Accesso e password

Decidi come accedono le persone: lunghezza della password, una scorciatoia per la rete di casa e l’accesso dall’esterno. Solo il Proprietario può cambiare queste impostazioni, in Settings > Sign-in and security (Impostazioni > Accesso e sicurezza).

Impostare la lunghezza minima della password

1. Apri Settings > Sign-in and security > Passwords (Impostazioni > Accesso e sicurezza > Password).
2. Scrivi un numero da 4 a 64. Il valore predefinito è 8.
3. Premi Save (salva). Dovresti vedere il nuovo numero restare anche dopo aver ricaricato la pagina.

Il minimo vale per ogni nuova password: quella del primo Proprietario, quelle degli inviti accettati, i cambi in My account (il mio account) e holyarrs reset-owner. Le password esistenti continuano a funzionare fino al prossimo cambio. La password più lunga può avere 1024 caratteri.

Attenzione

HolyArrs rallenta i tentativi ripetuti con password sbagliata, ma una password corta resta facile da indovinare. Se HolyArrs è raggiungibile da fuori casa, usa 12 caratteri o più.

Salta l’accesso sulla mia rete locale

I dispositivi della tua rete di casa aprono HolyArrs come Proprietario, senza password. È disattivato per impostazione predefinita.

1. Apri Settings > Sign-in and security > Local network (rete locale).
2. Elenca le tue reti, una per riga, fino a 32. Usa un intervallo (192.168.1.0/24, fd00::/8) oppure un solo indirizzo (192.168.1.20).
3. Attiva l’interruttore e salva. Dovresti vedere il tuo indirizzo sulla scheda.

L’interruttore non si può attivare con l’elenco vuoto, né mentre esiste un account per bambini. Creare chiavi API, cambiare le impostazioni di accesso, leggere o sostituire i segreti e ripristinare i backup chiedono comunque la password.

Controlla prima l’indirizzo

Alcune configurazioni fanno sembrare ogni dispositivo un unico indirizzo di gateway: Docker Desktop, Docker o Podman rootless e Kubernetes NodePort. Quelli tipici sono 172.17.0.1, 172.18.0.1 e successivi, 10.88.0.1, 10.89.x.1, 10.0.2.2 e 192.168.65.x.

Se inserisci uno di questi, chiunque raggiunga HolyArrs entra come Proprietario. La scheda ti avvisa quando una voce somiglia a uno di questi indirizzi. Apri la pagina da un secondo dispositivo: se mostra lo stesso indirizzo, disattiva l’interruttore e rimuovi quella voce.

Dietro un reverse proxy, HolyArrs legge l’indirizzo inoltrato solo dai proxy indicati in HOLYARRS_TRUSTED_PROXIES. Altrimenti la scheda non mostra nessun indirizzo e dice che il proxy non è attendibile.

Accesso singolo

Un provider OpenID Connect può far accedere le persone. Compare come pulsante nella pagina di accesso.

1. Apri Settings > Sign-in and security > Single sign-on (accesso singolo).
2. Scrivi l’issuer del provider e premi Test (prova). Per la prova non viene inviato nessun segreto.
3. Scrivi il client id e il client secret. Spunta Public client (client pubblico) se il provider non usa un segreto.
4. Copia il Callback address (indirizzo di callback) e registra proprio quell’indirizzo presso il provider.
5. Scrivi la tua password, più un codice a due fattori se ne usi uno, e premi Save. Ogni modifica lo richiede.

Poi collega il tuo account: accedi con la password, apri My account, sotto Linked sign-ins (accessi collegati) premi Link (collega), conferma la password, poi premi Single sign-on.

Consiglio

Tieni sempre una password del Proprietario funzionante. Se il provider non è disponibile, l’accesso con password continua a funzionare.

Scelte

Far entrare nuove persone con l’accesso singolo

Disattivato per impostazione predefinita. Se è attivo, chiunque il provider faccia accedere ottiene un account, quindi HolyArrs ti chiede di confermare. I nuovi arrivati entrano come Membri che possono solo fare richieste. L’accesso singolo non crea mai un Proprietario o un Amministratore.

Cambiare l’issuer o il client id

Devi scrivere di nuovo il segreto. I vecchi collegamenti vengono rimossi e tutti quelli che usavano l’accesso singolo vengono disconnessi. Si ricollegano da My account. Anche disattivare l’accesso singolo li disconnette.

Scollegare un accesso

• Il tuo: My account > Linked sign-ins > Unlink (scollega). Serve una conferma recente della password, e viene rifiutato se è il tuo unico modo per entrare.
• Quello di un’altra persona: il Proprietario usa Settings > Users and roles (utenti e ruoli). Se è l’unico modo per entrare di quella persona, HolyArrs chiede un’ultima conferma.

