Logowanie i hasła

Konfiguracja

Zdecyduj, jak ludzie się logują: jak długie ma być hasło, czy w sieci domowej można wejść bez hasła i jak działa logowanie z zewnątrz. Zmienia to tylko właściciel, w Settings > Sign-in and security (ustawienia > logowanie i bezpieczeństwo).

Ustaw najkrótsze hasło

Otwórz Settings > Sign-in and security > Passwords (hasła).
Wpisz liczbę od 4 do 64. Domyślnie jest 8.
Kliknij Save (zapisz). Po odświeżeniu strony nadal zobaczysz nową liczbę.

Minimum dotyczy każdego nowego hasła: pierwszego właściciela, przyjętych zaproszeń, zmian w My account (moje konto) i polecenia holyarrs reset-owner. Dotychczasowe hasła działają do swojej następnej zmiany. Najdłuższe hasło ma 1024 znaki.

Pomiń logowanie w mojej sieci lokalnej

Urządzenia w twojej sieci domowej otwierają HolyArrs jako właściciel, bez hasła. Domyślnie wyłączone.

Otwórz Settings > Sign-in and security > Local network (sieć lokalna).
Wypisz swoje sieci, po jednej w wierszu, maksymalnie 32. Wpisz zakres (192.168.1.0/24, fd00::/8) albo pojedynczy adres (192.168.1.20).
Włącz przełącznik i zapisz. Na karcie zobaczysz swój własny adres.

Przełącznik nie może być włączony przy pustej liście ani wtedy, gdy istnieje jakiekolwiek konto dziecka. Tworzenie kluczy API, zmiana ustawień logowania, odczyt lub podmiana sekretów i przywracanie backupów nadal wymagają hasła.

Najpierw sprawdź adres

Niektóre konfiguracje sprawiają, że wszystkie urządzenia wyglądają jak jeden adres bramy: Docker Desktop, rootless Docker lub Podman oraz Kubernetes NodePort. Typowe adresy to 172.17.0.1, 172.18.0.1 i dalej, 10.88.0.1, 10.89.x.1, 10.0.2.2 i 192.168.65.x.

Jeśli wpiszesz któryś z nich, każdy, kto dotrze do HolyArrs, wejdzie jako właściciel. Karta ostrzega, gdy wpis tak wygląda. Otwórz stronę z drugiego urządzenia: jeśli pokaże ten sam adres, wyłącz przełącznik i usuń ten wpis.

Za reverse proxy HolyArrs czyta przekazany adres tylko od proxy wymienionych w HOLYARRS_TRUSTED_PROXIES. W przeciwnym razie karta nie pokazuje adresu i informuje, że proxy nie jest zaufane.

Single sign-on

Jeden dostawca OpenID Connect może logować ludzi. Pojawia się jako przycisk na stronie logowania.

Otwórz Settings > Sign-in and security > Single sign-on (logowanie jednokrotne).
Wpisz issuera dostawcy i kliknij Test (testuj). Do testu nie jest wysyłany żaden sekret.
Wpisz client id i client secret. Zaznacz Public client (klient publiczny), jeśli dostawca nie używa sekretu.
Skopiuj Callback address (adres zwrotny) i zarejestruj dokładnie ten adres u dostawcy.
Wpisz swoje hasło, a jeśli masz, także kod dwuskładnikowy, i kliknij Save. Każda zmiana o to prosi.

Potem połącz własne konto: zaloguj się hasłem, otwórz My account, w sekcji Linked sign-ins (połączone logowania) kliknij Link (połącz), potwierdź hasło i kliknij Single sign-on.

Opcje

Pozwól nowym osobom dołączać przez single sign-on

Domyślnie wyłączone. Po włączeniu każdy, kogo dostawca zaloguje, dostaje konto, więc HolyArrs prosi cię o potwierdzenie. Nowi dołączają jako członkowie, którzy mogą tylko prosić o tytuły. Single sign-on nigdy nie tworzy właściciela ani administratora.

Zmień issuera lub client id

Sekret wpisujesz ponownie. Stare połączenia są usuwane, a wszyscy, którzy użyli single sign-on, zostają wylogowani. Łączą się ponownie w My account. Wyłączenie single sign-on też ich wylogowuje.

Rozłącz logowanie

Własne: My account > Linked sign-ins > Unlink (rozłącz). Wymaga niedawnego potwierdzenia hasła i jest odrzucane, jeśli to twój jedyny sposób wejścia.
Czyjeś: właściciel używa Settings > Users and roles (użytkownicy i role). Jeśli to jedyny sposób wejścia tej osoby, HolyArrs pyta jeszcze raz.

Rozłączenie wylogowuje urządzenia, które z niego korzystały. Jeśli dołączanie jest otwarte, ta sama osoba może wrócić jako nowy członek. Wyłącz dołączanie, żeby ją zatrzymać.

