Σύνδεση και λογαριασμοί

Καθορίστε ποιος μπορεί να δημιουργήσει λογαριασμό και πώς συνδέονται οι χρήστες. Κάθε μέθοδος σύνδεσης του Antimatter λειτουργεί χωρίς άδεια χρήσης, συμπεριλαμβανομένων της ενιαίας σύνδεσης και των καταλόγων.

Ποιος μπορεί να δημιουργήσει λογαριασμό

Αμέσως μετά την εγκατάσταση, ελέγξτε το Κονσόλα συστήματος › Πιστοποίηση › Εγγραφή. Με τις προεπιλογές, ο καθένας που διαθέτει ένα σύνδεσμο πρόσκλησης σε μια κοινότητα μπορεί να δημιουργήσει λογαριασμό, αλλά κανείς δεν μπορεί να εγγραφεί χωρίς έναν.

Οι διαχειριστές κοινότητας ελέγχουν επίσης ποιος συμμετέχει στην κοινότητά τους, με συνδέσμους πρόσκλησης και τους δικούς τους επιτρεπτούς τομείς: δείτε τον οδηγό Διαχείριση κοινότητας.

Από τη γραμμή εντολών: amctl user create (προσθέστε --system-admin ή --guest), amctl user invite, amctl user deactivate, amctl roles system-admin <user> για να κάνετε κάποιον διαχειριστή συστήματος, και amctl roles member <user> για να το αναιρέσετε.

Ηλεκτρονικό ταχυδρομείο και κωδικός πρόσβασης

Στη Κονσόλα συστήματος › Πιστοποίηση › Διεύθυνση ηλεκτρονικού ταχυδρομείου:

Στο Κονσόλα συστήματος › Πιστοποίηση › Κωδικός πρόσβασης:

Μήκος 12 ή περισσότερων χαρακτήρων προσφέρει μεγαλύτερη ασφάλεια από τους κανόνες για τους τύπους χαρακτήρων. Για να επαναφέρετε τον κωδικό κάποιου: Κονσόλα συστήματος › Διαχείριση χρηστών › Χρήστες, ή amctl user change-password <user> --password <new>.

Πολλαπλής παράγοντα πειστοποίηση

Ο πολυπαραγοντικός έλεγχος ταυτότητας (MFA) προσθέτει έναν κωδικό από μια εφαρμογή ελέγχου ταυτότητας στον κωδικό πρόσβασης. Ισχύει για λογαριασμούς που συνδέονται με email ή AD/LDAP. Στην περίπτωση μονής σύνδεσης (SSO), χρησιμοποιήστε το MFA του παρόχου ταυτότητας. Στη Κονσόλα συστήματος › Πιστοποίηση › MFA:

• Ενεργοποίηση πολυπαραγοντικού ελέγχου ταυτότητας (ServiceSettings.EnableMultifactorAuthentication, απενεργοποιημένο): οι χρήστες μπορούν να ενεργοποιήσουν το MFA στις ρυθμίσεις ασφαλείας τους.
• Επιβολή πολυπαραγοντικής πειστηρίας (ServiceSettings.EnforceMultifactorAuthentication, απενεργοποιημένο): όλοι οι χρήστες πρέπει να το ρυθμίσουν, είτε κατά την εγγραφή είτε κατά την επόμενη σύνδεση.

Αν κάποιος χάσει τη συσκευή του: amctl user resetmfa <user>, ή επαναφέρετε την από τη σελίδα του στο Κονσόλα συστήματος › Διαχείριση χρηστών › Χρήστες.

Μονή είσοδος

Το Antimatter μπορεί να συνδέει χρήστες μέσω του πάροχου ταυτότητάς σας. Κατά την πρώτη είσοδο, δημιουργεί τον λογαριασμό τους (αν επιτρέπεται η δημιουργία λογαριασμών) από το όνομα, το email και το όνομα χρήστη που στέλνει ο πάροχος.

OpenID Connect, GitLab, Google και Entra ID

Μεταβείτε στη Κονσόλα συστήματος › Πιστοποίηση › OpenID Connect και επιλέξτε κάτω από Επιλέξτε πάροχο υπηρεσιών: GitLab, Google Apps, Entra ID (Office 365) ή OpenID Connect (Άλλο) για οποιονδήποτε άλλο πάροχο (Keycloak, Authentik, Zitadel, Okta, Auth0…).

