Log masuk dan kata laluan

Tentukan cara orang log masuk: panjang kata laluan, pintasan rangkaian rumah, dan log masuk dari luar. Hanya pemilik boleh mengubahnya, di Settings > Sign-in and security (Tetapan > Log masuk dan keselamatan).

Tetapkan kata laluan paling pendek

1. Buka Settings > Sign-in and security > Passwords (Kata laluan).
2. Taip nombor dari 4 hingga 64. Nilai lalai ialah 8.
3. Tekan Save (simpan). Anda akan nampak nombor baharu kekal selepas muat semula.

Had minimum ini terpakai pada setiap kata laluan baharu: pemilik pertama, jemputan yang diterima, perubahan di My account (akaun saya) dan holyarrs reset-owner. Kata laluan sedia ada terus berfungsi sehingga ditukar. Kata laluan terpanjang ialah 1024 aksara.

Caution

HolyArrs melambatkan log masuk salah yang berulang, tetapi kata laluan pendek tetap mudah diteka. Jika HolyArrs boleh dicapai dari luar rumah anda, gunakan 12 aksara atau lebih.

Langkau log masuk di rangkaian setempat saya

Peranti di rangkaian rumah anda membuka HolyArrs sebagai pemilik, tanpa kata laluan. Mati secara lalai.

1. Buka Settings > Sign-in and security > Local network (Rangkaian setempat).
2. Senaraikan rangkaian anda, satu sebaris, sehingga 32. Gunakan julat (192.168.1.0/24, fd00::/8) atau satu alamat (192.168.1.20).
3. Hidupkan suis dan simpan. Anda akan nampak alamat anda sendiri pada kad.

Suis tidak boleh dihidupkan jika senarai kosong, atau semasa mana-mana akaun Kanak-kanak wujud. Membuat kunci API, menukar tetapan log masuk, membaca atau menggantikan rahsia dan memulihkan sandaran masih meminta kata laluan.

Semak alamat dahulu

Sesetengah persediaan menjadikan setiap peranti kelihatan seperti satu alamat gateway: Docker Desktop, Docker atau Podman rootless, dan Kubernetes NodePort. Yang biasa ialah 172.17.0.1, 172.18.0.1 dan ke atas, 10.88.0.1, 10.89.x.1, 10.0.2.2 dan 192.168.65.x.

Jika anda menyenaraikan salah satu daripadanya, sesiapa yang sampai ke HolyArrs masuk sebagai pemilik. Kad memberi peringatan apabila satu entri kelihatan begitu. Buka halaman dari peranti kedua: jika ia menunjukkan alamat yang sama, matikan suis dan buang entri itu.

Di belakang proksi songsang (reverse proxy), HolyArrs membaca alamat yang dimajukan hanya daripada proksi dalam HOLYARRS_TRUSTED_PROXIES. Jika tidak, kad tidak menunjukkan alamat dan menyatakan proksi itu tidak dipercayai.

Log masuk tunggal

Satu penyedia OpenID Connect boleh digunakan untuk log masuk. Ia muncul sebagai butang pada halaman log masuk.

1. Buka Settings > Sign-in and security > Single sign-on (Log masuk tunggal).
2. Taip issuer penyedia dan tekan Test (uji). Tiada rahsia dihantar untuk ujian.
3. Taip client id dan client secret. Tandakan Public client (klien awam) jika penyedia tidak menggunakan rahsia.
4. Salin Callback address (alamat panggil balik) dan daftarkan alamat yang tepat itu di penyedia.
5. Taip kata laluan anda, serta kod dua faktor jika anda menggunakannya, dan tekan Save. Setiap perubahan meminta ini.

Kemudian pautkan akaun anda sendiri: log masuk dengan kata laluan, buka My account, di bawah Linked sign-ins (log masuk terpaut) tekan Link (pautkan), sahkan kata laluan anda, kemudian tekan Single sign-on.

Tip

Simpan kata laluan pemilik yang berfungsi. Jika penyedia terhenti, log masuk dengan kata laluan masih berfungsi.

Pilihan

Benarkan orang baharu menyertai melalui log masuk tunggal

Mati secara lalai. Apabila dihidupkan, sesiapa yang dilog masuk oleh penyedia mendapat akaun, jadi HolyArrs meminta anda mengesahkan. Orang baharu menyertai sebagai ahli yang hanya boleh meminta. Log masuk tunggal tidak pernah menjadikan seseorang pemilik atau pentadbir.

Tukar issuer atau client id

Anda menaip rahsia sekali lagi. Pautan lama dibuang dan semua orang yang menggunakan log masuk tunggal dilog keluar. Mereka memautkan semula dari My account. Mematikan log masuk tunggal juga melog keluar mereka.

Nyahpautkan log masuk

• Milik anda sendiri: My account > Linked sign-ins > Unlink (nyahpautkan). Ia memerlukan pengesahan kata laluan yang baru, dan ditolak jika ia satu-satunya cara anda masuk.
• Milik orang lain: pemilik menggunakan Settings > Users and roles (Pengguna dan peranan). Jika ia satu-satunya cara orang itu masuk, HolyArrs bertanya sekali lagi.

