Innlogging og passord

Bestem hvordan folk logger inn: passordlengde, en snarvei for hjemmenettverket og innlogging utenfra. Bare eieren kan endre dette, under Settings > Sign-in and security (innstillinger > innlogging og sikkerhet).

Sett det korteste passordet

1. Åpne Settings > Sign-in and security > Passwords (passord).
2. Skriv inn et tall fra 4 til 64. Standarden er 8.
3. Trykk på Save (lagre). Du skal se at det nye tallet står der etter at du har lastet siden på nytt.

Minstelengden gjelder for hvert nytt passord: den første eieren, godtatte invitasjoner, endringer under My account (min konto) og holyarrs reset-owner. Passord som finnes fra før, fungerer til de byttes neste gang. Det lengste passordet er 1024 tegn.

Advarsel

HolyArrs bremser gjentatte feil innloggingsforsøk, men et kort passord er likevel lett å gjette. Hvis HolyArrs kan nås utenfra hjemmenettverket ditt, bruk 12 tegn eller mer.

Hopp over innlogging på mitt lokale nettverk

Enheter på hjemmenettverket ditt åpner HolyArrs som eieren, uten passord. Av som standard.

1. Åpne Settings > Sign-in and security > Local network (lokalt nettverk).
2. List opp nettverkene dine, ett per linje, opptil 32. Bruk et område (192.168.1.0/24, fd00::/8) eller én adresse (192.168.1.20).
3. Slå på bryteren og lagre. Du skal se din egen adresse på kortet.

Bryteren kan ikke være på med en tom liste, eller mens det finnes en barnekonto. Å lage API-nøkler, endre innloggingsinnstillinger, lese eller bytte ut hemmeligheter og gjenopprette backuper krever fortsatt passord.

Sjekk adressen først

Noen oppsett får alle enheter til å se ut som én gateway-adresse: Docker Desktop, rootless Docker eller Podman, og Kubernetes NodePort. Typiske adresser er 172.17.0.1, 172.18.0.1 og oppover, 10.88.0.1, 10.89.x.1, 10.0.2.2 og 192.168.65.x.

Hvis du legger til en av disse, kommer alle som når HolyArrs inn som eieren. Kortet advarer når en oppføring ser ut som en slik adresse. Åpne siden fra en annen enhet: hvis den viser den samme adressen, slå av bryteren og fjern den oppføringen.

Bak en reverse proxy leser HolyArrs den videresendte adressen bare fra proxyer som står i HOLYARRS_TRUSTED_PROXIES. Ellers viser kortet ingen adresse og sier at proxyen ikke er betrodd.

Single sign-on

Én OpenID Connect-leverandør kan logge folk inn. Den vises som en knapp på innloggingssiden.

1. Åpne Settings > Sign-in and security > Single sign-on.
2. Skriv inn leverandørens issuer og trykk på Test. Det sendes ingen hemmelighet under testen.
3. Skriv inn klient-id og klienthemmelighet. Huk av for Public client (offentlig klient) hvis leverandøren ikke bruker hemmelighet.
4. Kopier Callback address (callback-adresse) og registrer akkurat den adressen hos leverandøren.
5. Skriv inn passordet ditt, pluss en tofaktorkode hvis du bruker en, og trykk på Save. Hver endring krever dette.

Koble deretter til din egen konto: logg inn med passordet ditt, åpne My account, trykk på Link (koble til) under Linked sign-ins (tilkoblede innlogginger), bekreft passordet ditt og trykk på Single sign-on.

Tips

Behold et fungerende eierpassord. Hvis leverandøren er nede, fungerer innlogging med passord fortsatt.

Valg

La nye folk bli med via single sign-on

Av som standard. Når den er på, får alle som leverandøren logger inn en konto, så HolyArrs ber deg bekrefte. Nye brukere blir medlemmer som bare kan be om titler. Single sign-on lager aldri en eier eller admin.

Endre issuer eller klient-id

Du skriver inn hemmeligheten på nytt. Gamle koblinger fjernes, og alle som brukte single sign-on, blir logget ut. De kobler til på nytt fra My account. Hvis du slår av single sign-on, blir de også logget ut.

Koble fra en innlogging

• Din egen: My account > Linked sign-ins > Unlink (koble fra). Det krever en fersk bekreftelse med passord, og blir avvist hvis det er den eneste måten du kommer inn på.
• Noen andres: eieren bruker Settings > Users and roles (brukere og roller). Hvis det er personens eneste vei inn, spør HolyArrs en gang til.

