Aanmelden en wachtwoorden

Bepaal hoe mensen zich aanmelden: de lengte van het wachtwoord, een snelkoppeling voor het thuisnetwerk en aanmelden van buitenaf. Alleen de eigenaar wijzigt dit, in Settings > Sign-in and security (Instellingen > Aanmelding en beveiliging).

De kortste wachtwoordlengte instellen

1. Open Settings > Sign-in and security > Passwords.
2. Typ een getal van 4 tot 64. Standaard is het 8.
3. Klik op Save (opslaan). Het nieuwe getal blijft na het herladen staan.

Het minimum geldt voor elk nieuw wachtwoord: van de eerste eigenaar, van geaccepteerde uitnodigingen, bij wijzigingen op My account (mijn account) en bij holyarrs reset-owner. Bestaande wachtwoorden blijven werken tot ze de volgende keer worden gewijzigd. Het langste wachtwoord is 1024 tekens.

Opgepast

HolyArrs vertraagt herhaalde foute aanmeldpogingen, maar een kort wachtwoord is nog steeds makkelijk te raden. Is HolyArrs van buiten je thuisnetwerk bereikbaar, gebruik dan 12 tekens of meer.

Aanmelden overslaan op mijn lokale netwerk

Apparaten op je thuisnetwerk openen HolyArrs als eigenaar, zonder wachtwoord. Standaard staat dit uit.

1. Open Settings > Sign-in and security > Local network (lokaal netwerk).
2. Zet je netwerken in de lijst, één per regel, maximaal 32. Gebruik een bereik (192.168.1.0/24, fd00::/8) of één adres (192.168.1.20).
3. Zet de schakelaar aan en sla op. Je ziet nu je eigen adres op de kaart.

De schakelaar kan niet aan met een lege lijst, of zolang er een kinderaccount bestaat. API-sleutels maken, aanmeldinstellingen wijzigen, geheimen lezen of vervangen en backups terugzetten vragen nog steeds om een wachtwoord.

Controleer eerst het adres

Bij sommige opstellingen lijkt elk apparaat van hetzelfde gateway-adres te komen: Docker Desktop, rootless Docker of Podman, en Kubernetes NodePort. Gebruikelijke adressen zijn 172.17.0.1, 172.18.0.1 en hoger, 10.88.0.1, 10.89.x.1, 10.0.2.2 en 192.168.65.x.

Zet je zo’n adres in de lijst, dan komt iedereen die HolyArrs bereikt binnen als eigenaar. De kaart waarschuwt als een item er zo uitziet. Open de pagina vanaf een tweede apparaat: toont die hetzelfde adres, zet dan de schakelaar uit en verwijder dat item.

Achter een reverse proxy leest HolyArrs het doorgestuurde adres alleen van proxy’s in HOLYARRS_TRUSTED_PROXIES. Anders toont de kaart geen adres en staat er dat de proxy niet vertrouwd wordt.

Single sign-on

Eén OpenID Connect-provider kan mensen aanmelden. Die verschijnt als knop op de aanmeldpagina.

1. Open Settings > Sign-in and security > Single sign-on (eenmalige aanmelding).
2. Typ de issuer van de provider en klik op Test (testen). Voor de test wordt geen geheim verstuurd.
3. Typ de client-id en het clientgeheim. Vink Public client (openbare client) aan als de provider geen geheim gebruikt.
4. Kopieer het Callback address (callback-adres) en registreer precies dat adres bij de provider.
5. Typ je wachtwoord, plus een tweestapscode als je die gebruikt, en klik op Save. Elke wijziging vraagt hierom.

Koppel daarna je eigen account: meld je aan met je wachtwoord, open My account, klik onder Linked sign-ins (gekoppelde aanmeldingen) op Link (koppelen), bevestig je wachtwoord en klik dan op Single sign-on.

Tip

Houd een werkend eigenaarswachtwoord achter de hand. Ligt de provider eruit, dan werkt aanmelden met een wachtwoord nog steeds.

Keuzes

Nieuwe mensen laten meedoen via single sign-on

Standaard staat dit uit. Staat het aan, dan krijgt iedereen die de provider aanmeldt een account, en daarom vraagt HolyArrs je om te bevestigen. Nieuwkomers komen binnen als leden die alleen kunnen aanvragen. Single sign-on maakt nooit een eigenaar of beheerder.

De issuer of client-id wijzigen

Je typt het geheim opnieuw. Oude koppelingen worden verwijderd en iedereen die single sign-on gebruikte, wordt afgemeld. Ze koppelen opnieuw via My account. Ook als je single sign-on uitzet, worden ze afgemeld.

Een aanmelding ontkoppelen

• Je eigen aanmelding: My account > Linked sign-ins > Unlink (ontkoppelen). Je moet kort daarvoor je wachtwoord hebben bevestigd, en het wordt geweigerd als het je enige manier is om binnen te komen.
• Die van iemand anders: de eigenaar gebruikt Settings > Users and roles (gebruikers en rollen). Is het de enige manier waarop die persoon binnenkomt, dan vraagt HolyArrs nog één keer om bevestiging.

