Innlogging og kontoer

Bestem hvem som kan opprette en konto og hvordan folk logger seg inn. Alle innloggingsmetoder i Antimatter fungerer uten lisens, inkludert enkel innlogging (single sign-on) og kataloger.

Hvem kan opprette en konto

Sjekk Systemkonsoll › Autentisering › Registrering rett etter installasjonen. Med standardinnstillingene kan alle med en invitasjonslenke til et samfunn opprette en konto, men ingen kan registrere seg uten en.

Samfunnsadministratorer kontrollerer også hvem som blir med i samfunnet deres, med invitasjonslenker og deres egne tillatte domener: se veiledningen Å drive et samfunn.

Fra kommandolinjen: amctl user create (legg til --system-admin eller --guest), amctl user invite, amctl user deactivate, amctl roles system-admin <user> for å gjøre noen til systemadministrator, og amctl roles member <user> for å reversere dette.

E-post og passord

I Systemkonsoll › Autentisering › E-post:

I Systemkonsoll › Autentisering › Passord:

En lengde på 12 tegn eller mer bidrar mer til sikkerheten enn regler for tegn. For å nullstille passordet for noen: Systemkonsoll › Brukeradministrasjon › Brukere, eller amctl user change-password <user> --password <new>.

Faktorisert autentisering

Faktorisert autentisering (MFA) legger til en kode fra en autentiseringsapp i tillegg til passordet. Den gjelder for kontoer som logger seg inn med e-post eller AD/LDAP; ved enkel pålogging (SSO) bruker du MFA fra identitetsleverandøren din. I Systemkonsoll › Autentisering › MFA:

• Aktiver multifaktorautentisering (ServiceSettings.EnableMultifactorAuthentication, av): folk kan slå på MFA i sikkerhetsinnstillingene sine.
• Håndhev multifaktorautentisering (ServiceSettings.EnforceMultifactorAuthentication, av): alle må sette den opp, enten ved registrering eller ved neste pålogging.

Hvis noen mister enheten sin: amctl user resetmfa <user>, eller nullstill den fra siden deres i Systemkonsoll › Brukeradministrasjon › Brukere.

Enkel pålogging

Antimatter kan la brukere logge seg inn via identitetsleverandøren din. Ved første pålogging opprettes kontoen deres (hvis oppretting av kontoer er tillatt) fra navnet, e-postadressen og brukernavnet leverandøren sender.

OpenID Connect, GitLab, Google og Entra ID

Gå til Systemkonsoll › Autentisering › OpenID Connect, og velg under Velg tjenesteleverandør: GitLab, Google Apps, Entra ID (Office 365) eller OpenID Connect (Annet) for andre leverandører (Keycloak, Authentik, Zitadel, Okta, Auth0…).

1. I leverandøren din, opprett en applikasjon (en «client») av typen web, med denne omdirigerings-URI for nettstedets din URL:

   Leverandør	Omdirigerings-URI
   OpenID Connect (Annet)	https://chat.example.com/signup/openid/complete
   GitLab	https://chat.example.com/signup/gitlab/complete
   Google	https://chat.example.com/signup/google/complete
   Entra ID	https://chat.example.com/signup/office365/complete

2. I Antimatter, fyll inn Oppdagelsesendepunkt (leverandørens /.well-known/openid-configuration-URL; for GitLab, GitLab-nettsteds-URL i stedet), Klient-ID og Klienthemmelighet. For andre leverandører, også Knapptekst og Knapfarge for påloggingsknappen.
3. Bruk foretrukket brukernavn (GitLab og andre leverandører) henter Antimatter-brukernavnet fra leverandørens preferred_username-claim.
4. Lagre, logg ut, og prøv den nye knappen på påloggingssiden.

Innstillingene lagres i OpenIdSettings, GitLabSettings, GoogleSettings eller Office365Settings (for eksempel AM_OPENIDSETTINGS_ENABLE, AM_OPENIDSETTINGS_DISCOVERYENDPOINT, AM_OPENIDSETTINGS_ID, AM_OPENIDSETTINGS_SECRET). Den eldre OAuth 2.0-siden vises kun for servere som fortsatt har en OAuth 2.0-konfigurasjon for GitLab, Google eller Entra ID.

SAML 2.0

I Systemkonsoll › Autentisering › SAML 2.0, slå på Aktiver innlogging med SAML 2.0 (SamlSettings.Enable) og fyll inn det identitetsleverandøren din gir deg: Metadata-URL for identitetsleverandør, eller SAML SSO-URL, Utgiver-URL for identitetsleverandør og Offentlig sertifikat for identitetsleverandør. På identitetsleverandørens side:

• Service Provider Login URL (assertion consumer service): https://chat.example.com/login/sso/saml;
• Antimatters metadata, for leverandører som importerer den: https://chat.example.com/api/v4/saml/metadata.

Kartlegg attributtene leverandøren din sender: minst E-postattributt og Brukernavn-attributt, og valgfritt ID, fornavn, etternavn, kallenavn, stilling, språk, gjest- og administratorattributter. Verifiser signatur og Aktiver kryptering er på som standard (kryptering krever en tjenesteleverandør-nøkkel og sertifikat; bare RSA-nøkler støttes); Signer forespørsel er av. Signaturalgoritmen er som standard RSAwithSHA256.

AD/LDAP

I Systemkonsoll › Autentisering › AD/LDAP, kobler en trinn-for-trinn-side Antimatter til Active Directory eller en annen LDAP-server: server og port (LdapSettings.LdapServer, LdapSettings.LdapPort, 389 som standard), tilkoblingssikkerhet (ingen, TLS eller STARTTLS), base DN og en bind-konto (BaseDN, BindUsername, BindPassword), filtre for brukere, gjester, administratorer og grupper, og attributter for e-post, brukernavn, ID, navn og bilde. Personene logger deretter inn med sin kataloglogin.

En synkroniseringsjobb kjører hvert 60. minutt (LdapSettings.SyncIntervalMinutes) for å oppdatere navn og deaktivere personer som er fjernet fra katalogen; kjør den nå med amctl ldap sync. LDAP-grupper kan kobles til team og kanaler i Systemkonsoll › Brukeradministrasjon › Grupper. SAML-kontoer kan også holdes synkronisert med AD/LDAP (Aktiver synkronisering av SAML-kontoer med AD/LDAP).

Flytting av eksisterende kontoer

For å bytte eksisterende e-postkontoer til éngangsinnsending, flytter amctl user migrate-auth email saml users.json (eller ldap) dem i masse. En bruker kan også endre sin egen innsendingmetode i sikkerhetsinnstillingene når Tillat overføring av autentisering (ServiceSettings.ExperimentalEnableAuthenticationTransfer, i Systemkonsoll › Eksperimentell › Funksjoner) er på.

Gjestekontoer

Gjest er personer utenfor organisasjonen din som bare ser kanalene de er invitert til. Slå dem på i Systemkonsoll › Autentisering › Gjestetilgang:

Når det er slått på, inviterer fellesskapsadministratorer gjester til bestemte kanaler. Administratorer kan gjøre et medlem om til gjest med amctl user demote, og en gjest om til medlem med amctl user promote.

Sesjoner

Hvor lenge folk forblir pålogget, settes i Systemkonsoll › Miljø › Sesjonslengder:

For å logge alle ut samtidig, bruk Trekke tilbake alle økter i Systemkonsoll › Brukeradministrasjon › Brukere. For å logge ut én person, åpne siden deres der.