Пријава и лозинке

Одлучи како се људи пријављују: дужина лозинке, пречица за кућну мрежу и пријава споља. Ово мења само власник, у Settings > Sign-in and security (подешавања > пријава и безбедност).

Подеси најкраћу лозинку

1. Отвори Settings > Sign-in and security > Passwords (лозинке).
2. Унеси број од 4 до 64. Подразумевано је 8.
3. Кликни на Save (сачувај). Требало би да видиш да нови број остаје и после поновног учитавања странице.

Минимум важи за сваку нову лозинку: први власник, прихваћене позивнице, промене на My account (мој налог) и holyarrs reset-owner. Постојеће лозинке раде све до следеће промене. Најдужа лозинка има 1024 карактера.

Caution

HolyArrs успорава поновљене погрешне пријаве, али кратку лозинку је и даље лако погодити. Ако је HolyArrs доступан ван твоје куће, користи 12 или више карактера.

Прескочи пријаву на мојој локалној мрежи

Уређаји на твојој кућној мрежи отварају HolyArrs као власник, без лозинке. Подразумевано је искључено.

1. Отвори Settings > Sign-in and security > Local network (локална мрежа).
2. Наведи своје мреже, једну по реду, највише 32. Користи опсег (192.168.1.0/24, fd00::/8) или једну адресу (192.168.1.20).
3. Укључи прекидач и сачувај. Требало би да видиш своју адресу на картици.

Прекидач не може бити укључен са празном листом, ни док постоји било који налог за дете. Прављење API кључева, промена подешавања пријаве, читање или замена тајни и враћање из бекапа и даље траже лозинку.

Прво провери адресу

Нека подешавања чине да сваки уређај изгледа као једна адреса мрежног пролаза: Docker Desktop, rootless Docker или Podman и Kubernetes NodePort. Типичне су 172.17.0.1, 172.18.0.1 и више, 10.88.0.1, 10.89.x.1, 10.0.2.2 и 192.168.65.x.

Ако наведеш једну од њих, свако ко стигне до HolyArrs, улази као власник. Картица упозорава када унос личи на такву адресу. Отвори страницу са другог уређаја: ако показује исту адресу, искључи прекидач и уклони тај унос.

Иза реверс проксија, HolyArrs чита прослеђену адресу само од проксија наведених у HOLYARRS_TRUSTED_PROXIES. Иначе картица не приказује адресу и каже да прокси није поуздан.

Јединствена пријава (SSO)

Један OpenID Connect провајдер може да пријављује људе. Приказује се као дугме на страници за пријаву.

1. Отвори Settings > Sign-in and security > Single sign-on (јединствена пријава).
2. Унеси издавача (issuer) провајдера и кликни на Test (тестирај). За тест се не шаље никаква тајна.
3. Унеси client id и client secret. Означи Public client (јавни клијент) ако провајдер не користи тајну.
4. Копирај Callback address (callback адреса) и региструј баш ту адресу код провајдера.
5. Унеси своју лозинку, и код за пријаву у два корака ако га користиш, па кликни на Save. Свака промена ово тражи.

Затим повежи свој налог: пријави се лозинком, отвори My account, под Linked sign-ins (повезане пријаве) кликни на Link (повежи), потврди лозинку, па кликни на Single sign-on.

Tip

Задржи исправну лозинку власника. Ако провајдер не ради, пријава лозинком и даље ради.

Опције

Нека нови људи улазе преко јединствене пријаве

Подразумевано је искључено. Када је укључено, свако кога провајдер пријави добија налог, па те HolyArrs тражи да потврдиш. Придошлице улазе као чланови који могу само да траже. Јединствена пријава никада не прави власника или админа.

Промени издавача или client id

Тајну уносиш поново. Старе везе се бришу и сви који су користили јединствену пријаву бивају одјављени. Повезују се поново са My account. Искључивање јединствене пријаве такође их одјављује.

Раскини повезану пријаву

• Своју: My account > Linked sign-ins > Unlink (раскини везу). Треба недавна потврда лозинке, а одбија се ако ти је то једини начин да уђеш.
• Туђу: власник користи Settings > Users and roles (корисници и улоге). Ако је то једини начин да та особа уђе, HolyArrs пита још једном.