Ontkoppelen meldt de apparaten af die deze aanmelding gebruikten. Staat meedoen open, dan kan dezelfde persoon als nieuw lid terugkomen. Zet meedoen uit om diegene buiten te houden.

Als het niet werkt

Symptoom: HolyArrs vraagt opnieuw om je wachtwoord. Oorzaak: voor wijzigingen aan accounts, sleutels en instellingen moet je in de afgelopen 10 minuten je wachtwoord hebben bevestigd, plus de code voor aanmelden in twee stappen als je die hebt ingesteld. Aanmelden van buitenaf en de snelkoppeling voor het lokale netwerk tellen niet mee. Oplossing: bevestig met je wachtwoord. Afmelden en apparaten afmelden vragen er nooit om.

Symptoom: een callback mislukte met een korte foutmelding en je blijft afgemeld. Oorzaak: het callback-adres bij de provider wijkt af van dat in HolyArrs. Oplossing: kopieer Callback address opnieuw en plak het precies zo bij de provider.

Symptoom: een account dat via single sign-on is gemaakt, kan geen wachtwoord instellen. Oorzaak: dat kan niet in deze versie. Oplossing: maak eerst de lokale eigenaar en koppel er dan single sign-on aan.

Symptoom: na afmelden bij HolyArrs ben je nog aangemeld bij de provider. Oorzaak: HolyArrs beëindigt alleen zijn eigen aanmelding. Oplossing: meld je op een gedeeld apparaat ook af bij de provider.

Eigenaarswachtwoord kwijt? Zie Sessies en wachtwoorden.

Voor gevorderden

Aanmelden via een vertrouwde proxy

Meldt een reverse proxy mensen al aan, dan accepteert HolyArrs de naam die de proxy doorgeeft. Stel dit alleen in via de omgeving. Het verschijnt als knop op de aanmeldpagina; een bezoek meldt nooit iemand aan op basis van alleen headers.

• De proxy verwijdert binnenkomende Remote-User en Remote-Name en zet na het aanmelden zijn eigen waarden.
• Remote-User: één vaste naam, maximaal 255 bytes. Remote-Name: optionele weergavenaam, maximaal 200 bytes.
• Herhaalde waarden, waarden met komma’s of waarden met stuurtekens worden geweigerd. Rolheaders worden genegeerd.

Zorg dat HolyArrs alleen via die proxy bereikbaar is. Een proxyadres vertrouwen betekent elke naam vertrouwen die het stuurt. Koppel het aan een account via My account > Link trusted proxy sign-in (aanmelding via vertrouwde proxy koppelen).

Omgevingsvariabelen

Stel deze in voor het starten. Beide methoden staan uit tenzij je ze aanzet. Bij een foute configuratie start HolyArrs niet; bij een storing bij de provider blijft aanmelden met een wachtwoord werken. Is HOLYARRS_OIDC_ENABLED gezet, zelfs op false, dan beheert de omgeving single sign-on en toont Instellingen het alleen.

Variabele	Wat het doet	Standaard
HOLYARRS_OIDC_ENABLED	Single sign-on aanzetten	false
HOLYARRS_OIDC_ISSUER	Exacte HTTPS-issuer van de provider	geen
HOLYARRS_OIDC_CLIENT_ID	Geregistreerde client-id	geen
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Bestand met het clientgeheim, maximaal 4096 bytes. Laat weg voor een openbare client	geen
HOLYARRS_OIDC_REDIRECT_URL	Exacte HTTPS-callback: je adres, de URL base als die er is, en dan /api/v1/auth/oidc/callback	geen
HOLYARRS_OIDC_ALLOW_JOIN	Nieuwe mensen komen binnen als leden die alleen kunnen aanvragen	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Een provider op je privénetwerk toestaan	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Gewone HTTP op loopback toestaan, om te testen	false
HOLYARRS_FORWARD_AUTH_ENABLED	Aanmelden via een vertrouwde proxy aanzetten	false
HOLYARRS_FORWARD_AUTH_ISSUER	Vaste HTTPS-naam voor deze proxy. Een nieuwe waarde telt als een nieuwe bron	geen
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Proxyadressen of bereiken, gescheiden door komma’s. Verplicht. Een bereik dat alle adressen dekt, wordt geweigerd	geen
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Nieuwe proxynamen komen binnen als leden die alleen kunnen aanvragen	false

De twee instellingen ALLOW_LOCAL_NETWORK en ALLOW_LOOPBACK_HTTP gelden ook voor single sign-on die je in Instellingen instelt.

Hoe single sign-on werkt

• De provider moet aanmelden met autorisatiecode ondersteunen, met PKCE S256 en RS256-tokens, met elk endpoint op de origin van de issuer.
• Accounts worden gekoppeld op de eigen account-id van de provider, nooit op e-mail.
• Rollen en groepen van de provider worden niet gebruikt.
• Het clientgeheim wordt versleuteld opgeslagen en nooit meer getoond. Laat het veld leeg om het te behouden.

Gerelateerde pagina’s

• Gebruikers en rollen
• Sessies en wachtwoorden
• Kinderaccounts
• Reverse proxy en URL base