Pieteikšanās un paroles

Izlemj, kā cilvēki piesakās: paroles garums, saīsne mājas tīklam un pieteikšanās no ārpuses. Tikai īpašnieks to maina sadaļā Settings > Sign-in and security (iestatījumi > pieteikšanās un drošība).

Iestati īsāko paroli

1. Atver Settings > Sign-in and security > Passwords (paroles).
2. Ieraksti skaitli no 4 līdz 64. Pēc noklusējuma tas ir 8.
3. Noklikšķini uz Save (saglabāt). Tev vajadzētu redzēt, ka jaunais skaitlis paliek arī pēc lapas pārlādes.

Minimālais garums attiecas uz katru jaunu paroli: pirmo īpašnieku, pieņemtos uzaicinājumus, izmaiņas sadaļā My account (mans konts) un holyarrs reset-owner. Esošās paroles darbojas, līdz tās nākamreiz tiek mainītas. Garākā parole ir 1024 rakstzīmes.

Uzmanību

HolyArrs palēnina atkārtotas nepareizas pieteikšanās, taču īsu paroli joprojām ir viegli uzminēt. Ja HolyArrs ir sasniedzams no ārpuses tava mājas tīkla, izmanto 12 vai vairāk rakstzīmju.

Izlaid pieteikšanos manā vietējā tīklā

Ierīces tavā mājas tīklā atver HolyArrs kā īpašnieks, bez paroles. Pēc noklusējuma tas ir izslēgts.

1. Atver Settings > Sign-in and security > Local network (vietējais tīkls).
2. Uzskaiti savus tīklus, vienu katrā rindā, ne vairāk kā 32. Izmanto diapazonu (192.168.1.0/24, fd00::/8) vai vienu adresi (192.168.1.20).
3. Ieslēdz slēdzi un saglabā. Tev vajadzētu redzēt savu adresi kartītē.

Slēdzi nevar ieslēgt ar tukšu sarakstu vai tad, kamēr pastāv kāds bērna konts. API atslēgu izveide, pieteikšanās iestatījumu maiņa, noslēpumu lasīšana vai aizstāšana un dublējumu atjaunošana joprojām prasa paroli.

Vispirms pārbaudi adresi

Dažās konfigurācijās katra ierīce izskatās kā viena vārteja adrese: Docker Desktop, rootless Docker vai Podman un Kubernetes NodePort. Tipiskas ir 172.17.0.1, 172.18.0.1 un augstāk, 10.88.0.1, 10.89.x.1, 10.0.2.2 un 192.168.65.x.

Ja sarakstā ieraksti kādu no tām, ikviens, kas sasniedz HolyArrs, iegūst piekļuvi kā īpašnieks. Kartīte brīdina, ja ieraksts izskatās pēc tāda. Atver lapu no otras ierīces: ja tā rāda to pašu adresi, izslēdz slēdzi un noņem šo ierakstu.

Aiz reversā starpniekservera (reverse proxy) HolyArrs pārsūtīto adresi nolasa tikai no starpniekserveriem, kas norādīti HOLYARRS_TRUSTED_PROXIES. Citādi kartīte nerāda adresi un norāda, ka starpniekserveris nav uzticams.

Vienotā pieteikšanās

Cilvēkus var pieteikt viens OpenID Connect nodrošinātājs. Tas parādās kā poga pieteikšanās lapā.

1. Atver Settings > Sign-in and security > Single sign-on (vienotā pieteikšanās).
2. Ieraksti nodrošinātāja issuer un noklikšķini uz Test (pārbaudīt). Pārbaudei netiek sūtīts neviens noslēpums.
3. Ieraksti client id un client secret. Atzīmē Public client (publisks klients), ja nodrošinātājs neizmanto noslēpumu.
4. Nokopē Callback address (atzvana adrese) un reģistrē tieši šo adresi pie nodrošinātāja.
5. Ieraksti savu paroli, kā arī divfaktoru kodu, ja tādu izmanto, un noklikšķini uz Save. To prasa katra izmaiņa.

Pēc tam sasaisti savu kontu: piesakies ar paroli, atver My account, sadaļā Linked sign-ins (saistītās pieteikšanās) noklikšķini uz Link (saistīt), apstiprini paroli, pēc tam noklikšķini uz Single sign-on.

Padoms

Saglabā darbojošos īpašnieka paroli. Ja nodrošinātājs nedarbojas, pieteikšanās ar paroli joprojām strādā.

Izvēles

Ļauj jauniem cilvēkiem pievienoties ar vienoto pieteikšanos

Pēc noklusējuma izslēgts. Ja ieslēgts, ikviens, ko nodrošinātājs piesaka, iegūst kontu, tāpēc HolyArrs prasa to apstiprināt. Jaunpienācēji pievienojas kā dalībnieki, kas var tikai pieprasīt. Vienotā pieteikšanās nekad neizveido īpašnieku vai administratoru.

Maini issuer vai client id

Noslēpums jāievada vēlreiz. Vecās saites tiek noņemtas, un visi, kas izmantoja vienoto pieteikšanos, tiek izrakstīti. Viņi saistās vēlreiz no My account. Arī vienotās pieteikšanās izslēgšana viņus izraksta.

Atsaisti pieteikšanos

• Savu: My account > Linked sign-ins > Unlink (atsaistīt). Atsaistīšanai vajadzīgs nesens paroles apstiprinājums, un tā tiek noraidīta, ja tā ir tava vienīgā pieteikšanās iespēja.
• Jebkura cita: īpašnieks izmanto Settings > Users and roles (lietotāji un lomas). Ja tā ir cilvēka vienīgā pieteikšanās iespēja, HolyArrs pavaicā vēl vienreiz.

