Вхід і паролі

Вирішуй, як люди входять: яка мінімальна довжина пароля, чи потрібен швидкий вхід із домашньої мережі і як входити ззовні. Це змінює лише власник, у Settings > Sign-in and security (налаштування > вхід і безпека).

Задай найкоротший пароль

1. Відкрий Settings > Sign-in and security > Passwords (паролі).
2. Введи число від 4 до 64. Типове значення — 8.
3. Натисни Save (зберегти). Після перезавантаження сторінки нове число має залишитися.

Мінімум діє для кожного нового пароля: першого власника, прийнятих запрошень, змін у My account (мій обліковий запис) і holyarrs reset-owner. Наявні паролі працюють, доки їх не змінять. Найдовший пароль — 1024 символи.

Обережно

HolyArrs уповільнює повторні невдалі спроби входу, але короткий пароль усе одно легко вгадати. Якщо HolyArrs доступний ззовні твого дому, став 12 символів або більше.

Пропусти вхід у моїй локальній мережі

Пристрої твоєї домашньої мережі відкривають HolyArrs як власник, без пароля. За замовчуванням вимкнено.

1. Відкрий Settings > Sign-in and security > Local network (локальна мережа).
2. Запиши свої мережі, по одній на рядок, до 32. Можна діапазон (192.168.1.0/24, fd00::/8) або одну адресу (192.168.1.20).
3. Увімкни перемикач і збережи. На картці має з’явитися твоя адреса.

Перемикач не можна ввімкнути з порожнім списком або поки існує хоч один дитячий обліковий запис. Створення API-ключів, зміна параметрів входу, перегляд чи заміна секретів і відновлення бекапів усе одно просять пароль.

Спершу перевір адресу

У деяких конфігураціях усі пристрої виглядають як одна адреса шлюзу: Docker Desktop, rootless Docker чи Podman і NodePort у Kubernetes. Типові адреси: 172.17.0.1, 172.18.0.1 і далі, 10.88.0.1, 10.89.x.1, 10.0.2.2 та 192.168.65.x.

Якщо додати одну з них, кожен, хто дістанеться до HolyArrs, увійде як власник. Картка попереджає, коли запис схожий на таку адресу. Відкрий сторінку з другого пристрою: якщо там та сама адреса, вимкни перемикач і прибери цей запис.

За зворотним проксі HolyArrs бере передану адресу лише від проксі зі списку HOLYARRS_TRUSTED_PROXIES. Інакше картка не показує адресу і пише, що проксі не довірений.

Єдиний вхід

Людей може впускати один постачальник OpenID Connect. Він з’являється кнопкою на сторінці входу.

1. Відкрий Settings > Sign-in and security > Single sign-on (єдиний вхід).
2. Введи issuer постачальника і натисни Test (перевірити). Для перевірки секрет не надсилається.
3. Введи client id і client secret. Постав позначку Public client (публічний клієнт), якщо постачальник не використовує секрет.
4. Скопіюй Callback address (адреса зворотного виклику) і зареєструй саме цю адресу в постачальника.
5. Введи свій пароль, а якщо користуєшся двофакторним входом, ще й код, і натисни Save. Кожна зміна просить це.

Потім підключи свій обліковий запис: увійди з паролем, відкрий My account, у розділі Linked sign-ins (підключені входи) натисни Link (підключити), підтверди пароль, а тоді обери Single sign-on.

Порада

Залиш робочий пароль власника. Якщо постачальник не працює, вхід за паролем лишається.

Варіанти

Дозволити новим людям приєднуватися через єдиний вхід

За замовчуванням вимкнено. Коли ввімкнено, кожен, кого впустить постачальник, отримує обліковий запис, тому HolyArrs просить тебе підтвердити. Новачки стають учасниками, які можуть лише запрошувати тайтли. Єдиний вхід ніколи не створює власника чи адміна.

Змінити issuer або client id

Секрет доведеться ввести знову. Старі підключення видаляються, а всіх, хто входив через єдиний вхід, виводить із облікових записів. Вони підключаються знову з My account. Вимкнення єдиного входу теж виводить їх.

Відключити вхід

• Власний: My account > Linked sign-ins > Unlink (відключити). Потрібне свіже підтвердження пароля; якщо це твій єдиний спосіб входу, відключення відхиляється.
• Чийсь: власник робить це в Settings > Users and roles (користувачі й ролі). Якщо це єдиний спосіб входу цієї людини, HolyArrs перепитує ще раз.

