Conectare și parole

Configurare

Hotărăște cum se conectează oamenii: lungimea parolei, o scurtătură pentru rețeaua de acasă și conectarea din afară. Doar proprietarul le schimbă, în Settings > Sign-in and security (Setări > Conectare și securitate).

Alege lungimea minimă a parolei

Deschide Settings > Sign-in and security > Passwords (Parole).
Scrie un număr între 4 și 64. Valoarea implicită este 8.
Apasă Save (salvează). Ar trebui să vezi că numărul nou rămâne și după reîncărcarea paginii.

Minimul se aplică fiecărei parole noi: primul proprietar, invitațiile acceptate, schimbările din My account (contul meu) și holyarrs reset-owner. Parolele existente merg în continuare până la următoarea schimbare. Cea mai lungă parolă are 1024 de caractere.

Sari peste conectare în rețeaua mea locală

Dispozitivele din rețeaua ta de acasă deschid HolyArrs ca proprietar, fără parolă. Implicit este oprit.

Deschide Settings > Sign-in and security > Local network (Rețea locală).
Scrie rețelele tale, câte una pe linie, cel mult 32. Folosește un interval (192.168.1.0/24, fd00::/8) sau o singură adresă (192.168.1.20).
Pornește comutatorul și salvează. Ar trebui să vezi adresa ta pe card.

Comutatorul nu poate fi pornit cu lista goală sau cât timp există un cont de copil. Crearea cheilor API, schimbarea setărilor de conectare, citirea sau înlocuirea secretelor și restaurarea copiilor de rezervă cer în continuare o parolă.

Verifică mai întâi adresa

Unele configurări fac ca toate dispozitivele să pară o singură adresă de gateway: Docker Desktop, Docker sau Podman rootless și Kubernetes NodePort. Cele obișnuite sunt 172.17.0.1, 172.18.0.1 și mai departe, 10.88.0.1, 10.89.x.1, 10.0.2.2 și 192.168.65.x.

Dacă pui una dintre ele în listă, oricine ajunge la HolyArrs intră ca proprietar. Cardul te avertizează când o intrare seamănă cu una de acest fel. Deschide pagina de pe un al doilea dispozitiv: dacă arată aceeași adresă, oprește comutatorul și scoate intrarea.

În spatele unui proxy invers, HolyArrs citește adresa transmisă doar de la proxy-urile din HOLYARRS_TRUSTED_PROXIES. Altfel, cardul nu arată nicio adresă și spune că proxy-ul nu este de încredere.

Autentificare unică

Un singur furnizor OpenID Connect poate conecta oamenii. Apare ca buton pe pagina de conectare.

Deschide Settings > Sign-in and security > Single sign-on (Autentificare unică).
Scrie issuer-ul furnizorului și apasă Test (testează). Pentru test nu se trimite niciun secret.
Scrie client id-ul și client secret-ul. Bifează Public client (client public) dacă furnizorul nu folosește secret.
Copiază Callback address (adresa de callback) și înregistrează exact această adresă la furnizor.
Scrie parola ta, plus un cod în doi pași dacă folosești unul, și apasă Save. Fiecare schimbare cere asta.

Apoi leagă-ți propriul cont: conectează-te cu parola, deschide My account, la Linked sign-ins (conectări legate) apasă Link (leagă), confirmă parola, apoi apasă Single sign-on.

Alegeri

Lasă oameni noi să intre prin autentificare unică

Implicit este oprit. Când e pornit, oricine este conectat de furnizor primește un cont, așa că HolyArrs îți cere să confirmi. Noii veniți intră ca membri care pot doar să ceară. Autentificarea unică nu face niciodată un proprietar sau un administrator.

Schimbă issuer-ul sau client id-ul

Scrii din nou secretul. Legăturile vechi se șterg, iar toți cei care au folosit autentificarea unică sunt deconectați. Se leagă din nou din My account. Oprirea autentificării unice îi deconectează și pe ei.

Deslegă o conectare

A ta: My account > Linked sign-ins > Unlink (deslegă). Cere o confirmare recentă cu parola și este refuzată dacă este singura ta cale de intrare.
A oricui: proprietarul folosește Settings > Users and roles (Utilizatori și roluri). Dacă este singura cale de intrare a persoanei, HolyArrs întreabă încă o dată.

Deslegarea deconectează dispozitivele care au folosit-o. Dacă intrarea este deschisă, aceeași persoană poate reveni ca membru nou. Oprește intrarea ca să nu mai poată reveni.