Menyahpautkan melog keluar peranti yang menggunakannya. Jika penyertaan terbuka, orang yang sama boleh kembali sebagai ahli baharu. Matikan penyertaan untuk menghalangnya.

Jika tidak berfungsi

Gejala: HolyArrs meminta kata laluan anda sekali lagi. Punca: perubahan pada akaun, kunci dan tetapan memerlukan pengesahan kata laluan dalam 10 minit terakhir, serta dua faktor jika ditetapkan. Log masuk dari luar dan pintasan rangkaian setempat tidak dikira. Penyelesaian: sahkan dengan kata laluan anda. Log keluar dan menamatkan peranti tidak pernah meminta.

Gejala: panggil balik gagal dengan ralat pendek, dan anda kekal dilog keluar. Punca: alamat panggil balik di penyedia berbeza daripada HolyArrs. Penyelesaian: salin Callback address sekali lagi dan tampal tepat seperti asal di penyedia.

Gejala: akaun yang dibuat melalui log masuk tunggal tidak boleh menetapkan kata laluan. Punca: tidak boleh dalam versi ini. Penyelesaian: buat pemilik tempatan dahulu, kemudian pautkan log masuk tunggal kepadanya.

Gejala: log keluar dari HolyArrs menyebabkan anda masih log masuk di penyedia. Punca: HolyArrs hanya menamatkan log masuknya sendiri. Penyelesaian: pada peranti kongsi, log keluar di penyedia juga.

Kehilangan kata laluan pemilik? Lihat Sesi dan kata laluan.

Untuk pakar

Log masuk proksi dipercayai

Jika proksi songsang sudah mengendalikan log masuk orang, HolyArrs menerima nama yang dihantarnya. Tetapkannya dalam persekitaran sahaja. Ia muncul sebagai butang pada halaman log masuk; lawatan tidak pernah membuat sesiapa log masuk daripada pengepala sahaja.

• Proksi membuang Remote-User dan Remote-Name yang masuk dan menetapkan miliknya sendiri selepas log masuk.
• Remote-User: satu nama tetap, paling banyak 255 bait. Remote-Name: nama paparan pilihan, paling banyak 200 bait.
• Nilai yang berulang, digabung dengan koma atau mengandungi aksara kawalan ditolak. Pengepala peranan diabaikan.

Pastikan HolyArrs hanya boleh dicapai melalui proksi itu. Mempercayai alamat proksi bermakna mempercayai setiap nama yang dihantarnya. Pautkan ia kepada akaun dari My account > Link trusted proxy sign-in (pautkan log masuk proksi dipercayai).

Pemboleh ubah persekitaran

Tetapkan ini sebelum mula. Kedua-dua kaedah mati melainkan dihidupkan. Persediaan yang salah menghalang HolyArrs daripada bermula; gangguan penyedia membiarkan log masuk dengan kata laluan terus berfungsi. Jika HOLYARRS_OIDC_ENABLED ditetapkan langsung, walaupun kepada false, persekitaran menguasai log masuk tunggal dan Settings hanya menunjukkannya.

Pemboleh ubah	Fungsi	Lalai
HOLYARRS_OIDC_ENABLED	Hidupkan log masuk tunggal	false
HOLYARRS_OIDC_ISSUER	Issuer HTTPS penyedia yang tepat	tiada
HOLYARRS_OIDC_CLIENT_ID	Client id yang didaftarkan	tiada
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Fail yang mengandungi client secret, paling banyak 4096 bait. Tinggalkan untuk klien awam	tiada
HOLYARRS_OIDC_REDIRECT_URL	Panggil balik HTTPS yang tepat: alamat anda, URL base jika ada, kemudian /api/v1/auth/oidc/callback	tiada
HOLYARRS_OIDC_ALLOW_JOIN	Orang baharu menyertai sebagai ahli yang hanya boleh meminta	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Benarkan penyedia di rangkaian peribadi anda	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Benarkan HTTP biasa pada loopback, untuk ujian	false
HOLYARRS_FORWARD_AUTH_ENABLED	Hidupkan log masuk proksi dipercayai	false
HOLYARRS_FORWARD_AUTH_ISSUER	Nama HTTPS tetap untuk proksi ini. Nilai baharu dikira sebagai Sumber baharu	tiada
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Alamat atau julat proksi dipisahkan koma. Wajib. Julat semua alamat ditolak	tiada
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Nama proksi baharu menyertai sebagai ahli yang hanya boleh meminta	false

Dua tetapan ALLOW_LOCAL_NETWORK dan ALLOW_LOOPBACK_HTTP turut terpakai pada log masuk tunggal yang disediakan di Settings.

Cara log masuk tunggal berfungsi

• Penyedia mesti menyokong log masuk kod kebenaran dengan PKCE S256 dan token RS256, dengan setiap endpoint pada origin issuer.
• Akaun dipadankan mengikut id akaun penyedia sendiri, tidak pernah mengikut email.
• Peranan dan kumpulan penyedia tidak digunakan.
• Client secret disimpan disulitkan dan tidak pernah ditunjukkan lagi. Biarkan medan kosong untuk mengekalkannya.

Berkaitan

• Pengguna dan peranan
• Sesi dan kata laluan
• Akaun Kanak-kanak
• URL base dan proksi songsang