साइन-इन और पासवर्ड

सेटअप

तय करें कि लोग कैसे साइन इन करेंगे: पासवर्ड की लंबाई, घर के नेटवर्क का शॉर्टकट, और बाहरी साइन-इन। इन्हें सिर्फ़ ओनर बदलता है, Settings > Sign-in and security (सेटिंग > साइन-इन और सुरक्षा) में।

सबसे छोटा पासवर्ड तय करें

Settings > Sign-in and security > Passwords (पासवर्ड) खोलें।
4 से 64 के बीच कोई संख्या टाइप करें। डिफ़ॉल्ट 8 है।
Save (सेव करें) चुनें। पेज दोबारा लोड करने के बाद भी नई संख्या वही दिखनी चाहिए।

यह न्यूनतम लंबाई हर नए पासवर्ड पर लागू होती है: पहला ओनर, स्वीकार किए गए न्योते, My account (मेरा अकाउंट) पर किए गए बदलाव और holyarrs reset-owner। मौजूदा पासवर्ड अगली बार बदले जाने तक चलते रहते हैं। सबसे लंबा पासवर्ड 1024 अक्षरों का हो सकता है।

अपने लोकल नेटवर्क पर साइन-इन छोड़ें

आपके घर के नेटवर्क के डिवाइस HolyArrs को ओनर के तौर पर खोलते हैं, बिना पासवर्ड के। डिफ़ॉल्ट रूप से बंद।

Settings > Sign-in and security > Local network (लोकल नेटवर्क) खोलें।
अपने नेटवर्क लिखें, हर लाइन में एक, ज़्यादा से ज़्यादा 32। कोई रेंज (192.168.1.0/24, fd00::/8) या एक एड्रेस (192.168.1.20) इस्तेमाल करें।
स्विच चालू करें और सेव करें। कार्ड पर आपका अपना एड्रेस दिखना चाहिए।

सूची ख़ाली हो, या कोई भी बच्चों का अकाउंट मौजूद हो, तो स्विच चालू नहीं हो सकता। API कुंजी बनाने, साइन-इन की सेटिंग बदलने, सीक्रेट पढ़ने या बदलने और बैकअप रीस्टोर करने पर पासवर्ड फिर भी माँगा जाता है।

पहले एड्रेस जाँच लें

कुछ सेटअप में हर डिवाइस एक ही गेटवे एड्रेस जैसा दिखता है: Docker Desktop, rootless Docker या Podman, और Kubernetes NodePort। आम एड्रेस हैं 172.17.0.1, 172.18.0.1 और उससे आगे, 10.88.0.1, 10.89.x.1, 10.0.2.2 और 192.168.65.x।

इनमें से कोई एक सूची में डाल दिया तो HolyArrs तक पहुँचने वाला हर कोई ओनर बनकर अंदर आ जाता है। कोई एंट्री ऐसी लगे तो कार्ड चेतावनी देता है। पेज को किसी दूसरे डिवाइस से खोलें: अगर वहाँ भी वही एड्रेस दिखे, तो स्विच बंद करें और वह एंट्री हटाएं।

रिवर्स प्रॉक्सी के पीछे HolyArrs आगे भेजा गया एड्रेस सिर्फ़ उन प्रॉक्सी से पढ़ता है जो HOLYARRS_TRUSTED_PROXIES में हैं। वरना कार्ड कोई एड्रेस नहीं दिखाता और बताता है कि प्रॉक्सी भरोसेमंद नहीं है।

सिंगल साइन-ऑन

एक OpenID Connect प्रोवाइडर लोगों को साइन इन करा सकता है। यह साइन-इन पेज पर एक बटन के रूप में दिखता है।

Settings > Sign-in and security > Single sign-on (सिंगल साइन-ऑन) खोलें।
प्रोवाइडर का issuer टाइप करें और Test (टेस्ट) चुनें। टेस्ट के लिए कोई सीक्रेट नहीं भेजा जाता।
क्लाइंट आईडी और क्लाइंट सीक्रेट टाइप करें। अगर प्रोवाइडर कोई सीक्रेट इस्तेमाल नहीं करता, तो Public client (पब्लिक क्लाइंट) पर टिक करें।
Callback address (कॉलबैक एड्रेस) कॉपी करें और ठीक वही एड्रेस प्रोवाइडर के यहाँ रजिस्टर करें।
अपना पासवर्ड टाइप करें, और टू-फ़ैक्टर कोड भी अगर आप उसे इस्तेमाल करते हैं, फिर Save चुनें। हर बदलाव पर यह माँगा जाता है।

