Přihlášení a účty

Rozhodněte, kdo může vytvořit účet a jak se lidé přihlašují. Každá metoda přihlášení v Antimatter funguje bez licence, včetně jednotného přihlašování (SSO) a adresářů.

Kdo může vytvořit účet

Přímo po instalaci zkontrolujte Systémová konzole › Autentizace › Registrace. S výchozími nastaveními může účet vytvořit kdokoli s pozvánkovým odkazem do komunity, ale nikdo se nemůže zaregistrovat bez něj.

Administrátoři komunity také řídí, kdo se do jejich komunity připojí, pomocí pozvánkových odkazů a vlastních povolených domén: viz průvodce Provoz komunity.

Z příkazového řádku: amctl user create (přidejte --system-admin nebo --guest), amctl user invite, amctl user deactivate, amctl roles system-admin <user> pro udělení role systémového administrátora a amctl roles member <user> pro její zrušení.

E-mail a heslo

V Systémová konzole › Autentizace › E-mail:

V Systémová konzole › Autentizace › Heslo:

Délka 12 znaků nebo více přispívá k bezpečnosti více než pravidla pro znaky. Heslo pro někoho obnovíte v Systémová konzole › Správa uživatelů › Uživatelé nebo příkazem amctl user change-password <user> --password <new>.

Multifaktorová autentizace

Multifaktorová autentizace (MFA) přidává k heslu kód z aplikace pro ověřování. Platí pro účty, které se přihlašují e-mailem nebo AD/LDAP; při jednotném přihlašování (SSO) použijte MFA vašeho poskytovatele identit. V Systémová konzole › Autentizace › MFA:

• Povolit vícefaktorové ověření (ServiceSettings.EnableMultifactorAuthentication, vypnuto): lidé si mohou MFA zapnout v nastavení zabezpečení.
• Vynutit autentizaci s více faktory (ServiceSettings.EnforceMultifactorAuthentication, vypnuto): každý musí nastavit, při registraci nebo při dalším přihlášení.

Pokud někdo ztratí své zařízení: amctl user resetmfa <user>, nebo obnovte z jeho stránky v Systémová konzole › Správa uživatelů › Uživatelé.

Jednotné přihlašování

Antimatter může přihlašovat lidi přes vašeho poskytovatele identit. Při prvním přihlášení vytvoří jejich účet (pokud je povoleno vytváření účtů) z jména, e-mailu a uživatelského jména, které poskytovatel pošle.

OpenID Connect, GitLab, Google a Entra ID

Přejděte do Systémová konzole › Autentizace › OpenID Connect a pod Vyberte poskytovatele služby zvolte: GitLab, Google Apps, Entra ID (Office 365) nebo OpenID Connect (jiné) pro jakýkoli jiný poskytovatel (Keycloak, Authentik, Zitadel, Okta, Auth0…).

1. Ve vašem poskytovateli vytvořte aplikaci ("client") typu web s touto URI pro přesměrování pro URL vašeho webu:

   Poskytovatel	URI pro přesměrování
   OpenID Connect (Other)	https://chat.example.com/signup/openid/complete
   GitLab	https://chat.example.com/signup/gitlab/complete
   Google	https://chat.example.com/signup/google/complete
   Entra ID	https://chat.example.com/signup/office365/complete

2. V Antimatter vyplňte Discovery Endpoint (URL /.well-known/openid-configuration poskytovatele; pro GitLab místo toho URL GitLabu), Client ID a Client Secret. Pro ostatní poskytovatele také Název tlačítka a Barva tlačítka tlačítka pro přihlášení.
3. Použít Preferred Username (GitLab a další poskytovatelé) bere uživatelské jméno v Antimatter z claimu preferred_username poskytovatele.
4. Uložte, odhlaste se a vyzkoušejte nové tlačítko na stránce pro přihlášení.

Nastavení jsou uložena v OpenIdSettings, GitLabSettings, GoogleSettings nebo Office365Settings (například AM_OPENIDSETTINGS_ENABLE, AM_OPENIDSETTINGS_DISCOVERYENDPOINT, AM_OPENIDSETTINGS_ID, AM_OPENIDSETTINGS_SECRET). Další obory (AM_OPENIDSETTINGS_ADDITIONALSCOPES) požadují od poskytovatele další obory OAuth, oddělené mezerami, navíc k těm výchozím. Starší stránka OAuth 2.0 se zobrazí pouze u serverů, které stále mají konfiguraci OAuth 2.0 pro GitLab, Google nebo Entra ID.