1. Στον πάροχό σας, δημιουργήστε μια εφαρμογή ( έναν «πελάτη») τύπου web, με αυτό το URI ανακατεύθυνσης, για τη διεύθυνση URL του δικτυακού σας τόπου:

   Πάροχος	URI ανακατεύθυνσης
   OpenID Connect (Άλλο)	https://chat.example.com/signup/openid/complete
   GitLab	https://chat.example.com/signup/gitlab/complete
   Google	https://chat.example.com/signup/google/complete
   Entra ID	https://chat.example.com/signup/office365/complete

2. Στο Antimatter, συμπληρώστε το Τελικό σημείο ανακάλυψης (το URL /.well-known/openid-configuration του παρόχου· για GitLab, το URL τοποθεσίας GitLab αντίθετα), το Client ID και το Client Secret. Για τους υπόλοιπους παρόχους, συμπληρώστε επίσης το Όνομα κουμπιού και το Χρώμα κουμπιού του κουμπιού σύνδεσης.
3. Η επιλογή Χρήση προτιμώμενου ονόματος χρήστη (GitLab και άλλοι πάροχοι) λαμβάνει το όνομα χρήστη του Antimatter από το claim preferred_username του παρόχου.
4. Αποθηκεύστε, αποσυνδεθείτε και δοκιμάστε το νέο κουμπί στη σελίδα είσοδος.

Οι ρυθμίσεις αποθηκεύονται στις OpenIdSettings, GitLabSettings, GoogleSettings ή Office365Settings (για παράδειγμα AM_OPENIDSETTINGS_ENABLE, AM_OPENIDSETTINGS_DISCOVERYENDPOINT, AM_OPENIDSETTINGS_ID, AM_OPENIDSETTINGS_SECRET). Η επιλογή Επιπλέον πεδία (Additional Scopes) (AM_OPENIDSETTINGS_ADDITIONALSCOPES) ζητά από τον πάροχο περισσότερα πεδία OAuth, χωρισμένα με κενό, εκτός από τα προεπιλεγμένα. Η παλαιότερη σελίδα OAuth 2.0 εμφανίζεται μόνο για διακομιστές που έχουν ακόμα ρύθμιση OAuth 2.0 για GitLab, Google ή Entra ID.

Για απλό OpenID Connect (όχι GitLab, Google ή Entra ID), η σύνδεση συγχρονίζει επίσης τα χαρακτηριστικά χρήστη που έχετε συνδέσει με ένα claim: Το Antimatter διαβάζει το ID token και την απάντηση userinfo (η userinfo υπερισχύει όταν και οι δύο περιέχουν ένα claim), δοκιμάζει πρώτα το όνομα του claim ως μοναδικό κλειδί κορυφαίου επιπέδου και στη συνέχεια ως ένθετο με διαχωριστικό τελεία (για παράδειγμα address.country) αν δεν υπάρχει ταίριασμα. Ένα claim που δεν περιλαμβάνεται στην απάντηση διαγράφει το χαρακτηριστικό με το οποίο είναι συνδεδεμένο, καθώς ο πάροχος θεωρείται η αξιόπιστη πηγή για όσα συγχρονίζει. Αυτή η λειτουργία είναι ενεργή από προεπιλογή· απενεργοποιήστε τη με AM_FEATUREFLAGS_OPENIDATTRIBUTESYNC=false.

SAML 2.0

Στη Κονσόλα συστήματος › Πιστοποίηση › SAML 2.0, ενεργοποιήστε το Ενεργοποίηση Είσοδος με SAML 2.0 (SamlSettings.Enable) και συμπληρώστε τα στοιχεία που σας παρέχει ο πάροχος ταυτότητας: το Διεύθυνση URL μεταδεδομένων Παρόχου Ταυτότητας, ή το Διεύθυνση URL SSO SAML, το Διεύθυνση URL εκδότη Παρόχου Ταυτότητας και το Δημόσιο πιστοποιητικό Παρόχου Ταυτότητας. Από την πλευρά του παρόχου ταυτότητας:

• Διεύθυνση URL σύνδεσης παρόχου υπηρεσιών (υπηρεσία καταναλωτή δηλώσεων): https://chat.example.com/login/sso/saml;
• Τα μεταδεδομένα του Antimatter, για παρόχους που τα εισάγουν: https://chat.example.com/api/v4/saml/metadata.

Αντιστοιχίστε τα χαρακτηριστικά που στέλνει ο πάροχός σας: τουλάχιστον την Ιδιότητα Email και το Χαρακτηριστικό ονόματος χρήστη, και προαιρετικά τα χαρακτηριστικά ID, ονόματος, επωνυμίας, ψευδωνύμου, θέσης, γλώσσας, επισκέπτη και διαχειριστή. Η Επαλήθευση υπογραφής και η Ενεργοποίηση Κρυπτογράφησης είναι ενεργοποιημένες από προεπιλογή (η κρυπτογράφηση απαιτεί κλειδί και πιστοποιητικό από τον πάροχο υπηρεσιών· υποστηρίζονται μόνο κλειδιά RSA). Η Υπογραφή αιτήματος είναι απενεργοποιημένη. Ο αλγόριθμος υπογραφής είναι από προεπιλογή RSAwithSHA256.

