Giriş ve parolalar

Kurulum

İnsanların nasıl giriş yapacağına karar ver: parola uzunluğu, ev ağı için kısayol ve dışarıdan giriş. Bunları yalnızca sahip değiştirebilir, Settings > Sign-in and security (Ayarlar > Giriş ve güvenlik) sayfasından.

En kısa parolayı belirle

Settings > Sign-in and security > Passwords (Parolalar) sayfasını aç.
4 ile 64 arasında bir sayı yaz. Varsayılan 8’dir.
Save’e (Kaydet) bas. Sayfayı yenilediğinde yeni sayının durduğunu görmelisin.

Bu alt sınır her yeni parola için geçerlidir: ilk sahip, kabul edilen davetler, My account (Hesabım) sayfasındaki değişiklikler ve holyarrs reset-owner. Mevcut parolalar bir sonraki değişikliğe kadar çalışmaya devam eder. En uzun parola 1024 karakterdir.

Yerel ağımda girişi atla

Ev ağındaki cihazlar HolyArrs’ı parolasız, sahip olarak açar. Varsayılan olarak kapalıdır.

Settings > Sign-in and security > Local network (Yerel ağ) sayfasını aç.
Ağlarını satır satır yaz, en fazla 32 tane. Bir aralık (192.168.1.0/24, fd00::/8) ya da tek bir adres (192.168.1.20) kullanabilirsin.
Anahtarı aç ve kaydet. Kartta kendi adresini görmelisin.

Liste boşken ya da herhangi bir Çocuk hesabı varken anahtar açılamaz. API anahtarı oluşturma, giriş ayarlarını değiştirme, gizli bilgileri okuma veya değiştirme ve yedek geri yükleme için yine parola istenir.

Önce adresi kontrol et

Bazı kurulumlarda tüm cihazlar tek bir geçit adresi gibi görünür: Docker Desktop, rootless Docker veya Podman ve Kubernetes NodePort. Tipik olanlar 172.17.0.1, 172.18.0.1 ve sonrası, 10.88.0.1, 10.89.x.1, 10.0.2.2 ve 192.168.65.x.

Bunlardan birini listeye yazarsan HolyArrs’a ulaşan herkes sahip olarak girer. Bir girdi böyle görünüyorsa kart seni uyarır. Sayfayı ikinci bir cihazdan aç: aynı adresi gösteriyorsa anahtarı kapat ve o girdiyi sil.

Bir ters proxy’nin arkasında HolyArrs, iletilen adresi yalnızca HOLYARRS_TRUSTED_PROXIES içindeki proxy’lerden okur. Aksi halde kart adres göstermez ve proxy’nin güvenilir olmadığını söyler.

Tek oturum açma

Bir OpenID Connect sağlayıcısı insanları giriş yaptırabilir. Giriş sayfasında bir düğme olarak görünür.

Settings > Sign-in and security > Single sign-on (Tek oturum açma) sayfasını aç.
Sağlayıcının issuer’ını yaz ve Test’e (Dene) bas. Deneme için hiçbir gizli bilgi gönderilmez.
Client id ve client secret’ı yaz. Sağlayıcı secret kullanmıyorsa Public client’ı (Genel istemci) işaretle.
Callback address’i (Geri dönüş adresi) kopyala ve tam olarak o adresi sağlayıcıya kaydet.
Parolanı yaz, iki adımlı doğrulama kullanıyorsan kodunu da ekle ve Save’e bas. Her değişiklik bunu ister.

Sonra kendi hesabını bağla: parolanla giriş yap, My account sayfasını aç, Linked sign-ins (Bağlı girişler) altında Link’e (Bağla) bas, parolanı onayla, sonra Single sign-on’ı seç.

Seçenekler

Yeni insanlar tek oturum açmayla katılsın

Varsayılan olarak kapalıdır. Açıkken sağlayıcının giriş yaptırdığı herkes bir hesap alır, bu yüzden HolyArrs senden onay ister. Yeni gelenler yalnızca istek yapabilen üye olarak katılır. Tek oturum açma asla sahip ya da yönetici oluşturmaz.

Issuer’ı veya client id’yi değiştir

Secret’ı yeniden yazarsın. Eski bağlantılar silinir ve tek oturum açmayı kullanan herkesin oturumu kapanır. Herkes My account sayfasından yeniden bağlar. Tek oturum açmayı kapatmak da onların oturumunu kapatır.

Bir girişin bağlantısını kaldır

Kendininki: My account > Linked sign-ins > Unlink (Bağlantıyı kaldır). Yakın zamanda yapılmış bir parola onayı gerekir ve tek giriş yolun buysa reddedilir.
Başkasınınki: sahip Settings > Users and roles (Kullanıcılar ve roller) sayfasını kullanır. Kişinin tek giriş yolu buysa HolyArrs bir kez daha sorar.

Bağlantıyı kaldırmak, onu kullanan cihazların oturumunu kapatır. Katılım açıksa aynı kişi yeni üye olarak geri gelebilir. Onu dışarıda tutmak için katılımı kapat.

