Anmeldung und Passwörter

Einrichtung

Lege fest, wie sich Personen anmelden: Passwortlänge, eine Abkürzung im Heimnetz und Anmeldung von außen. Nur der Besitzer ändert das, unter Settings > Sign-in and security (Einstellungen > Anmeldung und Sicherheit).

Kürzeste Passwortlänge festlegen

Öffne Settings > Sign-in and security > Passwords (Passwörter).
Gib eine Zahl von 4 bis 64 ein. Der Standard ist 8.
Klicke auf Save (speichern). Du solltest sehen, dass die neue Zahl nach dem Neuladen bleibt.

Die Mindestlänge gilt für jedes neue Passwort: den ersten Besitzer, angenommene Einladungen, Änderungen unter My account (Mein Konto) und holyarrs reset-owner. Bestehende Passwörter funktionieren weiter, bis sie das nächste Mal geändert werden. Das längste Passwort hat 1024 Zeichen.

Anmeldung im lokalen Netzwerk überspringen

Geräte in deinem Heimnetz öffnen HolyArrs als Besitzer, ohne Passwort. Standardmäßig aus.

Öffne Settings > Sign-in and security > Local network (lokales Netzwerk).
Trage deine Netzwerke ein, eines pro Zeile, höchstens 32. Nimm einen Bereich (192.168.1.0/24, fd00::/8) oder eine einzelne Adresse (192.168.1.20).
Schalte den Schalter ein und speichere. Du solltest deine eigene Adresse auf der Karte sehen.

Der Schalter lässt sich nicht einschalten, solange die Liste leer ist oder es ein Kinderkonto gibt. API-Schlüssel erstellen, Anmeldeeinstellungen ändern, Geheimnisse lesen oder ersetzen und Backups wiederherstellen verlangen weiterhin ein Passwort.

Zuerst die Adresse prüfen

Bei manchen Setups sehen alle Geräte wie eine einzige Gateway-Adresse aus: Docker Desktop, Docker oder Podman im Rootless-Modus und Kubernetes NodePort. Typisch sind 172.17.0.1, 172.18.0.1 und aufwärts, 10.88.0.1, 10.89.x.1, 10.0.2.2 und 192.168.65.x.

Trägst du eine davon ein, kommt jeder, der HolyArrs erreicht, als Besitzer hinein. Die Karte warnt, wenn ein Eintrag danach aussieht. Öffne die Seite auf einem zweiten Gerät: Zeigt sie dieselbe Adresse, schalte den Schalter aus und entferne den Eintrag.

Hinter einem Reverse Proxy liest HolyArrs die weitergeleitete Adresse nur von Proxys, die in HOLYARRS_TRUSTED_PROXIES stehen. Sonst zeigt die Karte keine Adresse und meldet, dass dem Proxy nicht vertraut wird.

Single Sign-on

Ein OpenID-Connect-Anbieter kann die Anmeldung übernehmen. Er erscheint als Schaltfläche auf der Anmeldeseite.

Öffne Settings > Sign-in and security > Single sign-on.
Gib den Issuer des Anbieters ein und klicke auf Test (testen). Für den Test wird kein Geheimnis gesendet.
Gib die Client-ID und das Client-Geheimnis ein. Setze den Haken bei Public client (öffentlicher Client), wenn der Anbieter kein Geheimnis verwendet.
Kopiere die Callback address (Callback-Adresse) und registriere genau diese Adresse beim Anbieter.
Gib dein Passwort ein, dazu einen Zwei-Faktor-Code, falls du einen nutzt, und klicke auf Save. Jede Änderung verlangt das.

Verknüpfe danach dein eigenes Konto: Melde dich mit deinem Passwort an, öffne My account, klicke unter Linked sign-ins (verknüpfte Anmeldungen) auf Link (verknüpfen), bestätige dein Passwort und klicke dann auf Single sign-on.

Optionen

Neue Leute über Single Sign-on beitreten lassen

Standardmäßig aus. Ist es an, bekommt jeder ein Konto, den der Anbieter anmeldet. Deshalb fragt HolyArrs dich nach einer Bestätigung. Neue kommen als Mitglieder dazu, die nur anfragen können. Single Sign-on macht nie jemanden zum Besitzer oder Admin.

Issuer oder Client-ID ändern

Du gibst das Geheimnis erneut ein. Alte Verknüpfungen werden entfernt, und alle, die Single Sign-on genutzt haben, werden abgemeldet. Sie verknüpfen ihr Konto erneut unter My account. Auch das Ausschalten von Single Sign-on meldet sie ab.

Verknüpfung einer Anmeldung lösen

Deine eigene: My account > Linked sign-ins > Unlink (Verknüpfung lösen). Dafür brauchst du eine frische Passwortbestätigung, und es wird abgelehnt, wenn es dein einziger Weg hinein ist.
Die von anderen: Der Besitzer nutzt Settings > Users and roles (Benutzer und Rollen). Ist es der einzige Weg hinein für diese Person, fragt HolyArrs noch einmal nach.

Das Lösen meldet die Geräte ab, die diese Anmeldung genutzt haben. Ist der Beitritt offen, kann dieselbe Person als neues Mitglied zurückkommen. Schalte den Beitritt aus, um sie draußen zu halten.