Når du kobler fra, blir enhetene som brukte den innloggingen, logget ut. Hvis det er åpent for å bli med, kan den samme personen komme tilbake som et nytt medlem. Slå av muligheten til å bli med for å holde vedkommende ute.

Hvis det ikke fungerer

Symptom: HolyArrs ber om passordet ditt igjen. Årsak: endringer i kontoer, nøkler og innstillinger krever en passordbekreftelse fra de siste 10 minuttene, pluss tofaktor hvis det er satt opp. Innlogging utenfra og snarveien for lokalt nettverk teller ikke. Løsning: bekreft med passordet ditt. Å logge ut og avslutte enheter spør aldri.

Symptom: en callback feilet med en kort feilmelding, og du forblir utlogget. Årsak: callback-adressen hos leverandøren er ikke den samme som i HolyArrs. Løsning: kopier Callback address på nytt og lim den inn nøyaktig slik hos leverandøren.

Symptom: en konto som er laget via single sign-on, kan ikke sette passord. Årsak: det er ikke mulig i denne versjonen. Løsning: lag den lokale eieren først, og koble deretter single sign-on til den.

Symptom: du er fortsatt logget inn hos leverandøren etter at du logget ut av HolyArrs. Årsak: HolyArrs avslutter bare sin egen innlogging. Løsning: på en delt enhet, logg ut hos leverandøren også.

Mistet du eierpassordet? Se Økter og passord.

For viderekomne

Innlogging via betrodd proxy

Hvis en reverse proxy allerede logger folk inn, godtar HolyArrs navnet den sender videre. Sett det bare i miljøet. Det vises som en knapp på innloggingssiden; et besøk logger aldri noen inn bare ut fra headere.

• Proxyen fjerner innkommende Remote-User og Remote-Name og setter sine egne etter innlogging.
• Remote-User: ett stabilt navn, høyst 255 byte. Remote-Name: valgfritt visningsnavn, høyst 200 byte.
• Verdier som er gjentatt, skilt med komma eller inneholder kontrolltegn, blir avvist. Rolleheadere blir ignorert.

La HolyArrs bare være tilgjengelig gjennom den proxyen. Å stole på en proxyadresse betyr å stole på alle navn den sender. Koble den til en konto fra My account > Link trusted proxy sign-in (koble til innlogging via betrodd proxy).

Miljøvariabler

Sett disse før oppstart. Begge metodene er av med mindre du slår dem på. Et dårlig oppsett hindrer HolyArrs i å starte; hvis leverandøren er nede, fungerer innlogging med passord fortsatt. Hvis HOLYARRS_OIDC_ENABLED er satt i det hele tatt, selv til false, er det miljøet som styrer single sign-on, og Settings viser det bare.

Variabel	Hva den gjør	Standard
HOLYARRS_OIDC_ENABLED	Slå på single sign-on	false
HOLYARRS_OIDC_ISSUER	Leverandørens nøyaktige HTTPS-issuer	ingen
HOLYARRS_OIDC_CLIENT_ID	Registrert klient-id	ingen
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Filen som inneholder klienthemmeligheten, høyst 4096 byte. Utelat den for en offentlig klient	ingen
HOLYARRS_OIDC_REDIRECT_URL	Nøyaktig HTTPS-callback: adressen din, URL base hvis du har en, så /api/v1/auth/oidc/callback	ingen
HOLYARRS_OIDC_ALLOW_JOIN	Nye folk blir medlemmer som bare kan be om titler	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Tillat en leverandør på det private nettverket ditt	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Tillat vanlig HTTP på loopback, for testing	false
HOLYARRS_FORWARD_AUTH_ENABLED	Slå på innlogging via betrodd proxy	false
HOLYARRS_FORWARD_AUTH_ISSUER	Stabilt HTTPS-navn for denne proxyen. En ny verdi teller som en ny kilde	ingen
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Proxyadresser eller områder, skilt med komma. Påkrevd. Et område som dekker alle adresser, blir avvist	ingen
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Nye proxynavn blir medlemmer som bare kan be om titler	false

De to innstillingene ALLOW_LOCAL_NETWORK og ALLOW_LOOPBACK_HTTP gjelder også for single sign-on som er satt opp i Settings.

Slik fungerer single sign-on

• Leverandøren må støtte innlogging med authorization code med PKCE S256 og RS256-tokens, med alle endepunkter på issuerens origin.
• Kontoer kobles sammen via leverandørens egen konto-id, aldri via e-post.
• Leverandørens roller og grupper brukes ikke.
• Klienthemmeligheten lagres kryptert og vises aldri igjen. La feltet stå tomt for å beholde den.

Relatert

• Brukere og roller
• Økter og passord
• Barnekontoer
• URL base og reverse proxy