Prihlásenie a heslá

Rozhodni, ako sa ľudia prihlasujú: dĺžka hesla, skratka pre domácu sieť a prihlásenie zvonka. Zmeniť to môže iba vlastník, v Settings > Sign-in and security (nastavenia > prihlásenie a zabezpečenie).

Nastav najkratšie heslo

1. Otvor Settings > Sign-in and security > Passwords (heslá).
2. Zadaj číslo od 4 do 64. Predvolene je to 8.
3. Klikni na Save (uložiť). Nové číslo by si mal vidieť aj po opätovnom načítaní stránky.

Minimum platí pre každé nové heslo: prvého vlastníka, prijaté pozvánky, zmeny v My account (môj účet) a holyarrs reset-owner. Existujúce heslá fungujú ďalej, kým ich nezmeníš. Najdlhšie heslo má 1024 znakov.

Upozornenie

HolyArrs spomaľuje opakované nesprávne prihlásenia, ale krátke heslo sa stále dá ľahko uhádnuť. Ak je HolyArrs dostupný aj mimo tvojej domácnosti, použi 12 alebo viac znakov.

Preskoč prihlásenie v mojej lokálnej sieti

Zariadenia v tvojej domácej sieti otvoria HolyArrs ako vlastník, bez hesla. Predvolene je to vypnuté.

1. Otvor Settings > Sign-in and security > Local network (lokálna sieť).
2. Vypíš svoje siete, jednu na riadok, najviac 32. Použi rozsah (192.168.1.0/24, fd00::/8) alebo jednu adresu (192.168.1.20).
3. Zapni prepínač a ulož. Na karte by si mal vidieť svoju vlastnú adresu.

Prepínač sa nedá zapnúť s prázdnym zoznamom ani vtedy, keď existuje nejaký detský účet. Vytváranie kľúčov API, zmena nastavení prihlásenia, čítanie alebo výmena tajomstiev a obnova záloh stále vyžadujú heslo.

Najprv skontroluj adresu

Niektoré nastavenia spôsobia, že každé zariadenie vyzerá ako jedna adresa brány: Docker Desktop, rootless Docker alebo Podman a Kubernetes NodePort. Typické sú 172.17.0.1, 172.18.0.1 a vyššie, 10.88.0.1, 10.89.x.1, 10.0.2.2 a 192.168.65.x.

Ak do zoznamu dáš niektorú z nich, ktokoľvek, kto sa dostane k HolyArrs, vstúpi ako vlastník. Karta upozorní, keď záznam takto vyzerá. Otvor stránku z druhého zariadenia: ak ukáže rovnakú adresu, vypni prepínač a ten záznam odstráň.

Za reverse proxy číta HolyArrs preposlanú adresu iba od proxy uvedených v HOLYARRS_TRUSTED_PROXIES. Inak karta adresu neukáže a napíše, že proxy nie je dôveryhodný.

Jednotné prihlásenie (SSO)

Ľudí môže prihlasovať jeden poskytovateľ OpenID Connect. Na prihlasovacej stránke sa ukáže ako tlačidlo.

1. Otvor Settings > Sign-in and security > Single sign-on.
2. Zadaj issuer poskytovateľa a klikni na Test (otestovať). Pri teste sa neposiela žiadne tajomstvo.
3. Zadaj client id a client secret. Zaškrtni Public client (verejný klient), ak poskytovateľ žiadne tajomstvo nepoužíva.
4. Skopíruj Callback address (adresa spätného volania) a presne túto adresu zaregistruj u poskytovateľa.
5. Zadaj svoje heslo, a ak ho používaš, aj kód dvojfaktorového overenia, a klikni na Save. Každá zmena to vyžaduje.

Potom prepoj svoj vlastný účet: prihlás sa heslom, otvor My account, v časti Linked sign-ins (prepojené prihlásenia) klikni na Link (prepojiť), potvrď heslo a potom klikni na Single sign-on.

Tip

Nechaj si funkčné heslo vlastníka. Ak poskytovateľ nefunguje, prihlásenie heslom stále funguje.

Možnosti

Nechaj nových ľudí pripojiť sa cez jednotné prihlásenie

Predvolene je to vypnuté. Keď je to zapnuté, každý, koho poskytovateľ prihlási, dostane účet, preto ťa HolyArrs požiada o potvrdenie. Nováčikovia sa pridajú ako členovia, ktorí môžu iba žiadať. Jednotné prihlásenie nikdy nevytvorí vlastníka ani admina.

Zmena issuera alebo client id

Tajomstvo zadáš znova. Staré prepojenia sa odstránia a všetci, ktorí používali jednotné prihlásenie, sa odhlásia. Prepoja sa znova v My account. Vypnutie jednotného prihlásenia ich tiež odhlási.

Odpojenie prihlásenia

• Tvoje vlastné: My account > Linked sign-ins > Unlink (odpojiť). Vyžaduje nedávne potvrdenie heslom a zamietne sa, ak je to tvoj jediný spôsob prihlásenia.
• Ktokoľvek iný: vlastník použije Settings > Users and roles (používatelia a roly). Ak je to jediný spôsob, ako sa ten človek dostane dnu, HolyArrs sa spýta ešte raz.