Раскидање везе одјављује уређаје који су је користили. Ако је придруживање отворено, иста особа може да се врати као нови члан. Искључи придруживање да је држиш ван.

Ако не ради

Симптом: HolyArrs поново тражи твоју лозинку. Узрок: за промене налога, кључева и подешавања потребна је потврда лозинком из последњих 10 минута, плус код за два корака ако је подешен. Пријава споља и пречица за локалну мрежу се не рачунају. Решење: потврди лозинком. Одјава и прекид уређаја никада не траже потврду.

Симптом: callback није успео уз кратку грешку и остајеш без пријаве. Узрок: callback адреса код провајдера се разликује од оне у HolyArrs. Решење: поново копирај Callback address и налепи је тачно онако код провајдера.

Симптом: налог направљен преко јединствене пријаве не може да постави лозинку. Узрок: у овој верзији то није могуће. Решење: прво направи локалног власника, па на њега повежи јединствену пријаву.

Симптом: одјава из HolyArrs те је оставила пријављеног код провајдера. Узрок: HolyArrs завршава само своју пријаву. Решење: на заједничком уређају одјави се и код провајдера.

Лозинка власника је изгубљена? Погледај Сесије и лозинке.

За напредне

Пријава преко поузданог проксија

Ако прокси већ пријављује људе, HolyArrs прихвата име које он проследи. Подеси то само у окружењу. Приказује се као дугме на страници за пријаву; посета никада не пријављује никога само на основу заглавља.

• Прокси уклања долазеће Remote-User и Remote-Name и после пријаве поставља своје.
• Remote-User: једно стабилно име, највише 255 бајтова. Remote-Name: опционо име за приказ, највише 200 бајтова.
• Поновљене вредности, вредности спојене зарезом или са контролним карактерима се одбијају. Заглавља улога се игноришу.

Држи HolyArrs доступним само преко тог проксија. Веровати адреси проксија значи веровати сваком имену које шаље. Повежи га са налогом из My account > Link trusted proxy sign-in.

Променљиве окружења

Постави их пре покретања. Оба начина су искључена док их не укључиш. Лоше подешавање спречава покретање HolyArrs; ако провајдер не ради, пријава лозинком и даље ради. Ако је HOLYARRS_OIDC_ENABLED уопште постављен, чак и на false, окружење управља јединственом пријавом, а Подешавања је само приказују.

Променљива	Шта ради	Подразумевано
HOLYARRS_OIDC_ENABLED	Укључује јединствену пријаву	false
HOLYARRS_OIDC_ISSUER	Тачан HTTPS издавач провајдера	нема
HOLYARRS_OIDC_CLIENT_ID	Регистровани client id	нема
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Фајл са client secret-ом, највише 4096 бајтова. Изостави за јавног клијента	нема
HOLYARRS_OIDC_REDIRECT_URL	Тачан HTTPS callback: твоја адреса, URL база ако постоји, па /api/v1/auth/oidc/callback	нема
HOLYARRS_OIDC_ALLOW_JOIN	Нови људи улазе као чланови који могу само да траже	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Дозвољава провајдера на твојој приватној мрежи	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Дозвољава обичан HTTP на loopback-у, за тестирање	false
HOLYARRS_FORWARD_AUTH_ENABLED	Укључује пријаву преко поузданог проксија	false
HOLYARRS_FORWARD_AUTH_ISSUER	Стабилно HTTPS име за овај прокси. Нова вредност се рачуна као нови извор	нема
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Адресе или опсези проксија раздвојени зарезом. Обавезно. Опсег који обухвата све адресе се одбија	нема
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Нова имена са проксија улазе као чланови који могу само да траже	false

Два подешавања ALLOW_LOCAL_NETWORK и ALLOW_LOOPBACK_HTTP важе и за јединствену пријаву подешену у Подешавањима.

Како ради јединствена пријава

• Провајдер мора да подржава пријаву преко authorization code са PKCE S256 и RS256 токенима, са свим крајњим тачкама на origin-у издавача.
• Налози се подударају по провајдеровом сопственом id-у налога, никада по имејлу.
• Провајдерове улоге и групе се не користе.
• Client secret се чува шифрован и никада се више не приказује. Остави поље празно да га задржиш.

Повезане странице

• Корисници и улоге
• Сесије и лозинке
• Налози за децу
• URL база и реверс прокси