Scollegare disconnette i dispositivi che lo usavano. Se l’ingresso è aperto, la stessa persona può tornare come nuovo Membro. Disattiva l’ingresso per tenerla fuori.

Se non funziona

Sintomo: HolyArrs ti chiede di nuovo la password. Causa: le modifiche ad account, chiavi e impostazioni richiedono una conferma della password fatta negli ultimi 10 minuti, più il secondo fattore se è attivo. L’accesso dall’esterno e la scorciatoia della rete locale non contano. Soluzione: conferma con la tua password. Uscire e disconnettere i dispositivi non la richiede mai.

Sintomo: una callback è fallita con un breve errore e resti disconnesso. Causa: l’indirizzo di callback presso il provider è diverso da quello di HolyArrs. Soluzione: copia di nuovo il Callback address e incollalo identico presso il provider.

Sintomo: un account creato con l’accesso singolo non riesce a impostare una password. Causa: in questa versione non è possibile. Soluzione: crea prima il Proprietario locale, poi collegagli l’accesso singolo.

Sintomo: dopo essere uscito da HolyArrs sei rimasto connesso presso il provider. Causa: HolyArrs termina solo il proprio accesso. Soluzione: su un dispositivo condiviso, esci anche presso il provider.

Hai perso la password del Proprietario? Vedi Sessioni e password.

Per esperti

Accesso tramite proxy attendibile

Se un reverse proxy fa già accedere le persone, HolyArrs accetta il nome che gli passa. Impostalo solo nell’ambiente. Compare come pulsante nella pagina di accesso; una visita non fa mai accedere nessuno solo a partire dagli header.

• Il proxy toglie Remote-User e Remote-Name in arrivo e imposta i suoi dopo l’accesso.
• Remote-User: un solo nome stabile, al massimo 255 byte. Remote-Name: nome visualizzato facoltativo, al massimo 200 byte.
• I valori ripetuti, uniti da virgole o con caratteri di controllo vengono rifiutati. Gli header dei ruoli vengono ignorati.

Rendi HolyArrs raggiungibile solo attraverso quel proxy. Considerare attendibile l’indirizzo di un proxy significa fidarsi di ogni nome che invia. Collegalo a un account da My account > Link trusted proxy sign-in (collega accesso tramite proxy attendibile).

Variabili d'ambiente

Impostale prima dell’avvio. Entrambi i metodi sono disattivati se non li attivi. Una configurazione sbagliata impedisce l’avvio di HolyArrs; se il provider non è disponibile, l’accesso con password continua a funzionare. Se HOLYARRS_OIDC_ENABLED è impostata in qualsiasi modo, anche su false, l’accesso singolo è gestito dall’ambiente e Settings lo mostra soltanto.

Variabile	Cosa fa	Predefinito
HOLYARRS_OIDC_ENABLED	Attiva l’accesso singolo	false
HOLYARRS_OIDC_ISSUER	Issuer HTTPS esatto del provider	nessuno
HOLYARRS_OIDC_CLIENT_ID	Client id registrato	nessuno
HOLYARRS_OIDC_CLIENT_SECRET_FILE	File con il client secret, al massimo 4096 byte. Omettila per un client pubblico	nessuno
HOLYARRS_OIDC_REDIRECT_URL	Callback HTTPS esatta: il tuo indirizzo, l’URL base se c’è, poi /api/v1/auth/oidc/callback	nessuno
HOLYARRS_OIDC_ALLOW_JOIN	Le nuove persone entrano come Membri che possono solo fare richieste	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Permette un provider nella tua rete privata	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Permette HTTP semplice su loopback, per i test	false
HOLYARRS_FORWARD_AUTH_ENABLED	Attiva l’accesso tramite proxy attendibile	false
HOLYARRS_FORWARD_AUTH_ISSUER	Nome HTTPS stabile per questo proxy. Un nuovo valore conta come una nuova origine	nessuno
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Indirizzi o intervalli di proxy separati da virgole. Obbligatoria. Un intervallo che include tutti gli indirizzi viene rifiutato	nessuno
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	I nuovi nomi dal proxy entrano come Membri che possono solo fare richieste	false

Le due impostazioni ALLOW_LOCAL_NETWORK e ALLOW_LOOPBACK_HTTP valgono anche per l’accesso singolo configurato in Settings.

Come funziona l'accesso singolo

• Il provider deve supportare l’accesso con authorization code con PKCE S256 e token RS256, con ogni endpoint sull’origine dell’issuer.
• Gli account si abbinano tramite l’id account del provider stesso, mai tramite email.
• I ruoli e i gruppi del provider non vengono usati.
• Il client secret è salvato cifrato e non viene mai mostrato di nuovo. Lascia il campo vuoto per tenerlo.

Correlati

• Utenti e ruoli
• Sessioni e password
• Account per bambini
• URL base e reverse proxy