Wenn es nicht funktioniert

Symptom: HolyArrs fragt erneut nach deinem Passwort. Ursache: Änderungen an Konten, Schlüsseln und Einstellungen brauchen eine Passwortbestätigung aus den letzten 10 Minuten, dazu Zwei-Faktor, falls eingerichtet. Anmeldung von außen und die Abkürzung im lokalen Netzwerk zählen nicht. Lösung: Bestätige mit deinem Passwort. Abmelden und das Beenden von Geräten fragen nie danach.

Symptom: Ein Callback ist mit einer kurzen Fehlermeldung fehlgeschlagen, und du bleibst abgemeldet. Ursache: Die Callback-Adresse beim Anbieter weicht von der in HolyArrs ab. Lösung: Kopiere Callback address erneut und füge sie genau so beim Anbieter ein.

Symptom: Ein Konto, das über Single Sign-on entstanden ist, kann kein Passwort festlegen. Ursache: In dieser Version nicht möglich. Lösung: Lege zuerst den lokalen Besitzer an und verknüpfe dann Single Sign-on damit.

Symptom: Nach dem Abmelden von HolyArrs bist du beim Anbieter noch angemeldet. Ursache: HolyArrs beendet nur seine eigene Anmeldung. Lösung: Melde dich auf einem gemeinsam genutzten Gerät auch beim Anbieter ab.

Besitzerpasswort verloren? Siehe Sitzungen und Passwörter.

Für Fortgeschrittene

Anmeldung über vertrauenswürdigen Proxy

Wenn ein Reverse Proxy die Leute bereits anmeldet, übernimmt HolyArrs den Namen, den er weitergibt. Das stellst du nur in der Umgebung ein. Es erscheint als Schaltfläche auf der Anmeldeseite; ein Besuch meldet nie jemanden allein anhand von Headern an.

Der Proxy entfernt eingehende Remote-User und Remote-Name und setzt nach der Anmeldung seine eigenen.
Remote-User: ein fester Name, höchstens 255 Bytes. Remote-Name: optionaler Anzeigename, höchstens 200 Bytes.
Wiederholte Werte, mit Komma verbundene Werte und Werte mit Steuerzeichen werden abgelehnt. Rollen-Header werden ignoriert.

Halte HolyArrs nur über diesen Proxy erreichbar. Wer einer Proxy-Adresse vertraut, vertraut jedem Namen, den sie sendet. Verknüpfe ihn mit einem Konto unter My account > Link trusted proxy sign-in (Anmeldung über vertrauenswürdigen Proxy verknüpfen).

Umgebungsvariablen

Setze sie vor dem Start. Beide Methoden sind aus, solange du sie nicht einschaltest. Bei einer fehlerhaften Einrichtung startet HolyArrs nicht; fällt ein Anbieter aus, funktioniert die Anmeldung mit Passwort weiter. Ist HOLYARRS_OIDC_ENABLED überhaupt gesetzt, auch auf false, bestimmt die Umgebung über Single Sign-on, und die Einstellungen zeigen es nur an.

Variable	Was sie tut	Standard
`HOLYARRS_OIDC_ENABLED`	Single Sign-on einschalten	`false`
`HOLYARRS_OIDC_ISSUER`	Genauer HTTPS-Issuer des Anbieters	keiner
`HOLYARRS_OIDC_CLIENT_ID`	Registrierte Client-ID	keiner
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	Datei mit dem Client-Geheimnis, höchstens 4096 Bytes. Bei einem öffentlichen Client weglassen	keiner
`HOLYARRS_OIDC_REDIRECT_URL`	Genauer HTTPS-Callback: deine Adresse, URL base, falls vorhanden, dann `/api/v1/auth/oidc/callback`	keiner
`HOLYARRS_OIDC_ALLOW_JOIN`	Neue Leute kommen als Mitglieder dazu, die nur anfragen können	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	Einen Anbieter in deinem privaten Netzwerk erlauben	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	Einfaches HTTP auf Loopback erlauben, zum Testen	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	Anmeldung über vertrauenswürdigen Proxy einschalten	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	Fester HTTPS-Name für diesen Proxy. Ein neuer Wert zählt als neue Herkunft	keiner
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	Proxy-Adressen oder -Bereiche, durch Komma getrennt. Pflicht. Ein Bereich, der alle Adressen umfasst, wird abgelehnt	keiner
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	Neue Proxy-Namen kommen als Mitglieder dazu, die nur anfragen können	`false`

Die beiden Einstellungen ALLOW_LOCAL_NETWORK und ALLOW_LOOPBACK_HTTP gelten auch für Single Sign-on, das in den Einstellungen eingerichtet ist.

So funktioniert Single Sign-on

Der Anbieter muss die Anmeldung per Authorization Code mit PKCE S256 und RS256-Token unterstützen, und jeder Endpunkt muss auf dem Origin des Issuers liegen.
Konten werden über die Konto-ID des Anbieters zugeordnet, nie über die E-Mail.
Rollen und Gruppen des Anbieters werden nicht verwendet.
Das Client-Geheimnis wird verschlüsselt gespeichert und nie wieder angezeigt. Lass das Feld leer, um es zu behalten.