Log masuk dan akaun

Tentukan siapa boleh mencipta akaun dan bagaimana pengguna log masuk. Setiap kaedah log masuk Antimatter berfungsi tanpa lesen, termasuk log masuk tunggal dan direktori.

Segera selepas pemasangan, semak Konsol Sistem › Pengesahan › Pendaftaran. Dengan nilai lalai, sesiapa yang mempunyai pautan jemputan ke komuniti boleh mencipta akaun, tetapi tiada seorang pun boleh mendaftar tanpa pautan tersebut.

Tetapan	Kunci	Lalai	Fungsinya
Aktifkan Penciptaan Akaun	`TeamSettings.EnableUserCreation`	hidup	Tutup, tiada seorang pun boleh mencipta akaun dengan mana-mana kaedah; hanya pentadbir sahaja yang boleh (Konsol Sistem atau `amctl user create`).
Aktifkan Pelayan Terbuka	`TeamSettings.EnableOpenServer`	Tutup	Buka, sesiapa yang mencapai pelayan boleh mendaftar dengan alamat e-mel, tanpa jemputan. Gunakan ini hanya untuk komuniti awam.
Sekat ahli sistem dan pasukan baharu kepada domain e-mel yang dinyatakan	`TeamSettings.RestrictCreationToDomains`	kosong	Domain yang dipisahkan dengan koma, sebagai contoh `example.com, example.org`: hanya alamat dari domain ini sahaja boleh mencipta akaun.
Aktifkan Jemputan E-mel	`ServiceSettings.EnableEmailInvitations`	tutup pada pelayan baharu	Membolehkan ahli menjemput orang melalui e-mel (memerlukan SMTP). Batalkan jemputan e-mel yang tertangguh membatalkan jemputan yang belum diterima; jemputan ini akan tamat tempoh selepas 48 jam pada bila-bila masa.

Pentadbir komuniti juga mengawal siapa yang menyertai komuniti mereka, dengan pautan jemputan dan domain yang dibenarkan: lihat panduan Menjalankan komuniti.

Dari baris arahan: amctl user create (tambah --system-admin atau --guest), amctl user invite, amctl user deactivate, amctl roles system-admin <user> untuk menjadikan seseorang sebagai pentadbir sistem, dan amctl roles member <user> untuk membatalkannya.

E-mel dan kata laluan

Dalam Konsol Sistem › Pengesahan › E-mel:

Tetapan	Kunci	Lalai
Aktifkan penciptaan akaun dengan e-mel	`EmailSettings.EnableSignUpWithEmail`	buka. Tutup ini apabila semua orang log masuk melalui log masuk tunggal.
Wajibkan Pengesahan E-mel	`EmailSettings.RequireEmailVerification`	tutup. Buka ini apabila e-mel berfungsi: pengguna kemudian mengesahkan alamat mereka sebelum mereka boleh log masuk.
Aktifkan log masuk dengan e-mel	`EmailSettings.EnableSignInWithEmail`	hidup
Aktifkan log masuk dengan nama pengguna	`EmailSettings.EnableSignInWithUsername`	hidup

Dalam Konsol Sistem › Pengesahan › Kata Laluan:

Tetapan	Kunci	Lalai
Panjang Minimum Kata Laluan	`PasswordSettings.MinimumLength`	8 (5 hingga 72)
Keperluan Kata Laluan: huruf kecil, huruf besar, nombor, simbol	`PasswordSettings.Lowercase`, `.Uppercase`, `.Number`, `.Symbol`	semua dimatikan
Bilangan Percubaan Log Masuk Maksimum	`ServiceSettings.MaximumLoginAttempts`	10: selepas bilangan kegagalan ini, akaun dikunci sehingga kata lalunya ditetapkan semula melalui e-mel
Aktifkan Pautan Lupa Kata Laluan	`PasswordSettings.EnableForgotLink`	hidup

Panjang 12 aksara atau lebih memberikan keselamatan yang lebih baik daripada peraturan aksara. Untuk menetapkan semula kata laluan seseorang: Konsol Sistem › Pengurusan Pengguna › Pengguna, atau amctl user change-password <user> --password <new>.

