Kirjautuminen ja tilikontot

Päätä, kuka voi luoda tilin ja miten ihmiset kirjautuvat. Antimatterin kaikki kirjautumistavat toimivat lisenssitta, myös yksittäiskirjautuminen ja hakemistot.

Kuka voi luoda tilin

Tarkista asennuksen jälkeen Järjestelmäkonsoli › Tunnistautuminen › Rekisteröityminen. Oletusasetuksilla kenen tahansa, jolla on yhteisön kutsulinkki, on mahdollisuus luoda tili, mutta ilman linkkiä rekisteröityminen ei ole mahdollista.

Yhteisön ylläpitäjät hallitsevat myös, kuka liittyy heidän yhteisöönsä, kutsulinkkien ja sallittujen domeenien avulla: katso Yhteisön ylläpito -opas.

Komentoriviltä: amctl user create (lisää --system-admin tai --guest), amctl user invite, amctl user deactivate, amctl roles system-admin <user> tekee jonkun järjestelmän ylläpitäjäksi ja amctl roles member <user> kumoo sen.

Sähköposti ja salasana

Järjestelmäkonsoli › Tunnistautuminen › Sähköpostiosoite:

Järjestelmäkonsoli › Tunnistautuminen › Salasana:

Pituus vähintään 12 merkkiä parantaa turvallisuutta enemmän kuin merkkisäännöt. Jotakun salasanan nollaus: Järjestelmäkonsoli › Käyttäjien hallinta › Käyttäjät tai amctl user change-password <user> --password <new>.

Monitekijätodennus

Monitason tunnistautuminen (MFA) lisää salasanaan koodin tunnistusohjelmasta. Se koskee tilejä, jotka kirjautuvat sähköpostilla tai AD/LDAP:lla; yksittäisen kirjautumisen (SSO) tapauksessa käytä tunnistautumispalveluntarjoajan MFA:ta. Järjestelmäkonsoli › Tunnistautuminen › MFA:

• Ota monitason tunnistautuminen käyttöön (ServiceSettings.EnableMultifactorAuthentication, pois käytöstä): käyttäjät voivat ottaa MFA:n käyttöön omista tietoturva-asetuksistaan.
• Pakota monitekijätodennus (ServiceSettings.EnforceMultifactorAuthentication, pois): kaikkien on käytettävä sitä, rekisteröityessä tai seuraavalla kirjautumisella.

Jos joku menettää laitteen: amctl user resetmfa <user> tai nollaa se Järjestelmäkonsoli › Käyttäjien hallinta › Käyttäjät -sivun kautta.

Yhteiskirjautuminen

Antimatter voi kirjauttaa käyttäjät tunnistetietojen toimittajan kautta. Ensimmäisellä kirjautumisella se luo tilauksen (jos tilauksen luominen on sallittu) toimittajan lähettämistä nimestä, sähköpostiosoitteesta ja käyttäjätunnuksesta.

OpenID Connect, GitLab, Google ja Entra ID

Mene Järjestelmäkonsoli › Tunnistautuminen › OpenID Connect -sivuun ja valitse Valitse palveluntarjoaja -kohdasta: GitLab, Google Apps, Entra ID (Office 365) tai OpenID Connect (Muu) muihin palveluntarjoajiin (Keycloak, Authentik, Zitadel, Okta, Auth0…).

1. Luo toimittajassasi web-tyyppinen sovellus ("asiakas") tällä uudelleenohjaus-URI:llä, sivustosi URL:n mukaan:

   Toimittaja	Uudelleenohjaus-URI
   OpenID Connect (Muu)	https://chat.example.com/signup/openid/complete
   GitLab	https://chat.example.com/signup/gitlab/complete
   Google	https://chat.example.com/signup/google/complete
   Entra ID	https://chat.example.com/signup/office365/complete

2. Antimatterissa täytä Havaitsemispääte (palveluntarjoajan /.well-known/openid-configuration URL; GitLabin tapauksessa GitLab-sivuston URL), Client ID ja Client Secret. Muihin palveluntarjoajiin myös kirjautumisnapin Nappinimi ja Napin väri.
3. Käytä suositeltua käyttäjätunnusta (GitLab ja muut palveluntarjoajat) ottaa Antimatterin käyttäjätunnuksen palveluntarjoajan preferred_username -väitteestä.
4. Tallenna, kirjaudu ulos ja kokeile uutta napkia kirjautumissivulla.

Asetukset tallennetaan muuttujiin OpenIdSettings, GitLabSettings, GoogleSettings tai Office365Settings (esimerkiksi AM_OPENIDSETTINGS_ENABLE, AM_OPENIDSETTINGS_DISCOVERYENDPOINT, AM_OPENIDSETTINGS_ID, AM_OPENIDSETTINGS_SECRET). Lisäalueet (AM_OPENIDSETTINGS_ADDITIONALSCOPES) pyytää palveluntarjoajalta ylimääräisiä OAuth-alueita, välilyönnein eroteltuna, oletusarvojen lisäksi. Vanha OAuth 2.0 -sivu näkyy vain palvelimilla, joilla on yhä OAuth 2.0 -määritykset GitLabille, Googlelle tai Entra ID:lle.

Pelkässä OpenID Connectissa (ei GitLab, Google tai Entra ID) kirjautuminen synkronoi myös käyttäjäattribuutit, jotka on linkitetty väitteeseen: Antimatter lukee ID-tokenin ja userinfo-vastauksen (userinfo voittaa, jos molemmat sisältävät väitteen), kokeilee ensin väitteen nimeä yksittäisenä ylimmän tason avaimena ja sitten pisteillä erotettuna sisäkkäisenä rakenteena (esimerkiksi address.country), jos mitään ei osunut kohdalleen. Väite, jota vastaus ei sisällä, tyhjentää siihen linkitetyn attribuutin, koska palveluntarjoajaa pidetään lähteenä sille, mitä se synkronoi. Ominaisuus on oletuksena päällä; poista se käytöstä asetuksella AM_FEATUREFLAGS_OPENIDATTRIBUTESYNC=false.

