Autentizace v5.21
Na stránce Autentizace nastavujete, jakými způsoby se uživatelé přihlašují do TAS: vlastním heslem, přes LDAP / Active Directory, přes Microsoft Entra ID, SAML, Kerberos, externí službu nebo NFC kartou. Každý způsob je jeden modul autentizace. Stránku vidí jen administrátor. Otevřete ji v Administrace → Zabezpečení → Autentizace.
| Č. | Prvek | K čemu slouží |
|---|---|---|
| 1 | Zavřít | Vrátí vás do menu Administrace. |
| 2 | Přidat | Otevře okno pro nový modul autentizace. |
| 3 | Úchyt řádku | Přetažením měníte pořadí modulů. Pořadí se uloží hned po puštění řádku. Když je v seznamu jen jeden modul, přetahovat nelze. |
| 4 | ID | Číslo modulu. Ikonou vedle něj ho zkopírujete do schránky. |
| 5 | Název | Název modulu. U modulů, které se přihlašují tlačítkem, je to zároveň text tlačítka na přihlašovací stránce. |
| 6 | Modul | Typ autentizace: password, ldap, entraId, saml2, apacheKerberos, foreign nebo nfc. |
| 7 | Parametry | Zkrácený náhled nastavení modulu ve formátu JSON. |
| 8 | Aktivní/viditelné | Dvě hodnoty Y/N. První říká, zda je modul zapnutý, druhá, zda se jeho tlačítko zobrazuje na přihlašovací stránce. Vypnuté moduly jsou v seznamu zašedlé. |
| 9 | Synchronizace | Y znamená, že se z modulu synchronizují uživatelé. Má význam jen u modulu LDAP. |
| 10 | Test | Vyzkouší modul a výsledek ukáže v okně Test. |
| 11 | Upravit | Otevře nastavení modulu. |
| 12 | Smazat | Po potvrzení modul trvale smaže. |
Pokud smažete nebo vypnete modul, přes který se všichni přihlašují, nikdo se nepřihlásí. Než modul smažete, ověřte, že uživatelé mají jiný funkční způsob přihlášení. Smazání nejde vrátit.
Jak TAS vybírá modul při přihlášení
- Na přihlašovací stránce je formulář se jménem a heslem, pokud je aktivní aspoň jeden modul
passwordneboldap. TAS zkusí přihlásit uživatele aktivními modulypasswordaldapv pořadí, v jakém jsou v seznamu. Když první z nich neuspěje, zkusí další. - Ostatní aktivní moduly se zobrazí jako samostatná tlačítka s názvem modulu, ale jen když mají zaškrtnuté Viditelné. Barvu tlačítka určuje Barva přihlašovacího tlačítka.
- Modul
nfcse na přihlašovací stránce nabízí jen tehdy, když je v Konfiguraci zapnutá čtečka NFC (featureFlag.nfcReaderEnabled). Bez ní nový modul NFC ani neuložíte. - Účet ADMIN se vždy přihlašuje přes modul
password, i když je tento modul vypnutý. Díky tomu se do TAS dostanete, i když externí přihlášení přestane fungovat.
Okno modulu autentizace
Okno se otevře tlačítkem Přidat nebo Upravit. Má tři části: Konfigurace, Identifikační skript a Parametry. U nového modulu je v nadpisu Nový, u existujícího jeho název, typ modulu a ID s tlačítkem pro zkopírování.
| Č. | Prvek | K čemu slouží |
|---|---|---|
| 1 | Zavřít | Zavře okno. Pokud jste něco změnili, TAS se zeptá, zda změny uložit. |
| 2 | Import / Export | Otevře celé nastavení modulu včetně identifikačního skriptu jako JSON. Hodí se k přenesení nastavení mezi prostředími. |
| 3 | Uložit a zavřít | Zkontroluje parametry, uloží modul a zavře okno. |
| 4 | ID | Číslo modulu. Ikonou vedle něj ho zkopírujete do schránky. Jen u existujícího modulu. |
| 5 | Název | Povinný. Název modulu a text přihlašovacího tlačítka. |
| 6 | Modul | Povinný. Typ autentizace. Po změně typu se parametry nastaví na výchozí hodnoty nového typu a identifikační skript se nahradí výchozím skriptem nového typu. |
| 7 | Aktivní | Modul se smí používat k přihlášení. U nového modulu je zaškrtnuté. |
| 8 | Synchronizace | U modulu LDAP zapne pravidelnou synchronizaci uživatelů. U nového modulu je zaškrtnuté. |
| 9 | Viditelné | Tlačítko modulu se zobrazí na přihlašovací stránce. Moduly password a ldap tlačítko nemají, používají formulář se jménem a heslem. |
| 10 | Barva přihlašovacího tlačítka | Barva tlačítka modulu na přihlašovací stránce. Výchozí je zelená #76b703. |
| 11 | Identifikační skript | Editor skriptu, který z údajů přihlášení najde nebo založí uživatele TAS, viz níže. U modulů password a foreign tato část není. |
| 12 | Zkontrolovat kód | Zkontroluje skript a pod editorem vypíše nalezené chyby a upozornění. Klepnutím na nález přeskočíte na příslušný řádek. Nic neukládá. |
| 13 | Naformátovat | Upraví odsazení a formátování skriptu. |
| 14 | Zeptat se AI | Otevře AI chat k tomuto skriptu. Návrh změny AI ukáže vedle stávajícího kódu a do editoru se dostane, až ho přijmete. Tlačítko je jen při zapnuté AI. |
| 15 | Parametry | Nastavení podle typu modulu, viz níže. |
Identifikační skript
Skript, který dřív byl mezi parametry modulu (Post Auth Instructions, u LDAP Update Post Instructions), má vlastní část okna. Při upgradu se stávající skripty přesunou automaticky a beze změny.