AD/LDAP

Στο Κονσόλα συστήματος › Πιστοποίηση › AD/LDAP, μια σελίδα με οδηγίες βήμα προς βήμα συνδέει το Antimatter με Active Directory ή έναν άλλο διακομιστή LDAP: ο διακομιστής και η θύρα (LdapSettings.LdapServer, LdapSettings.LdapPort, 389 από προεπιλογή), η ασφάλεια της σύνδεσης (καμία, TLS ή STARTTLS), η βασική DN και ένας λογαριασμός σύνδεσης (BaseDN, BindUsername, BindPassword), φίλτρα για χρήστες, επισκέπτες, διαχειριστές και ομάδες, και τα χαρακτηριστικά για ηλεκτρονικό ταχυδρομείο, όνομα χρήστη, ID, ονόματα και εικόνα. Οι χρήστες στη συνέχεια συνδέονται με το όνομα σύνδεσης του καταλόγου τους.

Μια εργασία συγχρονισμού εκτελείται κάθε 60 λεπτά (LdapSettings.SyncIntervalMinutes) για την ενημέρωση των ονομάτων και την απενεργοποίηση των χρηστών που έχουν αφαιρεθεί από τον κατάλογο· εκτελέστε την τώρα με amctl ldap sync. Οι ομάδες LDAP μπορούν να συνδεθούν με κοινότητες και κανάλια στο Κονσόλα συστήματος › Διαχείριση χρηστών › Ομάδες. Οι λογαριασμοί SAML μπορούν επίσης να διατηρούνται σε συγχρονισμό με AD/LDAP (Ενεργοποίηση συγχρονισμού λογαριασμών SAML με AD/LDAP).

Τα προσαρμοσμένα χαρακτηριστικά προφίλ που αντιστοιχίζονται σε ένα attribute AD/LDAP ή SAML, στην Κονσόλα συστήματος › Χαρακτηριστικά Συστήματος, συγχρονίζονται με τον ίδιο τρόπο και από τα δύο: Η τιμή ενός χαρακτηριστικού κειμένου αντιγράφεται όπως τη στέλνει ο κατάλογος ή η δήλωση (assertion), έως 64 χαρακτήρες (μια μεγαλύτερη τιμή διαγράφει το χαρακτηριστικό αντί να κοπεί). Η τιμή ενός χαρακτηριστικού επιλογής ή πολλαπλής επιλογής ταυτίζεται με μια υπάρχουσα επιλογή ανεξαρτήτως πεζών/κεφαλαίων, διατηρώντας την ορθογραφία της επιλογής, και δημιουργείται μια νέα επιλογή όταν δεν υπάρχει ταίριασμα. Οι επιλογές που δεν κατέχει κανείς διαγράφονται, και η λίστα επιλογών ενός συγχρονισμένου χαρακτηριστικού μπορεί να αλλάξει μόνο από τον συγχρονισμό που την κατέχει, όχι χειροκίνητα στην Κονσόλα συστήματος.

Μεταφορά υπαρχουσών λογαριασμών

Για να μετατρέψετε υπάρχοντα λογαριασμούς email σε μονό σημείο σύνδεσης, η εντολή amctl user migrate-auth email saml users.json (ή ldap) τα μεταφέρει ομαδικά. Ένας χρήστης μπορεί επίσης να αλλάξει τον δικό του τρόπο σύνδεσης στις ρυθμίσεις ασφαλείας του, όταν η επιλογή Επιτρεπόμενη αλλαγή μεθόδου ελέγχου ταυτότητας (ServiceSettings.ExperimentalEnableAuthenticationTransfer, στην Κονσόλα συστήματος › Πειραματικό › Χαρακτηριστικά) είναι ενεργοποιημένη.

Λογαριασμοί επισκεπτών

Επισκέπτες είναι άτομα εκτός της οργάνωσής σας που βλέπουν μόνο τα κανάλια στα οποία έχουν προσκληθεί. Ενεργοποιήστε τους στην Κονσόλα συστήματος › Πιστοποίηση › Πρόσβαση επισκέπτη:

Μόλις ενεργοποιηθεί, οι διαχειριστές της κοινότητας προσκαλούν επισκέπτες σε συγκεκριμένα κανάλια. Οι διαχειριστές μπορούν να μετατρέψουν ένα μέλος σε επισκέπτη με την εντολή amctl user demote και έναν επισκέπτη σε μέλος με την εντολή amctl user promote.

Συνεδρίες

Η διάρκεια που παραμένουν συνδεδεμένοι οι χρήστες ρυθμίζεται στην Κονσόλα συστήματος › Περιβάλλον › Διάρκεια Σημείου Σύνδεσης:

Για να αποσυνδέσετε όλους τους χρήστες ταυτόχρονα, χρησιμοποιήστε την επιλογή Ανακάλωση όλων των συνεδριών στην Κονσόλα συστήματος › Διαχείριση Χρηστών › Χρήστες. Για να αποσυνδέσετε έναν μόνο χρήστη, ανοίξτε τη σελίδα του εκεί.