Jeśli to nie działa

Objaw: HolyArrs ponownie pyta o hasło. Przyczyna: zmiany kont, kluczy i ustawień wymagają potwierdzenia hasłem z ostatnich 10 minut, a jeśli masz, także kodu dwuskładnikowego. Logowanie z zewnątrz i skrót dla sieci lokalnej się nie liczą. Rozwiązanie: potwierdź hasłem. Wylogowanie i kończenie sesji urządzeń nigdy o nie nie pytają.

Objaw: callback skończył się krótkim błędem i zostajesz wylogowany. Przyczyna: adres zwrotny u dostawcy różni się od tego w HolyArrs. Rozwiązanie: skopiuj Callback address jeszcze raz i wklej go u dostawcy dokładnie tak, jak jest.

Objaw: konto utworzone przez single sign-on nie może ustawić hasła. Przyczyna: w tej wersji nie jest to możliwe. Rozwiązanie: najpierw utwórz lokalnego właściciela, a potem połącz z nim single sign-on.

Objaw: po wylogowaniu z HolyArrs nadal jesteś zalogowany u dostawcy. Przyczyna: HolyArrs kończy tylko własne logowanie. Rozwiązanie: na wspólnym urządzeniu wyloguj się także u dostawcy.

Zgubione hasło właściciela? Zobacz Sesje i hasła.

Dla zaawansowanych

Logowanie przez zaufane proxy

Jeśli reverse proxy już loguje ludzi, HolyArrs przyjmuje nazwę, którą ono przekazuje. Ustawiasz to tylko w zmiennych środowiskowych. Pojawia się jako przycisk na stronie logowania; samo wejście na stronę nigdy nikogo nie loguje wyłącznie na podstawie nagłówków.

Proxy usuwa przychodzące Remote-User i Remote-Name, a po zalogowaniu ustawia własne.
Remote-User: jedna stała nazwa, najwyżej 255 bajtów. Remote-Name: opcjonalna nazwa wyświetlana, najwyżej 200 bajtów.
Wartości powtórzone, połączone przecinkami lub ze znakami sterującymi są odrzucane. Nagłówki z rolami są ignorowane.

Udostępnij HolyArrs tylko przez to proxy. Zaufanie adresowi proxy oznacza zaufanie każdej nazwie, którą ono wyśle. Połącz je z kontem w My account > Link trusted proxy sign-in (połącz logowanie przez zaufane proxy).

Zmienne środowiskowe

Ustaw je przed uruchomieniem. Obie metody są wyłączone, dopóki ich nie włączysz. Błędna konfiguracja uniemożliwia start HolyArrs; awaria dostawcy nie psuje logowania hasłem. Jeśli HOLYARRS_OIDC_ENABLED jest ustawione w ogóle, nawet na false, środowisko zarządza single sign-on, a Settings je tylko pokazuje.

Zmienna	Co robi	Domyślnie
`HOLYARRS_OIDC_ENABLED`	Włącza single sign-on	`false`
`HOLYARRS_OIDC_ISSUER`	Dokładny issuer HTTPS dostawcy	brak
`HOLYARRS_OIDC_CLIENT_ID`	Zarejestrowany client id	brak
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	Plik z client secret, najwyżej 4096 bajtów. Pomiń dla klienta publicznego	brak
`HOLYARRS_OIDC_REDIRECT_URL`	Dokładny callback HTTPS: twój adres, URL base jeśli jest, potem `/api/v1/auth/oidc/callback`	brak
`HOLYARRS_OIDC_ALLOW_JOIN`	Nowi dołączają jako członkowie, którzy mogą tylko prosić	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	Pozwala na dostawcę w twojej sieci prywatnej	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	Pozwala na zwykłe HTTP na loopback, do testów	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	Włącza logowanie przez zaufane proxy	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	Stała nazwa HTTPS tego proxy. Nowa wartość liczy się jako nowe źródło	brak
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	Adresy lub zakresy proxy oddzielone przecinkami. Wymagane. Zakres obejmujący wszystkie adresy jest odrzucany	brak
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	Nowe nazwy z proxy dołączają jako członkowie, którzy mogą tylko prosić	`false`

Dwa ustawienia ALLOW_LOCAL_NETWORK i ALLOW_LOOPBACK_HTTP dotyczą też single sign-on skonfigurowanego w Settings.

Jak działa single sign-on

Dostawca musi obsługiwać logowanie kodem autoryzacji z PKCE S256 i tokeny RS256, a każdy endpoint musi być w origin issuera.
Konta są dopasowywane po własnym id konta u dostawcy, nigdy po adresie e-mail.
Role i grupy dostawcy nie są używane.
Client secret jest przechowywany zaszyfrowany i nigdy więcej nie jest pokazywany. Zostaw pole puste, żeby go zachować.

Powiązane strony

HolyArrs jest darmowy. Jeśli oszczędził ci czas, daj mu gwiazdkę na GitHubie, zostań sponsorem albo postaw mi kawę.