Inloggning och lösenord

Bestäm hur folk loggar in: lösenordslängd, en genväg för hemmanätverket och inloggning utifrån. Bara ägaren ändrar detta, under Settings > Sign-in and security (inställningar > inloggning och säkerhet).

Ställ in det kortaste lösenordet

1. Öppna Settings > Sign-in and security > Passwords (lösenord).
2. Skriv ett tal från 4 till 64. Standard är 8.
3. Klicka på Save (spara). Du ska se att det nya talet ligger kvar efter en omladdning.

Minimilängden gäller varje nytt lösenord: den första ägarens, accepterade inbjudningar, ändringar under My account (mitt konto) och holyarrs reset-owner. Befintliga lösenord fungerar tills de ändras nästa gång. Det längsta lösenordet är 1024 tecken.

Caution

HolyArrs bromsar upprepade felaktiga inloggningar, men ett kort lösenord är ändå lätt att gissa. Om HolyArrs går att nå utanför ditt hem, använd 12 tecken eller fler.

Hoppa över inloggning i mitt lokala nätverk

Enheter i ditt hemmanätverk öppnar HolyArrs som ägaren, utan lösenord. Av som standard.

1. Öppna Settings > Sign-in and security > Local network (lokalt nätverk).
2. Lista dina nätverk, ett per rad, upp till 32. Använd ett intervall (192.168.1.0/24, fd00::/8) eller en enskild adress (192.168.1.20).
3. Slå på reglaget och spara. Du ska se din egen adress på kortet.

Reglaget kan inte vara på med en tom lista, eller så länge det finns ett barnkonto. Att skapa API-nycklar, ändra inloggningsinställningar, läsa eller byta ut hemligheter och återställa backuper kräver fortfarande lösenord.

Kontrollera adressen först

Vissa konfigurationer gör att varje enhet ser ut som en enda gateway-adress: Docker Desktop, rootless Docker eller Podman och Kubernetes NodePort. Typiska adresser är 172.17.0.1, 172.18.0.1 och uppåt, 10.88.0.1, 10.89.x.1, 10.0.2.2 och 192.168.65.x.

Lägger du till en av dem kommer alla som når HolyArrs in som ägare. Kortet varnar när en post ser ut som en sådan. Öppna sidan från en andra enhet: visar den samma adress, slå av reglaget och ta bort den posten.

Bakom en reverse proxy läser HolyArrs den vidarebefordrade adressen bara från proxyer i HOLYARRS_TRUSTED_PROXIES. Annars visar kortet ingen adress och säger att proxyn inte är betrodd.

Single sign-on

En OpenID Connect-leverantör kan logga in folk. Den visas som en knapp på inloggningssidan.

1. Öppna Settings > Sign-in and security > Single sign-on.
2. Skriv leverantörens issuer och klicka på Test (testa). Ingen hemlighet skickas vid testet.
3. Skriv klient-id och klienthemlighet. Bocka i Public client (publik klient) om leverantören inte använder någon hemlighet.
4. Kopiera Callback address (callback-adress) och registrera exakt den adressen hos leverantören.
5. Skriv ditt lösenord, plus en tvåfaktorskod om du använder en, och klicka på Save. Varje ändring kräver detta.

Länka sedan ditt eget konto: logga in med ditt lösenord, öppna My account, klicka på Link (länka) under Linked sign-ins (länkade inloggningar), bekräfta ditt lösenord och klicka sedan på Single sign-on.

Tip

Behåll ett fungerande ägarlösenord. Om leverantören ligger nere fungerar lösenordsinloggning ändå.

Val

Låt nya personer ansluta via single sign-on

Av som standard. När det är på får alla som leverantören loggar in ett konto, så HolyArrs ber dig bekräfta. Nykomlingar ansluter som medlemmar som bara kan be om titlar. Single sign-on skapar aldrig en ägare eller admin.

Ändra issuer eller klient-id

Du skriver hemligheten igen. Gamla länkar tas bort och alla som använde single sign-on loggas ut. De länkar igen från My account. Om du slår av single sign-on loggas de också ut.

Ta bort länken till en inloggning

• Din egen: My account > Linked sign-ins > Unlink (ta bort länken). Det kräver en nyligen gjord lösenordsbekräftelse, och nekas om det är ditt enda sätt att logga in.
• Någon annans: ägaren använder Settings > Users and roles (användare och roller). Om det är personens enda sätt att logga in frågar HolyArrs en gång till.