Pengesahan dua faktor

Pengesahan dua faktor (MFA) menambah kod daripada aplikasi pengesah kepada kata laluan. Ia terpakai untuk akaun yang log masuk menggunakan e-mel atau AD/LDAP; untuk log masuk tunggal, gunakan MFA daripada pembekal identiti anda. Dalam Konsol Sistem › Pengesahan › MFA:

Aktifkan Pengesahan Dua Faktor (ServiceSettings.EnableMultifactorAuthentication, off): pengguna boleh mengaktifkan MFA dalam tetapan keselamatan mereka.
Kuatkuasakan Pengesahan Dua Faktor (ServiceSettings.EnforceMultifactorAuthentication, off): semua orang mesti mengaturnya, sama ada semasa pendaftaran atau semasa log masuk seterusnya.

Jika seseorang kehilangan peranti mereka: amctl user resetmfa <user>, atau tetapkan semula daripada halaman mereka dalam Konsol Sistem › Pengurusan Pengguna › Pengguna.

Log masuk tunggal

Antimatter boleh membolehkan pengguna log masuk melalui pembekal identiti anda. Pada log masuk pertama, ia akan mencipta akaun mereka (jika penciptaan akaun dibenarkan) daripada nama, e-mel dan nama pengguna yang dihantar oleh pembekal.

OpenID Connect, GitLab, Google dan Entra ID

Pergi ke Konsol Sistem › Pengesahan › OpenID Connect, dan pilih di bawah Pilih pelayan perkhidmatan: GitLab, Google Apps, Entra ID (Office 365) atau OpenID Connect (Lain) untuk pelayan lain (Keycloak, Authentik, Zitadel, Okta, Auth0…).

Dalam pembekal anda, cipta aplikasi ("client") jenis web, dengan URI alih-mula ini, untuk URL laman web anda:

Pembekal	URI Alih-mula
OpenID Connect (Lain)	`https://chat.example.com/signup/openid/complete`
GitLab	`https://chat.example.com/signup/gitlab/complete`
Google	`https://chat.example.com/signup/google/complete`
Entra ID	`https://chat.example.com/signup/office365/complete`

Dalam Antimatter, isi Titik Akhir Penemuan (URL /.well-known/openid-configuration pelayan; untuk GitLab, gunakan URL Laman GitLab sebagai gantinya), ID Client dan Rahsia Client. Untuk pelayan lain, isi juga Nama Butang dan Warna Butang bagi butang log masuk.
Gunakan Nama Pengguna Pilihan (GitLab dan pembekal lain) mengambil nama pengguna Antimatter daripada tuntutan preferred_username pembekal.
Simpan, log keluar, dan cuba butang baharu pada halaman log masuk.

Tetapan disimpan dalam OpenIdSettings, GitLabSettings, GoogleSettings atau Office365Settings (contohnya AM_OPENIDSETTINGS_ENABLE, AM_OPENIDSETTINGS_DISCOVERYENDPOINT, AM_OPENIDSETTINGS_ID, AM_OPENIDSETTINGS_SECRET). Halaman OAuth 2.0 lama hanya muncul untuk pelayan yang masih mempunyai konfigurasi OAuth 2.0 GitLab, Google atau Entra ID.

SAML 2.0

Dalam Konsol Sistem › Pengesahan › SAML 2.0, hidupkan Aktifkan Log Masuk Dengan SAML 2.0 (SamlSettings.Enable) dan isi maklumat yang diberikan oleh penyedia identiti anda: URL Metadata Penyedia Identiti, atau URL SSO SAML, URL Penerbit Penyedia Identiti dan Sijil Awam Penyedia Identiti. Di sisi penyedia identiti:

URL Log Masuk Pembekal Perkhidmatan (perkhidmatan pengguna penyataan): https://chat.example.com/login/sso/saml;
Metadata Antimatter, untuk pembekal yang mengimportnya: https://chat.example.com/api/v4/saml/metadata.

Petakan atribut yang dihantar oleh pelayan anda: sekurang-kurangnya Atribut E-mel dan Atribut Nama Pengguna, dan secara pilihan ID, nama depan dan belakang, nama samaran, jawatan, bahasa, atribut tetamu dan pentadbir. Sahkan Tandatangan dan Aktifkan Pengenkripsian dihidupkan secara lalai (pengenkripsian memerlukan kunci dan sijil pelayan perkhidmatan; hanya kunci RSA disokong); Tandatangani Permintaan dimatikan. Algoritma tandatangan secara lalai ialah RSAwithSHA256.

