Увійти та облікові записи

Визначте, хто може створювати обліковий запис, і як люди виходять на зв’язок. Кожен спосіб входу в Antimatter працює без ліцензії, включно з єдиним входом та каталогами.

Хто може створювати обліковий запис

Саме після встановлення перевірте Системна консоль › Аутентифікація › Реєстрація. За замовчуванням будь-хто, хто має посилання-запрошення до спільноти, може створити обліковий запис, але без запрошення реєстрація неможлива.

Адміністратори спільнот також керують тим, хто приєднується до їхньої спільноти, за допомогою запрошувальних посилань та власних дозволених доменів: див. гід Керування спільнотою.

З командного рядка: amctl user create (додати --system-admin або --guest), amctl user invite, amctl user deactivate, amctl roles system-admin <user>, щоб зробити когось системним адміністратором, і amctl roles member <user>, щоб скасувати це.

Електронна пошта та пароль

У Системна консоль › Аутентифікація › Електронна пошта:

У Системна консоль › Аутентифікація › Пароль:

Довжина 12 або більше символів забезпечує кращий захист, ніж правила щодо набору символів. Щоб скинути пароль для користувача: Системна консоль › Керування користувачами › Користувачі або amctl user change-password <user> --password <new>.

Багатофакторна автентифікація

Багатофакторна аутентифікація (БФА) додає код із додатка-аутентифікатора до пароля. Вона діє для облікових записів, які входять за допомогою електронної пошти або AD/LDAP; при однофакторному вході використовуйте БФА вашого постачальника ідентифікаційних даних. У Системна консоль › Аутентифікація › БФА:

• Увімкнути багатофакторну аутентифікацію (ServiceSettings.EnableMultifactorAuthentication, вимкнено): користувачі можуть увімкнути БФА у своїх налаштуваннях безпеки.
• Застосувати багатофакторну автентифікацію (ServiceSettings.EnforceMultifactorAuthentication, вимкнено): кожен має налаштувати її під час реєстрації або під час наступного входу.

Якщо хтось втратив пристрій: amctl user resetmfa <user> або скиньте його зі сторінки користувача у Системна консоль › Керування користувачами › Користувачі.

Однофакторний вхід

Antimatter може вводити користувачів через ваш провайдер ідентичності. Під час першого входу він створює акаунт (якщо дозволено створення акаунтів) на основі імені, електронної пошти та імені користувача, надісланих провайдером.

OpenID Connect, GitLab, Google та Entra ID

Перейдіть до Системна консоль › Аутентифікація › OpenID підключення і виберіть у Виберіть постачальника послуг: GitLab, Google Apps, Entra ID (Office 365) або OpenID Connect (Інше) для будь-якого іншого постачальника (Keycloak, Authentik, Zitadel, Okta, Auth0…).

1. У вашому провайдері створіть застосунок ("клієнт") веб-типу з таким URI перенаправлення для URL вашого сайту:

   Провайдер	URI перенаправлення
   OpenID Connect (Інше)	https://chat.example.com/signup/openid/complete
   GitLab	https://chat.example.com/signup/gitlab/complete
   Google	https://chat.example.com/signup/google/complete
   Entra ID	https://chat.example.com/signup/office365/complete

2. У Antimatter заповніть Кінцева точка виявлення (URL-адресу /.well-known/openid-configuration постачальника; для GitLab замість неї — URL-адреса сайту GitLab), Ідентифікатор клієнта та Секрет клієнта. Для інших постачальників також Ім'я кнопки та Колір кнопки кнопки входу.
3. Використовувати preferred_username (GitLab та інші постачальники) бере ім'я користувача Antimatter із претензії preferred_username постачальника.
4. Збережіть, вийдіть із системи та спробуйте нову кнопку на сторінці входу.