När länken tas bort loggas de enheter ut som använde den. Om anslutning är öppen kan samma person komma tillbaka som ny medlem. Slå av anslutning för att hålla personen ute.

Om det inte fungerar

Symptom: HolyArrs frågar efter ditt lösenord igen. Orsak: ändringar av konton, nycklar och inställningar kräver en lösenordsbekräftelse från de senaste 10 minuterna, plus tvåfaktor om den är på. Inloggning utifrån och genvägen för lokalt nätverk räknas inte. Lösning: bekräfta med ditt lösenord. Att logga ut och avsluta enheter frågar aldrig.

Symptom: en callback misslyckades med ett kort felmeddelande och du förblir utloggad. Orsak: callback-adressen hos leverantören skiljer sig från den i HolyArrs. Lösning: kopiera Callback address igen och klistra in den exakt hos leverantören.

Symptom: ett konto som skapats via single sign-on kan inte ange ett lösenord. Orsak: det går inte i den här versionen. Lösning: skapa den lokala ägaren först och länka sedan single sign-on till den.

Symptom: när du loggade ut från HolyArrs var du fortfarande inloggad hos leverantören. Orsak: HolyArrs avslutar bara sin egen inloggning. Lösning: på en delad enhet, logga ut hos leverantören också.

Har du tappat ägarlösenordet? Se Sessioner och lösenord.

För experter

Inloggning via betrodd proxy

Om en reverse proxy redan loggar in folk accepterar HolyArrs det namn den skickar med. Ställ in det bara i miljön. Det visas som en knapp på inloggningssidan; ett besök loggar aldrig in någon enbart utifrån headers.

• Proxyn tar bort inkommande Remote-User och Remote-Name och sätter sina egna efter inloggning.
• Remote-User: ett stabilt namn, högst 255 byte. Remote-Name: valfritt visningsnamn, högst 200 byte.
• Upprepade värden, värden sammanfogade med kommatecken och värden med styrtecken nekas. Rollheaders ignoreras.

Låt HolyArrs vara nåbart bara via den proxyn. Att lita på en proxyadress betyder att lita på varje namn den skickar. Länka den till ett konto från My account > Link trusted proxy sign-in (länka inloggning via betrodd proxy).

Miljövariabler

Ställ in dessa före start. Båda metoderna är av om de inte slås på. En felaktig konfiguration hindrar HolyArrs från att starta; ett avbrott hos leverantören lämnar lösenordsinloggningen fungerande. Om HOLYARRS_OIDC_ENABLED alls är satt, även till false, äger miljön single sign-on och Settings visar det bara.

Variabel	Vad den gör	Standard
HOLYARRS_OIDC_ENABLED	Slå på single sign-on	false
HOLYARRS_OIDC_ISSUER	Leverantörens exakta HTTPS-issuer	ingen
HOLYARRS_OIDC_CLIENT_ID	Registrerat klient-id	ingen
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Fil med klienthemligheten, högst 4096 byte. Utelämna för en publik klient	ingen
HOLYARRS_OIDC_REDIRECT_URL	Exakt HTTPS-callback: din adress, URL base om du har någon, sedan /api/v1/auth/oidc/callback	ingen
HOLYARRS_OIDC_ALLOW_JOIN	Nya personer ansluter som medlemmar som bara kan be om titlar	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Tillåt en leverantör i ditt privata nätverk	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Tillåt vanlig HTTP på loopback, för testning	false
HOLYARRS_FORWARD_AUTH_ENABLED	Slå på inloggning via betrodd proxy	false
HOLYARRS_FORWARD_AUTH_ISSUER	Stabilt HTTPS-namn för den här proxyn. Ett nytt värde räknas som en ny källa	ingen
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Kommaseparerade proxyadresser eller intervall. Krävs. Ett intervall som omfattar alla adresser nekas	ingen
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Nya proxynamn ansluter som medlemmar som bara kan be om titlar	false

De två inställningarna ALLOW_LOCAL_NETWORK och ALLOW_LOOPBACK_HTTP gäller också för single sign-on som ställts in i Settings.

Så fungerar single sign-on

• Leverantören måste stödja inloggning med authorization code med PKCE S256 och RS256-token, med varje endpoint på issuerns origin.
• Konton matchas på leverantörens eget konto-id, aldrig på e-post.
• Leverantörens roller och grupper används inte.
• Klienthemligheten lagras krypterad och visas aldrig igen. Lämna fältet tomt för att behålla den.

Relaterat

• Användare och roller
• Sessioner och lösenord
• Barnkonton
• URL base och reverse proxy