Çalışmazsa

Belirti: HolyArrs parolanı yeniden istiyor. Neden: hesap, anahtar ve ayar değişiklikleri son 10 dakika içinde yapılmış bir parola onayı ister, ayarlıysa iki adımlı doğrulamayı da. Dışarıdan giriş ve yerel ağ kısayolu bu onay yerine geçmez. Çözüm: parolanla onayla. Oturumu kapatmak ve cihazları sonlandırmak hiçbir zaman onay istemez.

Belirti: geri dönüş kısa bir hatayla başarısız oldu ve giriş yapılmış durumda değilsin. Neden: sağlayıcıdaki geri dönüş adresi HolyArrs’takinden farklı. Çözüm: Callback address’i yeniden kopyala ve sağlayıcıya birebir yapıştır.

Belirti: tek oturum açmayla oluşturulan bir hesap parola belirleyemiyor. Neden: bu sürümde mümkün değil. Çözüm: önce yerel sahibi oluştur, sonra tek oturum açmayı ona bağla.

Belirti: HolyArrs’tan çıkış yaptın ama sağlayıcıda hâlâ giriş yapılmış görünüyorsun. Neden: HolyArrs yalnızca kendi girişini sonlandırır. Çözüm: ortak bir cihazda sağlayıcıdan da çıkış yap.

Sahip parolanı mı kaybettin? Oturumlar ve parolalar sayfasına bak.

Uzmanlar için

Güvenilen proxy ile giriş

Bir ters proxy insanları zaten giriş yaptırıyorsa HolyArrs onun ilettiği adı kabul eder. Bunu yalnızca ortam değişkenleriyle ayarla. Giriş sayfasında bir düğme olarak görünür; tek başına başlıklara bakarak bir ziyaret kimseyi giriş yaptırmaz.

Proxy gelen Remote-User ve Remote-Name başlıklarını siler, girişten sonra kendi değerlerini koyar.
Remote-User: tek, sabit bir ad, en fazla 255 bayt. Remote-Name: isteğe bağlı görünen ad, en fazla 200 bayt.
Tekrarlanan, virgülle birleştirilmiş ya da kontrol karakteri içeren değerler reddedilir. Rol başlıkları yok sayılır.

HolyArrs’a yalnızca o proxy üzerinden erişilebilsin. Bir proxy adresine güvenmek, gönderdiği her ada güvenmek demektir. Bunu My account > Link trusted proxy sign-in (Güvenilen proxy girişini bağla) ile bir hesaba bağla.

Ortam değişkenleri

Bunları başlatmadan önce ayarla. İki yöntem de açmadıkça kapalıdır. Hatalı bir kurulum HolyArrs’ın başlamasını engeller; sağlayıcı çökerse parolayla giriş çalışmaya devam eder. HOLYARRS_OIDC_ENABLED değişkeni false bile olsa ayarlanmışsa tek oturum açma ortam değişkenlerine aittir ve Ayarlar yalnızca gösterir.

Değişken	Ne yapar	Varsayılan
`HOLYARRS_OIDC_ENABLED`	Tek oturum açmayı aç	`false`
`HOLYARRS_OIDC_ISSUER`	Sağlayıcının birebir HTTPS issuer’ı	yok
`HOLYARRS_OIDC_CLIENT_ID`	Kayıtlı client id	yok
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	Client secret’ı tutan dosya, en fazla 4096 bayt. Genel istemci için boş bırak	yok
`HOLYARRS_OIDC_REDIRECT_URL`	Birebir HTTPS geri dönüş adresi: senin adresin, varsa URL base, sonra `/api/v1/auth/oidc/callback`	yok
`HOLYARRS_OIDC_ALLOW_JOIN`	Yeni insanlar yalnızca istek yapabilen üye olarak katılır	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	Özel ağındaki bir sağlayıcıya izin ver	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	Deneme için loopback üzerinde düz HTTP’ye izin ver	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	Güvenilen proxy ile girişi aç	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	Bu proxy için sabit HTTPS adı. Yeni bir değer yeni bir kaynak sayılır	yok
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	Virgülle ayrılmış proxy adresleri veya aralıkları. Zorunlu. Tüm adresleri kapsayan aralık reddedilir	yok
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	Yeni proxy adları yalnızca istek yapabilen üye olarak katılır	`false`

ALLOW_LOCAL_NETWORK ve ALLOW_LOOPBACK_HTTP ayarları, Ayarlar’dan kurulan tek oturum açma için de geçerlidir.

Tek oturum açma nasıl çalışır

Sağlayıcı, PKCE S256 ve RS256 token’larla yetkilendirme kodu girişini desteklemeli; her uç nokta issuer’ın origin’inde olmalı.
Hesaplar, e-postaya göre değil, sağlayıcının kendi hesap id’sine göre eşleşir.
Sağlayıcının rolleri ve grupları kullanılmaz.
Client secret şifreli saklanır ve bir daha gösterilmez. Korumak için alanı boş bırak.

İlgili

HolyArrs ücretsiz. Zamanından tasarruf ettirdiyse GitHub'da yıldızla, sponsor ol ya da bana bir kahve ısmarla.