Inici de sessió i comptes

Decideix qui pot crear un compte i com es fan les sessions. Tots els mètodes d'inici de sessió d'Antimatter funcionen sense llicència, inclosos l'inici de sessió únic i els directoris.

Qui pot crear un compte

Just després d'instal·lar, revisa Consola del sistema › Autenticació › Registre. Amb els valors per defecte, qualsevol persona amb un enllaç d'invitació a una comunitat pot crear un compte, però ningú no pot registrar-se sense un.

Els administradors de la comunitat també controlen qui s'uneix a la seva comunitat, amb enllaços d'invitació i els seus dominis permesos: consulta la guia Gestió d'una comunitat.

Des de la línia d'ordres: amctl user create (afegeix --system-admin o --guest), amctl user invite, amctl user deactivate, amctl roles system-admin <user> per fer algú administrador del sistema, i amctl roles member <user> per desfer-ho.

Correu i contrasenya

A la Consola del sistema › Autenticació › Correu electrònic:

A Consola del sistema › Autenticació › Contrasenya:

Una longitud de 12 caràcters o més aporta més seguretat que les regles de caràcters. Per restablir la contrasenya d'algú: Consola del sistema › Gestió d'usuaris › Usuaris, o bé amctl user change-password <user> --password <new>.

Autenticació multifactor

L'autenticació multifactor (MFA) afegeix un codi d'una aplicació d'autenticació a la contrasenya. S'aplica als comptes que inicien sessió amb correu electrònic o AD/LDAP; amb l'inici de sessió únic, utilitzeu la MFA del vostre proveïdor d'identitat. A Consola del sistema › Autenticació › MFA:

• Activa l'autenticació multifactor (ServiceSettings.EnableMultifactorAuthentication, desactivat): les persones poden activar la MFA a la seva configuració de seguretat.
• Imposa l’autenticació multifactor (ServiceSettings.EnforceMultifactorAuthentication, desactivat): tothom ha de configurar-la, en el moment del registre o en el seu proper inici de sessió.

Si algú perd el seu dispositiu: amctl user resetmfa <user>, o bé restabliu-la des de la seva pàgina a Consola del sistema › Gestió d'usuaris › Usuaris.

Inici de sessió únic

Antimatter pot iniciar la sessió de les persones a través del vostre proveïdor d'identitat. En el primer inici de sessió, crea el seu compte (si es permet la creació de comptes) a partir del nom, el correu electrònic i el nom d'usuari que envia el proveïdor.

OpenID Connect, GitLab, Google i Entra ID

Vés a la Consola del sistema › Autenticació › OpenID Connect i, sota Seleccioneu el proveïdor de serveis, trieu: GitLab, Google Apps, Entra ID (Office 365) o OpenID Connect (Altres) per a qualsevol altre proveïdor (Keycloak, Authentik, Zitadel, Okta, Auth0…).

1. Al vostre proveïdor, creeu una aplicació (un «client») de tipus web, amb aquest URI de redirecció, per a l'URL del vostre lloc web:

   Proveïdor	URI de redirecció
   OpenID Connect (Altres)	https://chat.example.com/signup/openid/complete
   GitLab	https://chat.example.com/signup/gitlab/complete
   Google	https://chat.example.com/signup/google/complete
   Entra ID	https://chat.example.com/signup/office365/complete

2. A Antimatter, ompliu el Punt d'accés de descobriment (l'URL /.well-known/openid-configuration del proveïdor; per a GitLab, l'URL del lloc de GitLab en el seu lloc), l'ID del client i el Secret del client. Per a altres proveïdors, també el Nom del botó i el Color del botó del botó d'inici de sessió.
3. Utilitza el nom d'usuari preferit (GitLab i altres proveïdors) pren el nom d'usuari d'Antimatter de la reclamació preferred_username del proveïdor.
4. Desa, tanca la sessió i prova el nou botó a la pàgina d'inici de sessió.

La configuració s'emmagatzema a OpenIdSettings, GitLabSettings, GoogleSettings o Office365Settings (per exemple, AM_OPENIDSETTINGS_ENABLE, AM_OPENIDSETTINGS_DISCOVERYENDPOINT, AM_OPENIDSETTINGS_ID, AM_OPENIDSETTINGS_SECRET). Àmbits addicionals (AM_OPENIDSETTINGS_ADDITIONALSCOPES) demana al proveïdor àmbits OAuth addicionals, separats per espais, a més dels predeterminats. La pàgina antiga d'OAuth 2.0 només apareix per als servidors que encara tenen una configuració d'OAuth 2.0 de GitLab, Google o Entra ID.