AD/LDAP

Dalam Konsol Sistem › Pengesahan Identiti › AD/LDAP, halaman langkah demi langkah menyambungkan Antimatter ke Active Directory atau pelayan LDAP lain: pelayan dan port (LdapSettings.LdapServer, LdapSettings.LdapPort, 389 secara lalai), keselamatan sambungan (tiada, TLS atau STARTTLS), DN asas dan akaun bind (BaseDN, BindUsername, BindPassword), penapis untuk pengguna, tetamu, pentadbir dan kumpulan, serta atribut untuk e-mel, nama pengguna, ID, nama dan gambar. Orang kemudian log masuk dengan log masuk direktori mereka.

Tugas penyelarasan dijalankan setiap 60 minit (LdapSettings.SyncIntervalMinutes) untuk mengemas kini nama dan melumpuhkan orang yang telah dibuang dari direktori; jalankan sekarang dengan amctl ldap sync. Kumpulan LDAP boleh dipautkan ke komuniti dan saluran dalam Konsol Sistem › Pengurusan Pengguna › Kumpulan. Akaun SAML juga boleh diselaraskan dengan AD/LDAP (Aktifkan Penyelarasan Akaun SAML Dengan AD/LDAP).

Memindahkan akaun sedia ada

Untuk menukar akaun e-mel sedia ada ke log masuk tunggal, amctl user migrate-auth email saml users.json (atau ldap) memindahkannya secara pukal. Pengguna juga boleh mengubah kaedah log masuk mereka sendiri dalam tetapan keselamatan mereka apabila Benarkan Pemindahan Pengesahan (ServiceSettings.ExperimentalEnableAuthenticationTransfer, dalam Konsol Sistem › Eksperimental › Ciri-ciri) dihidupkan.

Akaun tetamu

Tetamu ialah orang dari luar organisasi anda yang hanya melihat saluran yang mereka jemput. Hidupkannya dalam Konsol Sistem › Pengesahan › Akses Tetamu:

Tetapan	Kunci	Lalai
Perihalkan Akses Tetamu	`GuestAccountsSettings.Enable`	Tutup
Domain Tetamu yang Dibentangkan	`GuestAccountsSettings.RestrictCreationToDomains`	kosong: tetamu boleh mempunyai sebarang domain e-mel
Kuatkuasakan Pengesahan Dua Faktor	`GuestAccountsSettings.EnforceMultifactorAuthentication`	dimatikan; hanya tersedia apabila MFA dihidupkan dan diterapkan untuk semua orang
Sembunyikan tag tetamu	`GuestAccountsSettings.HideTags`	dimatikan: tag "tetamu" dipaparkan di sebelah nama mereka

Setelah dihidupkan, pentadbir komuniti menjemput tetamu ke saluran tertentu. Pentadbir boleh menukar ahli menjadi tetamu dengan amctl user demote, dan tetamu menjadi ahli dengan amctl user promote.

Sesi

Berapa lama orang kekal log masuk ditetapkan dalam Konsol Sistem › Persekitaran › Tempoh Sesi:

Tetapan	Kunci	Lalai pada pelayan baharu
Perpanjang panjang sesi dengan aktiviti	`ServiceSettings.ExtendSessionLengthWithActivity`	dihidupkan: sesi diperbaharui semasa orang menggunakan Antimatter
Panjang Sesi AD/LDAP dan E-mel (jam)	`ServiceSettings.SessionLengthWebInHours`	720 jam (30 hari)
Jangka Sesi Mudah Alih (jam)	`ServiceSettings.SessionLengthMobileInHours`	720 jam
Panjang Sesi SSO (jam)	`ServiceSettings.SessionLengthSSOInHours`	720 jam
Had Masa Sesi Tidak Aktif (minit)	`ServiceSettings.SessionIdleTimeoutInMinutes`	43200 minit (30 hari); dipaparkan hanya apabila sesi tidak diperpanjang dengan aktiviti
Tamatkan Sesi Apabila Kata Laluan Dikubah	`ServiceSettings.TerminateSessionsOnPasswordChange`	hidup

Untuk log keluar semua orang sekaligus, gunakan Batal Semua Sesi dalam Konsol Sistem › Pengurusan Pengguna › Pengguna. Untuk log keluar seorang sahaja, buka halaman mereka di sana.