Đăng nhập và mật khẩu

Quyết định cách mọi người đăng nhập: độ dài mật khẩu, lối tắt cho mạng ở nhà và đăng nhập từ bên ngoài. Chỉ chủ sở hữu mới đổi được các tùy chọn này, trong Settings > Sign-in and security (Cài đặt > Đăng nhập và bảo mật).

Đặt mật khẩu ngắn nhất

1. Mở Settings > Sign-in and security > Passwords (Mật khẩu).
2. Nhập một số từ 4 đến 64. Mặc định là 8.
3. Chọn Save (lưu). Bạn sẽ thấy số mới vẫn còn sau khi tải lại trang.

Độ dài tối thiểu áp dụng cho mọi mật khẩu mới: chủ sở hữu đầu tiên, lời mời được chấp nhận, thay đổi ở My account (tài khoản của tôi) và holyarrs reset-owner. Mật khẩu hiện có vẫn dùng được cho đến lần đổi tiếp theo. Mật khẩu dài nhất là 1024 ký tự.

Chú ý

HolyArrs làm chậm các lần đăng nhập sai liên tiếp, nhưng mật khẩu ngắn vẫn dễ đoán. Nếu có thể truy cập HolyArrs từ bên ngoài nhà bạn, hãy dùng 12 ký tự trở lên.

Bỏ qua đăng nhập trên mạng nội bộ

Các thiết bị trong mạng ở nhà mở HolyArrs với tư cách chủ sở hữu, không cần mật khẩu. Mặc định tắt.

1. Mở Settings > Sign-in and security > Local network (Mạng nội bộ).
2. Liệt kê các mạng của bạn, mỗi dòng một mạng, tối đa 32. Dùng một dải (192.168.1.0/24, fd00::/8) hoặc một địa chỉ (192.168.1.20).
3. Bật công tắc rồi lưu. Bạn sẽ thấy địa chỉ của chính mình trên thẻ.

Công tắc không thể bật khi danh sách trống, hoặc khi có bất kỳ tài khoản trẻ em nào. Tạo khóa API, đổi tùy chọn đăng nhập, đọc hoặc thay bí mật và khôi phục bản sao lưu vẫn yêu cầu mật khẩu.

Kiểm tra địa chỉ trước

Một số cách thiết lập khiến mọi thiết bị trông như cùng một địa chỉ cổng: Docker Desktop, Docker hoặc Podman rootless, và Kubernetes NodePort. Các địa chỉ thường gặp là 172.17.0.1, 172.18.0.1 trở lên, 10.88.0.1, 10.89.x.1, 10.0.2.2 và 192.168.65.x.

Nếu liệt kê một trong số đó, bất kỳ ai truy cập được HolyArrs đều vào với tư cách chủ sở hữu. Thẻ sẽ cảnh báo khi một mục trông giống vậy. Mở trang từ một thiết bị thứ hai: nếu nó hiện cùng một địa chỉ, hãy tắt công tắc và xóa mục đó.

Khi chạy sau reverse proxy, HolyArrs chỉ đọc địa chỉ được chuyển tiếp từ các proxy nằm trong HOLYARRS_TRUSTED_PROXIES. Nếu không, thẻ không hiện địa chỉ và cho biết proxy chưa được tin cậy.

Đăng nhập một lần

Một nhà cung cấp OpenID Connect có thể đăng nhập cho mọi người. Nó hiện thành một nút trên trang đăng nhập.

1. Mở Settings > Sign-in and security > Single sign-on (Đăng nhập một lần).
2. Nhập issuer của nhà cung cấp rồi chọn Test (kiểm tra). Bước kiểm tra không gửi bí mật nào.
3. Nhập client id và client secret. Đánh dấu Public client (client công khai) nếu nhà cung cấp không dùng bí mật.
4. Sao chép Callback address (địa chỉ callback) và đăng ký đúng địa chỉ đó tại nhà cung cấp.
5. Nhập mật khẩu của bạn, kèm mã hai yếu tố nếu bạn dùng, rồi chọn Save. Mọi thay đổi đều yêu cầu bước này.

Sau đó liên kết tài khoản của chính bạn: đăng nhập bằng mật khẩu, mở My account, ở mục Linked sign-ins (đăng nhập đã liên kết) chọn Link (liên kết), xác nhận mật khẩu, rồi chọn Single sign-on.

Mẹo

Hãy giữ một mật khẩu chủ sở hữu còn dùng được. Nếu nhà cung cấp ngừng hoạt động, đăng nhập bằng mật khẩu vẫn chạy.

Lựa chọn

Cho người mới tham gia qua đăng nhập một lần

Mặc định tắt. Khi bật, bất kỳ ai được nhà cung cấp đăng nhập sẽ có một tài khoản, nên HolyArrs yêu cầu bạn xác nhận. Người mới tham gia với vai trò thành viên chỉ có thể yêu cầu. Đăng nhập một lần không bao giờ tạo chủ sở hữu hay quản trị viên.

Đổi issuer hoặc client id

Bạn nhập lại bí mật. Các liên kết cũ bị xóa và mọi người đã dùng đăng nhập một lần bị đăng xuất. Họ liên kết lại từ My account. Tắt đăng nhập một lần cũng đăng xuất họ.

Hủy liên kết một đăng nhập

• Của chính bạn: My account > Linked sign-ins > Unlink (hủy liên kết). Cần xác nhận mật khẩu gần đây, và bị từ chối nếu đó là cách duy nhất để bạn vào.
• Của người khác: chủ sở hữu dùng Settings > Users and roles (Người dùng và vai trò). Nếu đó là cách duy nhất để người ấy vào, HolyArrs hỏi thêm một lần nữa.

