Влизане и акаунти

Определете кой може да създаде акаунт и как хората влизат. Всеки метод за влизане в Antimatter работи без лиценз, включително единно влизане и директории.

Кой може да създаде акаунт

След инсталирането проверете Системна конзола › Удостоверяване › Регистрирай се. По подразбиране всеки, който има покана за общност, може да създаде акаунт, но никой не може да се регистрира без такава.

Администраторите на общностите също контролират кой се присъединява към тяхната общност, с покани и собствените им разрешени домейни: вижте ръководството Водене на общност.

От командния ред: amctl user create (добавя --system-admin или --guest), amctl user invite, amctl user deactivate, amctl roles system-admin <user>, за да направите някой системен администратор, и amctl roles member <user>, за да отмените това.

Ел. поща и парола

В Системна конзола › Удостоверяване › Ел. поща:

В Системна конзола › Удостоверяване › Парола:

Дължина от 12 или повече символи допринася повече за сигурността, отколкото правилата за символи. За да нулирате паролата на някой: Системна конзола › Управление на потребители › Потребители, или amctl user change-password <user> --password <new>.

Многофакторно удостоверяване

Многофакторното удостоверяване (МФУ) добавя код от приложение за удостоверяване към паролата. То се прилага за акаунти, които влизат с имейл или AD/LDAP; при единично влизане използвайте МФУ на вашия доставчик на идентичност. В Системна конзола › Удостоверяване › МФУ:

• Разреши многофакторно удостоверяване (ServiceSettings.EnableMultifactorAuthentication, изключено): хората могат да активират МФУ в настройките за сигурност.
• Изисквай многофакторно удостоверяване (ServiceSettings.EnforceMultifactorAuthentication, изключено): всеки трябва да го настрои, при регистрация или при следващото си влизане.

Ако някой загуби устройството си: amctl user resetmfa <user>, или го нулирайте от страницата му в Системна конзола › Управление на потребители › Потребители.

Единично влизане

Antimatter може да вкарва хората през вашия доставчик на идентичност. При първото влизане създава акаунта им (ако е разрешено създаването на акаунти) от името, имейла и потребителското име, изпратени от доставчика.

OpenID Connect, GitLab, Google и Entra ID

Отидете в Системна конзола › Удостоверяване › OpenID Connect и изберете под Изберете доставчик на услуги: GitLab, Google Apps, Entra ID (Office 365) или OpenID Connect (други) за всеки друг доставчик (Keycloak, Authentik, Zitadel, Okta, Auth0…).

1. В вашия доставчик създайте приложение ("клиент") от тип web, с този URI за пренасочване, за URL адреса на вашия сайт:

   Доставчик	URI за пренасочване
   OpenID Connect (други)	https://chat.example.com/signup/openid/complete
   GitLab	https://chat.example.com/signup/gitlab/complete
   Google	https://chat.example.com/signup/google/complete
   Entra ID	https://chat.example.com/signup/office365/complete

2. В Antimatter попълнете Идентификационна точка (URL адреса /.well-known/openid-configuration на доставчика; за GitLab вместо това URL адрес на сайта на GitLab), Client ID и Client Secret. За други доставчици, също и Име на бутон и Цвят на бутона на бутона за влизане.
3. Използване на предпочитано потребителско име (GitLab и други доставчици) взима потребителското име в Antimatter от претенцията preferred_username на доставчика.
4. Запазете, излезте и опитайте новия бутон на страницата за влизане.

Настройките се съхраняват в OpenIdSettings, GitLabSettings, GoogleSettings или Office365Settings (например AM_OPENIDSETTINGS_ENABLE, AM_OPENIDSETTINGS_DISCOVERYENDPOINT, AM_OPENIDSETTINGS_ID, AM_OPENIDSETTINGS_SECRET). Допълнителни обхвати (AM_OPENIDSETTINGS_ADDITIONALSCOPES) иска от доставчика допълнителни OAuth обхвати, разделени с интервал, в допълнение към стандартните. Старата страница за OAuth 2.0 се показва само за сървъри, които все още имат конфигурация за OAuth 2.0 за GitLab, Google или Entra ID.