फिर अपना अकाउंट लिंक करें: अपने पासवर्ड से साइन इन करें, My account खोलें, Linked sign-ins (लिंक किए गए साइन-इन) के नीचे Link (लिंक करें) चुनें, अपना पासवर्ड कन्फ़र्म करें, फिर Single sign-on चुनें।

विकल्प

नए लोगों को सिंगल साइन-ऑन से जुड़ने दें

डिफ़ॉल्ट रूप से बंद। चालू होने पर प्रोवाइडर जिसे भी साइन इन कराता है उसे अकाउंट मिल जाता है, इसलिए HolyArrs आपसे कन्फ़र्म करने को कहता है। नए लोग ऐसे मेंबर बनकर जुड़ते हैं जो सिर्फ़ माँग सकते हैं। सिंगल साइन-ऑन कभी ओनर या एडमिन नहीं बनाता।

issuer या क्लाइंट आईडी बदलें

आपको सीक्रेट दोबारा टाइप करना होता है। पुराने लिंक हट जाते हैं और सिंगल साइन-ऑन इस्तेमाल करने वाला हर व्यक्ति साइन आउट हो जाता है। वे My account से दोबारा लिंक करते हैं। सिंगल साइन-ऑन बंद करने पर भी वे साइन आउट हो जाते हैं।

किसी साइन-इन का लिंक हटाएं

अपना: My account > Linked sign-ins > Unlink (लिंक हटाएं)। इसके लिए हाल ही में पासवर्ड कन्फ़र्म किया होना चाहिए, और अगर यह आपका अंदर आने का अकेला तरीका है तो इसे मना कर दिया जाता है।
किसी का भी: ओनर Settings > Users and roles (यूज़र और रोल) इस्तेमाल करता है। अगर यह उस व्यक्ति का अंदर आने का अकेला तरीका है, तो HolyArrs एक बार और पूछता है।

लिंक हटाने पर वे डिवाइस साइन आउट हो जाते हैं जो उसे इस्तेमाल कर रहे थे। अगर जुड़ना खुला है, तो वही व्यक्ति नए मेंबर के तौर पर वापस आ सकता है। उन्हें बाहर रखने के लिए जुड़ना बंद करें।

अगर काम न करे

लक्षण: HolyArrs आपका पासवर्ड दोबारा माँगता है। वजह: अकाउंट, कुंजी और सेटिंग में बदलाव के लिए पिछले 10 मिनट के अंदर पासवर्ड कन्फ़र्म किया होना चाहिए, और टू-फ़ैक्टर भी अगर वह सेट है। बाहरी साइन-इन और लोकल नेटवर्क का शॉर्टकट इसमें नहीं गिने जाते। हल: अपने पासवर्ड से कन्फ़र्म करें। साइन आउट करने और डिवाइस हटाने पर यह कभी नहीं माँगा जाता।

लक्षण: कॉलबैक एक छोटे एरर के साथ फ़ेल हो गया, और आप साइन आउट ही रहते हैं। वजह: प्रोवाइडर के यहाँ का कॉलबैक एड्रेस HolyArrs वाले से अलग है। हल: Callback address दोबारा कॉपी करें और प्रोवाइडर के यहाँ ठीक वैसा ही पेस्ट करें।

लक्षण: सिंगल साइन-ऑन से बना अकाउंट पासवर्ड सेट नहीं कर पाता। वजह: इस वर्ज़न में यह मुमकिन नहीं है। हल: पहले लोकल ओनर बनाएं, फिर उससे सिंगल साइन-ऑन लिंक करें।

लक्षण: HolyArrs से साइन आउट करने के बाद भी आप प्रोवाइडर पर साइन इन रहे। वजह: HolyArrs सिर्फ़ अपना साइन-इन ख़त्म करता है। हल: साझा डिवाइस पर प्रोवाइडर से भी साइन आउट करें।

ओनर का पासवर्ड खो गया? सेशन और पासवर्ड देखें।

एक्सपर्ट के लिए

भरोसेमंद प्रॉक्सी साइन-इन

अगर कोई रिवर्स प्रॉक्सी पहले से लोगों को साइन इन कराता है, तो HolyArrs उसका भेजा हुआ नाम मान लेता है। इसे सिर्फ़ एनवायरनमेंट में सेट करें। यह साइन-इन पेज पर एक बटन के रूप में दिखता है; सिर्फ़ हेडर के भरोसे, पेज खोलने भर से कोई साइन इन नहीं होता।