Odpojením sa odhlásia zariadenia, ktoré ho používali. Ak je pripájanie otvorené, tá istá osoba sa môže vrátiť ako nový člen. Ak ju chceš nechať vonku, pripájanie vypni.

Ak to nefunguje

Príznak: HolyArrs sa ťa znova pýta na heslo. Príčina: zmeny účtov, kľúčov a nastavení vyžadujú potvrdenie heslom z posledných 10 minút, prípadne aj dvojfaktorové overenie. Prihlásenie zvonka a skratka pre lokálnu sieť sa nepočítajú. Riešenie: potvrď heslom. Odhlásenie a ukončenie zariadení nikdy nežiadajú heslo.

Príznak: spätné volanie zlyhalo s krátkou chybou a zostávaš odhlásený. Príčina: adresa spätného volania u poskytovateľa sa líši od HolyArrs. Riešenie: skopíruj Callback address znova a vlož ju k poskytovateľovi presne.

Príznak: účet vytvorený cez jednotné prihlásenie si nemôže nastaviť heslo. Príčina: v tejto verzii to nie je možné. Riešenie: najprv vytvor lokálneho vlastníka a potom k nemu prepoj jednotné prihlásenie.

Príznak: po odhlásení z HolyArrs zostávaš prihlásený u poskytovateľa. Príčina: HolyArrs ukončuje iba svoje vlastné prihlásenie. Riešenie: na zdieľanom zariadení sa odhlás aj u poskytovateľa.

Stratil si heslo vlastníka? Pozri Relácie a heslá.

Pre expertov

Prihlásenie cez dôveryhodný proxy

Ak ľudí už prihlasuje reverse proxy, HolyArrs prijme meno, ktoré mu pošle. Nastavuje sa iba v prostredí. Na prihlasovacej stránke sa ukáže ako tlačidlo; samotná návšteva nikoho neprihlási iba podľa hlavičiek.

• Proxy odstráni prichádzajúce Remote-User a Remote-Name a po prihlásení nastaví vlastné.
• Remote-User: jedno stabilné meno, najviac 255 bajtov. Remote-Name: voliteľné zobrazované meno, najviac 200 bajtov.
• Opakované hodnoty, hodnoty spojené čiarkou alebo s riadiacimi znakmi sa zamietnu. Hlavičky rolí sa ignorujú.

HolyArrs nechaj dostupný iba cez ten proxy. Dôverovať adrese proxy znamená dôverovať každému menu, ktoré pošle. Prepoj ho s účtom cez My account > Link trusted proxy sign-in.

Premenné prostredia

Nastav ich pred spustením. Obe metódy sú vypnuté, kým ich nezapneš. Chybné nastavenie zabráni spusteniu HolyArrs; výpadok poskytovateľa nechá prihlásenie heslom funkčné. Ak je HOLYARRS_OIDC_ENABLED nastavená vôbec, aj na false, jednotné prihlásenie vlastní prostredie a Nastavenia ho iba ukazujú.

Premenná	Čo robí	Predvolene
HOLYARRS_OIDC_ENABLED	Zapne jednotné prihlásenie	false
HOLYARRS_OIDC_ISSUER	Presný HTTPS issuer poskytovateľa	žiadne
HOLYARRS_OIDC_CLIENT_ID	Registrované client id	žiadne
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Súbor s client secret, najviac 4096 bajtov. Pre verejného klienta vynechaj	žiadne
HOLYARRS_OIDC_REDIRECT_URL	Presné HTTPS spätné volanie: tvoja adresa, prípadne URL base, potom /api/v1/auth/oidc/callback	žiadne
HOLYARRS_OIDC_ALLOW_JOIN	Noví ľudia sa pridajú ako členovia, ktorí môžu iba žiadať	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Povolí poskytovateľa v tvojej súkromnej sieti	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Povolí obyčajné HTTP na loopbacku, na testovanie	false
HOLYARRS_FORWARD_AUTH_ENABLED	Zapne prihlásenie cez dôveryhodný proxy	false
HOLYARRS_FORWARD_AUTH_ISSUER	Stabilné HTTPS meno tohto proxy. Nová hodnota sa počíta ako nový zdroj	žiadne
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Adresy alebo rozsahy proxy oddelené čiarkou. Povinné. Rozsah všetkých adries sa zamietne	žiadne
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Nové mená z proxy sa pridajú ako členovia, ktorí môžu iba žiadať	false

Dve nastavenia ALLOW_LOCAL_NETWORK a ALLOW_LOOPBACK_HTTP platia aj pre jednotné prihlásenie nastavené v Nastaveniach.

Ako funguje jednotné prihlásenie

• Poskytovateľ musí podporovať prihlásenie autorizačným kódom s PKCE S256 a tokeny RS256, pričom každý endpoint je na origine issuera.
• Účty sa párujú podľa vlastného id účtu poskytovateľa, nikdy podľa e-mailu.
• Roly a skupiny poskytovateľa sa nepoužívajú.
• Client secret sa ukladá šifrovane a už sa nikdy neukáže. Ak ho chceš ponechať, nechaj pole prázdne.

Súvisiace stránky

• Používatelia a roly
• Relácie a heslá
• Detské účty
• URL base a reverse proxy