kaip nariai, kurie gali tik prašyti	`false`

Abu nustatymai ALLOW_LOCAL_NETWORK ir ALLOW_LOOPBACK_HTTP galioja ir single sign-on, nustatytam per Settings.

Kaip veikia single sign-on

Tiekėjas turi palaikyti authorization code prisijungimą su PKCE S256 ir RS256 tokenais, o kiekvienas endpoint turi būti issuer origin.
Paskyros sutapatinamos pagal paties tiekėjo paskyros id, niekada pagal el. paštą.
Tiekėjo rolės ir grupės nenaudojami.
Client secret saugomas užšifruotas ir daugiau niekada nerodomas. Palik lauką tuščią, kad jį išlaikytum.

Susiję puslapiai

HolyArrs yra nemokama. Jei sutaupė tau laiko, pažymėk jį žvaigždute GitHub, paremk jį arba nupirk man kavos.