Pro čistý OpenID Connect (ne GitLab, Google ani Entra ID) se při přihlášení synchronizují také atributy uživatele, které jste propojili s údajem (claim): Antimatter načte ID token a odpověď userinfo (pokud údaj obsahuje obě, má přednost userinfo), nejprve zkouší název údaje jako jediný klíč nejvyšší úrovně, a pokud nic neodpovídá, pak jako vnořenou cestu oddělenou tečkami (například address.country). Údaj, který odpověď neobsahuje, vymaže atribut, se kterým je propojen, protože poskytovatel je považován za zdroj pravdy pro to, co synchronizuje. Toto je ve výchozím nastavení zapnuto; vypnete ho pomocí AM_FEATUREFLAGS_OPENIDATTRIBUTESYNC=false.

SAML 2.0

V Systémová konzole › Autentizace › SAML 2.0 zapněte Povolit přihlášení pomocí SAML 2.0 (SamlSettings.Enable) a vyplňte to, co vám poskytne poskytovatel identit: Adresář URL metadat poskytovatele identit, nebo URL SAML SSO, URL vydavatele poskytovatele identit a Veřejný certifikát poskytovatele identit. Na straně poskytovatele identit:

• URL pro přihlášení služebního poskytovatele (assertion consumer service): https://chat.example.com/login/sso/saml;
• Metadata Antimatter pro poskytovatele, kteří je importují: https://chat.example.com/api/v4/saml/metadata.

Namapujte atributy, které váš poskytovatel odesílá: alespoň E-mailový atribut a Atribut uživatelského jména, a volitelně ID, křestní a příjmení, přezdívku, pozici, jazyk, atributy hosta a administrátora. Ověřit podpis a Povolit šifrování jsou zapnuté ve výchozím nastavení (šifrování vyžaduje klíč a certifikát poskytovatele služby; podporovány jsou pouze RSA klíče); Podepsat požadavek je vypnuté. Algoritmus podpisu je ve výchozím nastavení RSAwithSHA256.

AD/LDAP

V Systémová konzole › Autentizace › AD/LDAP vás postupná stránka provede propojením Antimatter s Active Directory nebo jiným LDAP serverem: server a port (LdapSettings.LdapServer, LdapSettings.LdapPort, výchozí 389), zabezpečení připojení (žádné, TLS nebo STARTTLS), základní DN a účet pro připojení (BaseDN, BindUsername, BindPassword), filtry pro uživatele, hosty, administrátory a skupiny, a atributy pro e-mail, uživatelské jméno, ID, jména a obrázek. Lidé se pak přihlásí pomocí svých přihlašovacích údajů z adresáře.

Synchronizační úkol běží každých 60 minut (LdapSettings.SyncIntervalMinutes) a aktualizuje jména a deaktivuje lidi odebrané z adresáře; spusťte ho nyní pomocí amctl ldap sync. Skupiny LDAP lze propojit s komunitami a kanály v Systémová konzole › Správa uživatelů › Skupiny. Účty SAML lze také držet v synchronizaci s AD/LDAP (Povolit synchronizaci SAML účtů s AD/LDAP).

Vlastní atributy profilu namapované na atribut AD/LDAP nebo SAML se v Systémová konzole › Systémové atributy synchronizují stejným způsobem z obou zdrojů: hodnota textového atributu je zkopírována přesně tak, jak ji odešle adresář nebo tvrzení (assertion), a to až do délky 64 znaků (delší hodnota atribut vymaže, místo aby byla zkrácena); hodnota atributu typu výběr nebo vícevýběr je porovnána s existující možností bez ohledu na velikost písmen, přičemž se zachová původní zápis dané možnosti, a pokud žádná neodpovídá, vytvoří se nová možnost. Možnosti, které nikdo nevlastní, jsou odstraněny a seznam možností synchronizovaného atributu může měnit pouze synchronizace, která ho vlastní, nikoli ručně v Systémové konzoli.

Přesun existujících účtů

K přepnutí existujících e-mailových účtů na jednotné přihlašování použijte amctl user migrate-auth email saml users.json (nebo ldap), což je provede hromadně. Uživatel si může také změnit vlastní metodu přihlášení v nastavení zabezpečení, pokud je zapnuté Povolit přenos ověření (ServiceSettings.ExperimentalEnableAuthenticationTransfer v Systémová konzole › Experimentální › Funkce).

Účty hostů

Hosté jsou lidé zvenčí vaší organizace, kteří vidí pouze kanály, do kterých byli pozváni. Zapněte je v Systémová konzole › Autentizace › Přístup hostů:

Po zapnutí funkce pozvou správci komunity hosty do konkrétních kanálů. Administrátoři mohou z člena udělat hosta pomocí amctl user demote a z hosta člena pomocí amctl user promote.

Relace

Délka, po kterou zůstávají lidé přihlášeni, se nastavuje v Systémová konzole › Prostředí › Délka relace:

K odhlášení všech najednou použijte Zrušit všechny relace v Systémová konzole › Správa uživatelů › Uživatelé. K odhlášení jedné osoby otevřete její stránku tam.