Hủy liên kết sẽ đăng xuất các thiết bị đã dùng nó. Nếu việc tham gia đang mở, chính người đó có thể quay lại như một thành viên mới. Tắt việc tham gia để giữ họ ở ngoài.

Nếu không hoạt động

Triệu chứng: HolyArrs lại hỏi mật khẩu của bạn. Nguyên nhân: thay đổi tài khoản, khóa và tùy chọn cần xác nhận mật khẩu trong 10 phút gần nhất, kèm hai yếu tố nếu đã đặt. Đăng nhập từ bên ngoài và lối tắt mạng nội bộ không được tính. Cách khắc phục: xác nhận bằng mật khẩu của bạn. Đăng xuất và kết thúc thiết bị thì không bao giờ hỏi.

Triệu chứng: callback lỗi với một thông báo ngắn, và bạn vẫn chưa đăng nhập. Nguyên nhân: địa chỉ callback tại nhà cung cấp khác với địa chỉ của HolyArrs. Cách khắc phục: sao chép lại Callback address và dán đúng nguyên văn tại nhà cung cấp.

Triệu chứng: tài khoản tạo qua đăng nhập một lần không đặt được mật khẩu. Nguyên nhân: phiên bản này chưa hỗ trợ. Cách khắc phục: tạo chủ sở hữu cục bộ trước, rồi liên kết đăng nhập một lần vào đó.

Triệu chứng: đăng xuất khỏi HolyArrs nhưng vẫn đang đăng nhập tại nhà cung cấp. Nguyên nhân: HolyArrs chỉ kết thúc đăng nhập của chính nó. Cách khắc phục: trên thiết bị dùng chung, hãy đăng xuất cả tại nhà cung cấp.

Mất mật khẩu chủ sở hữu? Xem Phiên đăng nhập và mật khẩu.

Dành cho người dùng nâng cao

Đăng nhập qua proxy tin cậy

Nếu một reverse proxy đã đăng nhập cho mọi người, HolyArrs chấp nhận tên mà nó chuyển sang. Chỉ đặt tùy chọn này trong biến môi trường. Nó hiện thành một nút trên trang đăng nhập; một lượt truy cập không bao giờ tự đăng nhập ai chỉ nhờ header.

• Proxy xóa Remote-User và Remote-Name đến từ bên ngoài, rồi đặt header của chính nó sau khi đăng nhập.
• Remote-User: một tên ổn định, tối đa 255 byte. Remote-Name: tên hiển thị tùy chọn, tối đa 200 byte.
• Giá trị lặp lại, nối bằng dấu phẩy hoặc chứa ký tự điều khiển sẽ bị từ chối. Header vai trò bị bỏ qua.

Chỉ cho phép truy cập HolyArrs thông qua proxy đó. Tin cậy một địa chỉ proxy nghĩa là tin cậy mọi tên nó gửi. Liên kết nó với một tài khoản từ My account > Link trusted proxy sign-in (liên kết đăng nhập qua proxy tin cậy).

Biến môi trường

Đặt các biến này trước khi khởi động. Cả hai phương thức đều tắt trừ khi được bật. Thiết lập sai sẽ khiến HolyArrs không khởi động; nhà cung cấp ngừng hoạt động thì đăng nhập bằng mật khẩu vẫn chạy. Nếu HOLYARRS_OIDC_ENABLED được đặt ở bất kỳ giá trị nào, kể cả false, thì biến môi trường quản lý đăng nhập một lần và Cài đặt chỉ hiển thị nó.

Biến	Tác dụng	Mặc định
HOLYARRS_OIDC_ENABLED	Bật đăng nhập một lần	false
HOLYARRS_OIDC_ISSUER	Issuer HTTPS chính xác của nhà cung cấp	không có
HOLYARRS_OIDC_CLIENT_ID	Client id đã đăng ký	không có
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Tệp chứa client secret, tối đa 4096 byte. Bỏ trống nếu là client công khai	không có
HOLYARRS_OIDC_REDIRECT_URL	Callback HTTPS chính xác: địa chỉ của bạn, URL base nếu có, rồi /api/v1/auth/oidc/callback	không có
HOLYARRS_OIDC_ALLOW_JOIN	Người mới tham gia với vai trò thành viên chỉ có thể yêu cầu	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Cho phép nhà cung cấp nằm trong mạng riêng của bạn	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Cho phép HTTP thường trên loopback, để thử nghiệm	false
HOLYARRS_FORWARD_AUTH_ENABLED	Bật đăng nhập qua proxy tin cậy	false
HOLYARRS_FORWARD_AUTH_ISSUER	Tên HTTPS ổn định cho proxy này. Giá trị mới được tính là một nguồn đăng nhập mới	không có
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Các địa chỉ hoặc dải proxy, cách nhau bằng dấu phẩy. Bắt buộc. Dải bao gồm mọi địa chỉ sẽ bị từ chối	không có
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Tên proxy mới tham gia với vai trò thành viên chỉ có thể yêu cầu	false

Hai tùy chọn ALLOW_LOCAL_NETWORK và ALLOW_LOOPBACK_HTTP cũng áp dụng cho đăng nhập một lần được thiết lập trong Cài đặt.

Đăng nhập một lần hoạt động thế nào

• Nhà cung cấp phải hỗ trợ đăng nhập bằng authorization code với PKCE S256 và token RS256, với mọi endpoint nằm trên cùng origin với issuer.
• Tài khoản được khớp theo id tài khoản riêng của nhà cung cấp, không bao giờ theo email.
• Vai trò và nhóm của nhà cung cấp không được dùng.
• Client secret được lưu mã hóa và không bao giờ hiện lại. Để trống ô này để giữ nguyên.

Liên quan

• Người dùng và vai trò
• Phiên đăng nhập và mật khẩu
• Tài khoản trẻ em
• URL base và reverse proxy