Відключення виводить із облікового запису пристрої, які його використовували. Якщо приєднання відкрите, та сама людина може повернутися як новий учасник. Вимкни приєднання, щоб її не пускати.

Якщо не працює

Ознака: HolyArrs знову просить пароль. Причина: зміни облікових записів, ключів і параметрів потребують підтвердження паролем за останні 10 хвилин, а також двофакторного коду, якщо він є. Вхід ззовні та швидкий вхід із локальної мережі не рахуються. Рішення: підтверди паролем. Вихід і завершення сеансів пристроїв ніколи цього не просять.

Ознака: зворотний виклик завершився короткою помилкою, а ти лишаєшся без входу. Причина: адреса зворотного виклику в постачальника відрізняється від адреси HolyArrs. Рішення: скопіюй Callback address ще раз і встав його точно так само в постачальника.

Ознака: обліковий запис, створений через єдиний вхід, не може задати пароль. Причина: у цій версії це неможливо. Рішення: спершу створи локального власника, а потім підключи до нього єдиний вхід.

Ознака: після виходу з HolyArrs ти лишився в системі в постачальника. Причина: HolyArrs завершує лише власний вхід. Рішення: на спільному пристрої вийди ще й у постачальника.

Втратив пароль власника? Див. Сеанси та паролі.

Для досвідчених

Вхід через довірений проксі

Якщо зворотний проксі вже впускає людей, HolyArrs приймає ім’я, яке той передає. Задавай це лише в середовищі. На сторінці входу з’являється кнопка; сам візит ніколи не впускає нікого лише за заголовками.

• Проксі вилучає вхідні Remote-User і Remote-Name та після входу ставить власні.
• Remote-User: одне стале ім’я, не більше 255 байтів. Remote-Name: необов’язкове відображуване ім’я, не більше 200 байтів.
• Повторювані значення, значення через кому або з керівними символами відхиляються. Заголовки ролей ігноруються.

Роби HolyArrs доступним лише через цей проксі. Довіряти адресі проксі означає довіряти кожному імені, яке він надсилає. Підключи його до облікового запису через My account > Link trusted proxy sign-in (підключити вхід через довірений проксі).

Змінні середовища

Задай їх до запуску. Обидва способи вимкнені, доки їх не ввімкнути. Помилкове налаштування зупиняє запуск HolyArrs; збій постачальника не заважає входу за паролем. Якщо HOLYARRS_OIDC_ENABLED задано взагалі, навіть як false, єдиним входом керує середовище, а Settings лише показує його.

Змінна	Що робить	Типово
HOLYARRS_OIDC_ENABLED	Вмикає єдиний вхід	false
HOLYARRS_OIDC_ISSUER	Точний HTTPS-issuer постачальника	немає
HOLYARRS_OIDC_CLIENT_ID	Зареєстрований client id	немає
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Файл із client secret, не більше 4096 байтів. Для публічного клієнта не вказуй	немає
HOLYARRS_OIDC_REDIRECT_URL	Точний HTTPS-callback: твоя адреса, URL base, якщо є, потім /api/v1/auth/oidc/callback	немає
HOLYARRS_OIDC_ALLOW_JOIN	Нові люди стають учасниками, які можуть лише запрошувати тайтли	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Дозволяє постачальника у твоїй приватній мережі	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Дозволяє звичайний HTTP на loopback, для перевірки	false
HOLYARRS_FORWARD_AUTH_ENABLED	Вмикає вхід через довірений проксі	false
HOLYARRS_FORWARD_AUTH_ISSUER	Стале HTTPS-ім’я цього проксі. Нове значення вважається новим джерелом	немає
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Адреси чи діапазони проксі через кому. Обов’язково. Діапазон, що охоплює всі адреси, відхиляється	немає
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Нові імена від проксі стають учасниками, які можуть лише запрошувати тайтли	false

Обидва параметри ALLOW_LOCAL_NETWORK і ALLOW_LOOPBACK_HTTP також діють для єдиного входу, налаштованого в Settings.

Як працює єдиний вхід

• Постачальник має підтримувати вхід за кодом авторизації з PKCE S256 і токени RS256, а кожна кінцева точка має бути на origin issuer.
• Облікові записи зіставляються за власним id облікового запису в постачальника, ніколи за електронною поштою.
• Ролі й групи постачальника не використовуються.
• Client secret зберігається зашифрованим і більше не показується. Залиш поле порожнім, щоб зберегти його.

Пов’язане

• Користувачі та ролі
• Сеанси та паролі
• Дитячі облікові записи
• URL base і зворотний проксі