प्रॉक्सी बाहर से आने वाले Remote-User और Remote-Name हटा देता है और साइन-इन के बाद अपने सेट करता है।
Remote-User: एक स्थिर नाम, ज़्यादा से ज़्यादा 255 बाइट। Remote-Name: दिखाने वाला वैकल्पिक नाम, ज़्यादा से ज़्यादा 200 बाइट।
दोहराई गई, कॉमा से जोड़ी गई या कंट्रोल कैरेक्टर वाली वैल्यू मना कर दी जाती हैं। रोल वाले हेडर अनदेखे किए जाते हैं।

HolyArrs तक पहुँच सिर्फ़ उसी प्रॉक्सी से रखें। किसी प्रॉक्सी एड्रेस पर भरोसा करने का मतलब है उसके भेजे हर नाम पर भरोसा करना। इसे किसी अकाउंट से My account > Link trusted proxy sign-in (भरोसेमंद प्रॉक्सी साइन-इन लिंक करें) से लिंक करें।

एनवायरनमेंट वेरिएबल

इन्हें शुरू करने से पहले सेट करें। दोनों तरीके तब तक बंद रहते हैं जब तक चालू न किए जाएं। ग़लत सेटअप HolyArrs को शुरू नहीं होने देता; प्रोवाइडर बंद हो तो पासवर्ड से साइन-इन चलता रहता है। अगर HOLYARRS_OIDC_ENABLED सेट है, चाहे false ही क्यों न हो, तो सिंगल साइन-ऑन एनवायरनमेंट के हाथ में रहता है और Settings उसे सिर्फ़ दिखाता है।

वेरिएबल	यह क्या करता है	डिफ़ॉल्ट
`HOLYARRS_OIDC_ENABLED`	सिंगल साइन-ऑन चालू करता है	`false`
`HOLYARRS_OIDC_ISSUER`	प्रोवाइडर का ठीक वही HTTPS issuer	कोई नहीं
`HOLYARRS_OIDC_CLIENT_ID`	रजिस्टर की गई क्लाइंट आईडी	कोई नहीं
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	क्लाइंट सीक्रेट वाली फ़ाइल, ज़्यादा से ज़्यादा 4096 बाइट। पब्लिक क्लाइंट के लिए इसे छोड़ दें	कोई नहीं
`HOLYARRS_OIDC_REDIRECT_URL`	ठीक वही HTTPS कॉलबैक: आपका एड्रेस, URL base अगर है, फिर `/api/v1/auth/oidc/callback`	कोई नहीं
`HOLYARRS_OIDC_ALLOW_JOIN`	नए लोग ऐसे मेंबर बनकर जुड़ते हैं जो सिर्फ़ माँग सकते हैं	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	आपके प्राइवेट नेटवर्क पर मौजूद प्रोवाइडर की अनुमति देता है	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	टेस्टिंग के लिए loopback पर सादे HTTP की अनुमति देता है	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	भरोसेमंद प्रॉक्सी साइन-इन चालू करता है	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	इस प्रॉक्सी का स्थिर HTTPS नाम। नई वैल्यू नया सोर्स मानी जाती है	कोई नहीं
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	कॉमा से अलग किए गए प्रॉक्सी एड्रेस या रेंज। ज़रूरी। सभी एड्रेस वाली रेंज मना कर दी जाती है	कोई नहीं
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	प्रॉक्सी के नए नाम ऐसे मेंबर बनकर जुड़ते हैं जो सिर्फ़ माँग सकते हैं	`false`

ALLOW_LOCAL_NETWORK और ALLOW_LOOPBACK_HTTP वाली दोनों सेटिंग Settings में सेट किए गए सिंगल साइन-ऑन पर भी लागू होती हैं।

सिंगल साइन-ऑन कैसे काम करता है

प्रोवाइडर में PKCE S256 के साथ authorization code साइन-इन और RS256 टोकन का सपोर्ट होना चाहिए, और हर endpoint issuer के origin पर होना चाहिए।
अकाउंट प्रोवाइडर की अपनी अकाउंट आईडी से मिलाए जाते हैं, ईमेल से कभी नहीं।
प्रोवाइडर के रोल और ग्रुप इस्तेमाल नहीं होते।
क्लाइंट सीक्रेट एन्क्रिप्टेड रखा जाता है और दोबारा कभी नहीं दिखाया जाता। उसे वैसा ही रखने के लिए फ़ील्ड ख़ाली छोड़ें।

इससे जुड़े पेज

HolyArrs मुफ़्त है। अगर इससे आपका समय बचा, तो GitHub पर स्टार दें, स्पॉन्सर करें या मुझे एक कॉफ़ी पिलाएं।