При обикновен OpenID Connect (не GitLab, Google или Entra ID) влизането синхронизира и потребителските атрибути, които сте свързали с искане (claim): Antimatter чете ID токена и отговора от userinfo (userinfo има предимство, когато и двата носят искането), първо опитва името на искането като единичен ключ от най-високо ниво, а след това като вложеност, разделена с точки (например address.country), ако нищо не съвпада. Искане, което отговорът не съдържа, изчиства атрибута, с който е свързано, тъй като доставчикът се разглежда като източник на истината за това, което синхронизира. Това е активирано по подразбиране; изключете го с AM_FEATUREFLAGS_OPENIDATTRIBUTESYNC=false.

SAML 2.0

В Системна конзола › Удостоверяване › SAML 2.0 включете Разреши влизане с SAML 2.0 (SamlSettings.Enable) и попълнете данните, които доставчикът на идентичност ви предоставя: URL адрес за метаданни на доставчика на идентичност или URL адрес на SAML SSO, URL адрес на издателя на доставчика на самоличност и Публичен сертификат на доставчика на самоличност. От страна на доставчика на идентичност:

• URL адрес за влизане на доставчика на услуги (assertion consumer service): https://chat.example.com/login/sso/saml;
• Метаданни на Antimatter, за доставчици, които ги импортират: https://chat.example.com/api/v4/saml/metadata.

Съответствайте атрибутите, които доставчикът изпраща: поне Атрибут на ел.поща и Атрибут на потребителско име, а по желание и атрибутите за ID, име, фамилия, прякор, длъжност, език, гост и администратор. Потвърждава подписа и Включи шифроване са активни по подразбиране (шифроването изисква ключ и сертификат на доставчика на услуги; поддържат се само RSA ключове); Заявка за подпис е изключено. Алгоритъмът за подпис по подразбиране е RSAwithSHA256.

AD/LDAP

В Системна конзола › Удостоверяване › AD/LDAP има стъпка по стъпка страница, която свързва Antimatter с Active Directory или друг LDAP сървър: сървър и порт (LdapSettings.LdapServer, LdapSettings.LdapPort, по подразбиране 389), сигурност на връзката (няма, TLS или STARTTLS), базов DN и акаунт за свързване (BaseDN, BindUsername, BindPassword), филтри за потребители, гости, администратори и групи, както и атрибутите за ел. поща, потребителско име, ID, имена и снимка. Потребителите после влизат с потребителските си данни от каталога.

Синхронизационна задача се изпълнява на всеки 60 минути (LdapSettings.SyncIntervalMinutes), за да актуализира имената и да деактивира хората, премахнати от каталога; може да се изпълни веднага с amctl ldap sync. LDAP групите могат да се свържат с общности и канали в Системна конзола › Управление на потребители › Групи. SAML акаунтите също могат да се синхронизират с AD/LDAP (Разреши синхронизиране на SAML профили с AD/LDAP).

Персонализираните атрибути на профила, свързани с AD/LDAP или SAML атрибут, в Системна конзола › Системни атрибути, се синхронизират по същия начин и от двата източника: стойността на текстов атрибут се копира така, както я изпраща директорията или твърдението (assertion), до 64 знака (по-дълга стойност изчиства атрибута, вместо да бъде съкратена); стойността на атрибут с избор или множествен избор се съпоставя с съществуваща опция независимо от регистъра, запазвайки собственото правопис на тази опция, а нова опция се създава, когато няма съвпадение. Опциите, които никой не притежава повече, се премахват, а списъкът с опции на синхронизиран атрибут може да бъде променян само от синхронизацията, която го притежава, а не ръчно в Системната конзола.

Преместване на съществуващи акаунти

За да превключите съществуващи акаунти с електронна поща към единично влизане, amctl user migrate-auth email saml users.json (или ldap) ги премества на пакет. Потребител може също да промени собствената си метода за влизане в настройките за сигурност, когато Разреши трансфер на удостоверяване (ServiceSettings.ExperimentalEnableAuthenticationTransfer, в Системна конзола › Експериментално › Функции) е активирано.

Акаунти за гости

Гостите са хора от извън вашата организация, които виждат само каналите, към които са поканени. Активирайте ги в Системна конзола › Удостоверяване › Достъп за гости:

След активиране, администраторите на общността поканват гости в конкретни канали. Администраторите могат да превърнат член в гост с amctl user demote, а гост в член с amctl user promote.

Сесии

Времето, за което хората остават влезли, се задава в Системна конзола › Обкръжение › Дължина на сесии:

За да излезете всички едновременно, използвайте Отмени всички сесии в Системна конзола › Управление на потребители › Потребители. За да изведете един човек, отворете страницата му там.