Налаштування зберігаються в OpenIdSettings, GitLabSettings, GoogleSettings або Office365Settings (наприклад, AM_OPENIDSETTINGS_ENABLE, AM_OPENIDSETTINGS_DISCOVERYENDPOINT, AM_OPENIDSETTINGS_ID, AM_OPENIDSETTINGS_SECRET). Стару сторінку OAuth 2.0 видно лише на серверах, де досі налаштовано OAuth 2.0 для GitLab, Google або Entra ID.

SAML 2.0

У Системна консоль › Аутентифікація › SAML 2.0 увімкніть Увімкнути вхід за допомогою SAML 2.0 (SamlSettings.Enable) і заповніть те, що надає ваш постачальник ідентифікаційних даних: URL-адреса метаданих постачальника ідентифікаційних даних, або SAML SSO URL, URL-адреса видавця постачальника ідентифікаційної інформації та Загальнодоступний сертифікат постачальника ідентифікаційної інформації. На боці постачальника ідентифікаційних даних:

• URL входу постачальника служб (послуга споживача тверджень): https://chat.example.com/login/sso/saml;
• Метадані Antimatter для провайдерів, які їх імпортує: https://chat.example.com/api/v4/saml/metadata.

Зв’яжіть атрибути, які надсилає ваш провайдер: принаймні Атрибут електронної пошти та Атрибут імені користувача, а також за бажанням ID, ім’я, прізвище, псевдонім, посада, мова, атрибути гостя та адміністратора. Перевірка підпису та Увімкнути шифрування увімкнені за замовчуванням (для шифрування потрібен ключ і сертифікат провайдера; підтримуються лише ключі RSA); Запит на підпис вимкнено. Алгоритм підпису за замовчуванням — RSAwithSHA256.

AD/LDAP

У розділі Системна консоль › Аутентифікація › AD/LDAP сторінка з покроковими інструкціями підключає Antimatter до Active Directory або іншого сервера LDAP: сервер і порт (LdapSettings.LdapServer, LdapSettings.LdapPort, за замовчуванням 389), безпека з’єднання (без захисту, TLS або STARTTLS), базовий DN і акаунт для прив’язки (BaseDN, BindUsername, BindPassword), фільтри для користувачів, гостей, адміністраторів і груп, а також атрибути для електронної пошти, імені користувача, ID, імен та зображення. Далі люди входять до системи за допомогою своїх облікових даних каталогу.

Завдання синхронізації виконується кожні 60 хвилин (LdapSettings.SyncIntervalMinutes), щоб оновити імена та деактивувати тих, кого видалено з каталогу; запустіть його зараз за допомогою amctl ldap sync. Групи LDAP можна пов’язати з спільнотами та каналами в Системна консоль › Керування користувачами › Групи. Облікові записи SAML також можна синхронізувати з AD/LDAP (Увімкнути синхронізацію облікових записів SAML за допомогою AD/LDAP).

Перенесення наявних акаунтів

Щоб перемкнути наявні облікові записи електронної пошти на одноразовий вхід, amctl user migrate-auth email saml users.json (або ldap) перенесе їх пакетно. Користувач також може змінити спосіб входу в своїх налаштуваннях безпеки, якщо Дозволити передачу автентифікації (ServiceSettings.ExperimentalEnableAuthenticationTransfer, у Системна консоль › Експериментальний › Функції) увімкнено.

Акаунти гостей

Гості — це люди з-за межі вашої організації, які бачать лише ті канали, до яких їх запрошено. Увімкніть їх у Системна консоль › Аутентифікація › Гостьовий доступ:

Після увімкнення адміністратори спільноти запрошують гостей у конкретні канали. Адміністратори можуть перетворити учасника на гостя за допомогою amctl user demote, а гостя — на учасника за допомогою amctl user promote.

Сесії

Тривалість сесії налаштовується в Системна консоль › Середовище › Тривалість сесії:

Щоб завершити сесії всіх користувачів одночасно, скористайтеся Скасувати всі сесії у Системна консоль › Керування користувачами › Користувачі. Щоб завершити сесію одного користувача, відкрийте його сторінку там.