Dacă nu merge

Simptom: HolyArrs îți cere din nou parola. Cauză: schimbările la conturi, chei și setări cer o confirmare cu parola din ultimele 10 minute, plus doi pași dacă sunt activați. Conectarea din afară și scurtătura rețelei locale nu contează. Soluție: confirmă cu parola. Deconectarea și încheierea dispozitivelor nu cer niciodată asta.

Simptom: un callback a eșuat cu o eroare scurtă și rămâi deconectat. Cauză: adresa de callback de la furnizor diferă de cea din HolyArrs. Soluție: copiază din nou Callback address și lipește-o exact la furnizor.

Simptom: un cont făcut prin autentificare unică nu poate seta o parolă. Cauză: nu se poate în această versiune. Soluție: fă mai întâi proprietarul local, apoi leagă autentificarea unică de el.

Simptom: după deconectarea din HolyArrs ai rămas conectat la furnizor. Cauză: HolyArrs încheie doar propria conectare. Soluție: pe un dispozitiv folosit în comun, deconectează-te și de la furnizor.

Ai pierdut parola de proprietar? Vezi Sesiuni și parole.

Pentru experți

Conectare prin proxy de încredere

Dacă un proxy invers conectează deja oamenii, HolyArrs acceptă numele pe care îl transmite. Setează-l doar în mediu. Apare ca buton pe pagina de conectare; o vizită nu conectează niciodată pe cineva doar din antete.

Proxy-ul elimină Remote-User și Remote-Name primite și le setează pe ale lui după conectare.
Remote-User: un nume stabil, cel mult 255 de octeți. Remote-Name: nume afișat opțional, cel mult 200 de octeți.
Valorile repetate, unite prin virgulă sau cu caractere de control sunt refuzate. Antetele de rol sunt ignorate.

Ține HolyArrs accesibil doar prin acel proxy. A avea încredere într-o adresă de proxy înseamnă a avea încredere în fiecare nume pe care îl trimite. Leagă-l de un cont din My account > Link trusted proxy sign-in (leagă conectarea prin proxy de încredere).

Variabile de mediu

Setează-le înainte de pornire. Ambele metode sunt oprite până le pornești. O configurare greșită oprește pornirea HolyArrs; dacă furnizorul nu răspunde, conectarea cu parolă merge în continuare. Dacă HOLYARRS_OIDC_ENABLED este setat în orice fel, chiar și pe false, mediul controlează autentificarea unică, iar Setările doar o arată.

Variabilă	Ce face	Implicit
`HOLYARRS_OIDC_ENABLED`	Pornește autentificarea unică	`false`
`HOLYARRS_OIDC_ISSUER`	Issuer-ul HTTPS exact al furnizorului	niciuna
`HOLYARRS_OIDC_CLIENT_ID`	Client id-ul înregistrat	niciuna
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	Fișierul cu client secret-ul, cel mult 4096 de octeți. Omite-l pentru un client public	niciuna
`HOLYARRS_OIDC_REDIRECT_URL`	Callback HTTPS exact: adresa ta, URL base dacă există, apoi `/api/v1/auth/oidc/callback`	niciuna
`HOLYARRS_OIDC_ALLOW_JOIN`	Oamenii noi intră ca membri care pot doar să ceară	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	Permite un furnizor din rețeaua ta privată	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	Permite HTTP simplu pe loopback, pentru teste	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	Pornește conectarea prin proxy de încredere	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	Nume HTTPS stabil pentru acest proxy. O valoare nouă contează ca sursă nouă	niciuna
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	Adrese sau intervale de proxy separate prin virgulă. Obligatoriu. Un interval cu toate adresele este refuzat	niciuna
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	Numele noi de proxy intră ca membri care pot doar să ceară	`false`

Cele două setări ALLOW_LOCAL_NETWORK și ALLOW_LOOPBACK_HTTP se aplică și autentificării unice configurate în Setări.

Cum funcționează autentificarea unică

Furnizorul trebuie să accepte conectarea cu authorization code, cu PKCE S256 și token-uri RS256, cu fiecare endpoint pe originea issuer-ului.
Conturile se potrivesc după id-ul de cont al furnizorului, niciodată după email.
Rolurile și grupurile furnizorului nu sunt folosite.
Client secret-ul se păstrează criptat și nu se mai arată niciodată. Lasă câmpul gol ca să-l păstrezi.

Vezi și

HolyArrs este gratuit. Dacă ți-a economisit timp, dă-i o stea pe GitHub, sponsorizează-l sau cumpără-mi o cafea.