Atsaistīšana izraksta ierīces, kas to izmantoja. Ja pievienošanās ir atvērta, tas pats cilvēks var atgriezties kā jauns dalībnieks. Izslēdz pievienošanos, lai viņu neielaistu.

Ja tas nedarbojas

Simptoms: HolyArrs atkal prasa tavu paroli. Cēlonis: kontu, atslēgu un iestatījumu izmaiņām vajadzīgs paroles apstiprinājums pēdējo 10 minūšu laikā, kā arī divfaktoru kods, ja tas ir iestatīts. Pieteikšanās no ārpuses un vietējā tīkla saīsne netiek skaitīta. Risinājums: apstiprini ar savu paroli. Izrakstīšanās un ierīču izrakstīšana to nekad neprasa.

Simptoms: atzvans neizdevās ar īsu kļūdu, un tu paliec izrakstīts. Cēlonis: atzvana adrese pie nodrošinātāja atšķiras no HolyArrs adreses. Risinājums: vēlreiz nokopē Callback address un ielīmē to tieši tādu pašu pie nodrošinātāja.

Simptoms: kontam, kas izveidots ar vienoto pieteikšanos, nevar iestatīt paroli. Cēlonis: šajā versijā tas nav iespējams. Risinājums: vispirms izveido vietējo īpašnieku, pēc tam sasaisti ar to vienoto pieteikšanos.

Simptoms: pēc izrakstīšanās no HolyArrs tu palieci pieteicies pie nodrošinātāja. Cēlonis: HolyArrs beidz tikai savu pieteikšanos. Risinājums: koplietotā ierīcē izraksties arī pie nodrošinātāja.

Pazaudēji īpašnieka paroli? Skati Sesijas un paroles.

Pieredzējušiem

Pieteikšanās caur uzticamu starpniekserveri

Ja reversais starpniekserveris jau piesaka cilvēkus, HolyArrs pieņem vārdu, ko tas nodod. Iestati to tikai vides mainīgajos. Tas parādās kā poga pieteikšanās lapā; apmeklējums nekad nepiesaka nevienu tikai pēc galvenēm.

• Starpniekserveris noņem ienākošos Remote-User un Remote-Name un pēc pieteikšanās iestata savus.
• Remote-User: viens stabils vārds, ne vairāk kā 255 baiti. Remote-Name: neobligāts attēlojamais vārds, ne vairāk kā 200 baiti.
• Atkārtotas, ar komatiem savienotas vai vadības rakstzīmes saturošas vērtības tiek noraidītas. Lomu galvenes tiek ignorētas.

Padari HolyArrs sasniedzamu tikai caur šo starpniekserveri. Uzticēties starpniekservera adresei nozīmē uzticēties katram vārdam, ko tas sūta. Sasaisti to ar kontu sadaļā My account > Link trusted proxy sign-in (saistīt pieteikšanos caur uzticamu starpniekserveri).

Vides mainīgie

Iestati tos pirms palaišanas. Abas metodes ir izslēgtas, ja vien tās neieslēdz. Nepareiza konfigurācija neļauj HolyArrs palaisties; nodrošinātāja kļūme neietekmē pieteikšanos ar paroli. Ja HOLYARRS_OIDC_ENABLED ir iestatīts jebkādi, pat uz false, vienoto pieteikšanos pārvalda vide, un Settings to tikai rāda.

Mainīgais	Ko tas dara	Noklusējums
HOLYARRS_OIDC_ENABLED	Ieslēdz vienoto pieteikšanos	false
HOLYARRS_OIDC_ISSUER	Nodrošinātāja precīzais HTTPS issuer	nav
HOLYARRS_OIDC_CLIENT_ID	Reģistrētais client id	nav
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Fails ar client secret, ne vairāk kā 4096 baiti. Publiskam klientam izlaid	nav
HOLYARRS_OIDC_REDIRECT_URL	Precīzs HTTPS atzvans: tava adrese, URL base, ja tāda ir, tad /api/v1/auth/oidc/callback	nav
HOLYARRS_OIDC_ALLOW_JOIN	Jauni cilvēki pievienojas kā dalībnieki, kas var tikai pieprasīt	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Atļauj nodrošinātāju tavā privātajā tīklā	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Atļauj parasto HTTP uz loopback, testēšanai	false
HOLYARRS_FORWARD_AUTH_ENABLED	Ieslēdz pieteikšanos caur uzticamu starpniekserveri	false
HOLYARRS_FORWARD_AUTH_ISSUER	Stabils HTTPS nosaukums šim starpniekserverim. Jauna vērtība tiek skaitīta kā jauns avots	nav
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Ar komatiem atdalītas starpniekservera adreses vai diapazoni. Obligāts. Diapazons, kas aptver visas adreses, tiek noraidīts	nav
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Jauni starpniekservera vārdi pievienojas kā dalībnieki, kas var tikai pieprasīt	false

Abi iestatījumi ALLOW_LOCAL_NETWORK un ALLOW_LOOPBACK_HTTP attiecas arī uz vienoto pieteikšanos, kas iestatīta sadaļā Settings.

Kā darbojas vienotā pieteikšanās

• Nodrošinātājam jāatbalsta authorization code pieteikšanās ar PKCE S256 un RS256 tokeniem, ar visiem galapunktiem tajā pašā izcelsmē (origin) kā issuer.
• Konti tiek saskaņoti pēc paša nodrošinātāja konta id, nekad pēc e-pasta.
• Nodrošinātāja lomas un grupas netiek izmantotas.
• Client secret tiek glabāts šifrēts un nekad vairs netiek rādīts. Lai to paturētu, atstāj lauku tukšu.

Saistītais

• Lietotāji un lomas
• Sesijas un paroles
• Bērnu konti
• URL base un reversais starpniekserveris