SAML 2.0

Ota Järjestelmäkonsoli › Tunnistautuminen › SAML 2.0 -osiossa käyttöön Ota SAML 2.0 -kirjautuminen käyttöön (SamlSettings.Enable) ja syötä tunnisteen antajan antamat tiedot: Tunnisteen antajan metatietojen URL tai SAML SSO -URL, Tunnisteen antajan julkaisijan URL sekä Tunnuksen antajan julkinen varmentus. Tunnisteen antajan puolella:

• Palveluntarjoajan kirjautumis-URL (assertion consumer service): https://chat.example.com/login/sso/saml;
• Antimatterin metatiedot, tarjottaville, jotka tuovat ne: https://chat.example.com/api/v4/saml/metadata.

Määritä tunnisteen antajan lähettämät attribuutit: vähintään Sähköposti-attribuutti ja Käyttäjätunnus-attribuutti sekä valinnaisesti ID-, etu- ja sukunimi, lempinimi, titteli, kieli, vieras- ja ylläpitäjäattribuutit. Tarkista allekirjoitus ja Ota salaaminen käyttöön ovat oletuksena käytössä (salaaminen vaatii palveluntarjoajan avaimen ja varmistuksen; tuetaan vain RSA-avaimia); Allekirjoita pyyntö on pois käytöstä. Oletusallekirjoitusalgoritmi on RSAwithSHA256.

AD/LDAP

Järjestelmäkonsoli › Tunnistautuminen › AD/LDAP -osiossa vaiheittainen sivu yhdistää Antimatterin Active Directoryyn tai toiseen LDAP-palvelimeen: palvelin ja portti (LdapSettings.LdapServer, LdapSettings.LdapPort, oletuksena 389), yhteyden turvallisuus (ei mitään, TLS tai STARTTLS), perus-DN ja sitomistili (BaseDN, BindUsername, BindPassword), suodattimet käyttäjille, vieraalle, ylläpitäjille ja ryhmille, sekä sähköposti-, käyttäjätunnus-, ID-, nimi- ja kuvaattribuutit. Käyttäjät kirjautuvat sitten hakemistotunnuksillaan.

Synkronointitehtävä ajetaan 60 minuutin välein (LdapSettings.SyncIntervalMinutes) nimien päivitykseen ja hakemistosta poistettujen käyttäjien poistamiseksi; aja se nyt komennolla amctl ldap sync. LDAP-ryhmät voidaan linkittää yhteisöihin ja kanaviin Järjestelmäkonsoli › Käyttäjien hallinta › Ryhmät -osiossa. SAML-tiliä voidaan myös synkronoida AD/LDAP:ta vastaan (Ota SAML-tilien synkronointi AD/LDAP:ta vastaan käyttöön).

Mukautetut profiiliattribuutit, jotka on kohdistettu AD/LDAP- tai SAML-attribuuttiin kohdassa Järjestelmäkonsoli › Järjestelmän ominaisuudet, synkronoituvat samalla tavalla molemmista: tekstiattribuutin arvo kopioidaan sellaisena kuin hakemisto tai vahvistus sen lähettää, enintään 64 merkin pituiseksi (pitempi arvo tyhjentää attribuutin sen sijaan, että se katkaistaisiin); valinta- tai monivalinta-attribuutin arvoa verrataan olemassa olevaan vaihtoehtoon riippumatta kirjainkoosta, ja kyseisen vaihtoehdon oma kirjoitusasu säilytetään, ja uusi vaihtoehto luodaan, jos yksikään ei täsmää. Vaihtoehdot, joita kukaan enää omista, poistetaan, ja synkronoidun attribuutin vaihtoehtolistaan voi tehdä muutoksia vain sitä synkronoiva prosessi, ei käsin Järjestelmäkonsolissa.

Olemassa olevien tilien siirtäminen

Voit siirtää olemassa olevat sähköpostitilit yksittäiseen kirjautumiseen komennolla amctl user migrate-auth email saml users.json (tai ldap). Käyttäjä voi myös vaihtaa omaa kirjautumistapaaan omien tietoturva-asetustensa kautta, jos Salli kirjautumistavan vaihto (ServiceSettings.ExperimentalEnableAuthenticationTransfer, kohdassa Järjestelmäkonsoli › Kokeelliset › Ominaisuudet) on käytössä.

Vierastilit

Vieraat ovat henkilöitä organisaation ulkopuolelta, jotka näkevät vain ne kanavat, joihin heidät on kutsuttu. Ota ne käyttöön Järjestelmäkonsoli › Tunnistautuminen › Vierasten pääsy -osiossa:

Kun vierastili on otettu käyttöön, yhteisön ylläpitäjät kutsuvat vieraita tiettyihin kanaviin. Ylläpitäjä voi laskea jäsenen vieraaksi komennolla amctl user demote ja vieraan jäseneksi komennolla amctl user promote.

Istunnot

Aikaa, jonka ajan käyttäjät pysyvät kirjautuneena, määritetään kohdassa Järjestelmäkonsoli › Ympäristö › Istuntojen kesto:

Voit kirjauttaa kaikki käyttäjät ulos kerralla valitsemalla Peruuta kaikki istunnot kohdasta Järjestelmäkonsoli › Käyttäjien hallinta › Käyttäjät. Kirjauttaa yhden henkilön ulos, avaa hänen sivunsa sieltä.