Per a OpenID Connect estàndard (no GitLab, Google ni Entra ID), iniciar sessió també sincronitza els atributs d'usuari que hagueu vinculat a una declaració: Antimatter llegeix el token d'identificador i la resposta de userinfo (userinfo té prioritat quan ambdues porten una declaració), primer intenta trobar el nom de la declaració com una clau única de nivell superior i, si no coincideix amb res, ho intenta com a anidament separat per punts (per exemple, address.country). Una declaració que la resposta no inclou esborra l'atribut al qual està vinculada, ja que el proveïdor es considera la font de veritat per al que sincronitza. Això està activat de manera predeterminada; desactiveu-ho amb AM_FEATUREFLAGS_OPENIDATTRIBUTESYNC=false.

SAML 2.0

A la Consola del sistema › Autenticació › SAML 2.0, activeu Activa l’inici de sessió amb SAML 2.0 (SamlSettings.Enable) i ompliu el que us faciliti el proveïdor d'identitat: l'URL de metadades del proveïdor d'identitat, o l'URL SSO SAML, l'URL de l'emissor del proveïdor d'identitat i el Certificat públic del proveïdor d'identitat. Al costat del proveïdor d'identitat:

• Service Provider Login URL (assertion consumer service): https://chat.example.com/login/sso/saml;
• Metadades d'Antimatter, per als proveïdors que les importen: https://chat.example.com/api/v4/saml/metadata.

Assegneu els atributs que envia el vostre proveïdor: com a mínim l'Attribut de correu electrònic i l'Atribut del nom d'usuari, i opcionalment els atributs d'ID, nom, cognom, sobrenom, càrrec, idioma, invitat i administrador. Verificar la signatura i Activa el xifratge estan activats per defecte (el xifratge requereix una clau i un certificat del proveïdor de serveis; només es suporten claus RSA); Signar la sol·licitud està desactivat. L'algorisme de signatura és RSAwithSHA256 per defecte.

AD/LDAP

A Consola del sistema › Autenticació › AD/LDAP, una pàgina pas a pas connecta Antimatter amb Active Directory o un altre servidor LDAP: el servidor i el port (LdapSettings.LdapServer, LdapSettings.LdapPort, 389 per defecte), la seguretat de la connexió (cap, TLS o STARTTLS), el DN base i un compte d'enllaç (BaseDN, BindUsername, BindPassword), filtres per a usuaris, invitats, administradors i grups, i els atributs per a correu electrònic, nom d'usuari, ID, noms i imatge. Les persones iniciaran sessió amb el seu inici de sessió del directori.

S'executa una tasca de sincronització cada 60 minuts (LdapSettings.SyncIntervalMinutes) per actualitzar els noms i desactivar les persones eliminades del directori; executa-la ara amb amctl ldap sync. Els grups de LDAP es poden vincular a comunitats i canals a la Consola del sistema › Gestió d'usuaris › Grups. També es pot mantenir la sincronització de les comptes de SAML amb AD/LDAP (Activa la sincronització de les comptes de SAML amb AD/LDAP).

Els atributs de perfil personalitzats assignats a un atribut d'AD/LDAP o SAML, a Consola del sistema › Atributs del sistema, es sincronitzen de la mateixa manera des d'ambdós: el valor d'un atribut de text es copia tal com l'envia el directori o l'afirmació, fins a 64 caràcters (un valor més llarg esborra l'atribut en lloc de truncar-lo); el valor d'un atribut de selecció o de selecció múltiple es fa coincidir amb una opció existent independentment de les majúscules o minúscules, mantenint l'ortografia d'aquesta opció, i es crea una nova opció quan no n'hi ha cap que coincideixi. Les opcions que ningú té més es purguen, i la llista d'opcions d'un atribut sincronitzat només es pot canviar mitjançant la sincronització que el gestiona, no manualment a la Consola del sistema.

Transfereix els comptes existents

Per canviar els comptes de correu electrònic existents a inici de sessió únic, amctl user migrate-auth email saml users.json (o ldap) els transfereix en bloc. Un usuari també pot canviar el seu propi mètode d'inici de sessió a la configuració de seguretat quan Permet la transferència d'autenticació (ServiceSettings.ExperimentalEnableAuthenticationTransfer, a Consola del sistema › Experimental › Funcions) està activat.

Comptes d'invitat

Els invitats són persones externes a la vostra organització que només veuen els canals als quals els heu convidat. Activeu-los a Consola del sistema › Autenticació › Accés d'invitats:

Un cop activat, els administradors de la comunitat conviden els invitats a canals específics. Els administradors poden convertir un membre en invitat amb amctl user demote, i un invitat en membre amb amctl user promote.

Sessions

El temps que la gent roman iniciada es configura a Consola del sistema › Entorn › Durada de les sessions:

Per tancar la sessió de tothom alhora, utilitzeu Revoca totes les sessions a Consola del sistema › Gestió d'usuaris › Usuaris. Per tancar la sessió d'una sola persona, obriu la seva pàgina allà.