Skript se spustí po úspěšném ověření uživatele a vrací uživatele TAS, kterého má přihlásit. Údaje od poskytovatele identity čte přes Holder a uživatele hledá nebo zakládá přes identity, například identity.findOrCreateUser(...) a identity.store(user). TAS skript přeloží při uložení modulu, ne při každém přihlášení.
| Modul | Identifikační skript |
|---|---|
entraId | Výchozí skript použije e-mail jako přihlašovací jméno, najde nebo založí uživatele a vyplní jméno, e-mail, fotku, zobrazované jméno a externí ID. |
saml2 | Výchozí skript hledá uživatele podle e-mailu z odpovědi poskytovatele identity. |
apacheKerberos | Výchozí skript vrátí uživatele, kterého předala proxy. |
ldap | Nepovinný. Spustí se po založení nebo aktualizaci uživatele z adresáře. Prázdný skript nic nedělá. |
nfc | Povinný. Jak skript napsat, popisuje část NFC níže. |
password, foreign | Skript nemají. |
Parametry
Parametry se zobrazují jako formulář podle zvoleného typu modulu. U každého pole je otazník s nápovědou, technický název parametru a výchozí hodnota. Povinná pole mají hvězdičku. Jediný skript, který v parametrech zůstal, je Ad User Middleware modulu LDAP.
Chyby ve formuláři se ukážou až při prvním pokusu o uložení. Když parametry nejsou v pořádku, TAS modul neuloží, zobrazí upozornění Ověření konfigurace selhalo a přesune vás na první chybné pole.
Výchozí hodnoty nového modulu jsou jen vzory (například server 192.168.0.0 nebo heslo pass). Vždy je nahraďte skutečnými údaji vašeho prostředí.
Heslo (password)
Přihlášení jménem a heslem uloženým v TAS. Modul nemá žádné parametry, v okně je jen informace Tento způsob autentizace nemá žádnou další konfiguraci.
LDAP / Active Directory (ldap)
Ověří jméno a heslo proti adresářové službě a volitelně z ní synchronizuje uživatele.
Část LDAP (připojení k adresáři):
| Pole | K čemu slouží |
|---|---|
| Server | Adresa nebo URL serveru LDAP. |
| Port | Port serveru, výchozí 389. |
| Rdn | Základní rozlišovací jméno (DN). |
| People | Větev adresáře, ve které se hledají uživatelé. |
| Group Search Base | Větev pro vyhledávání skupin při rekurzivním členství. Nepovinné. |
| Principal User | Účet (DN), pod kterým se TAS k adresáři připojuje. |
| Principal Password | Heslo tohoto účtu. |
| Login Suffix | Přípona, kterou TAS při přihlášení přidá ke jménu uživatele, například @firma.local. |
| User Filter | Doplňující filtr LDAP pro vyhledávání uživatelů. |
| Login Attr | Atribut, se kterým se porovnává přihlašovací jméno. Výchozí sAMAccountName. |
| External Id | Atribut, který slouží jako externí ID uživatele. Výchozí objectGUID. |
| Timeout | Časový limit připojení v milisekundách. Výchozí 10000. |
Část Config (synchronizace uživatelů):
| Pole | K čemu slouží |
|---|---|
| Synchronise Photo | Přenáší fotku uživatele z adresáře. Výchozí zapnuto. |
| Create User | Uživatele, který v TAS chybí, při přihlášení nebo synchronizaci založí. Výchozí zapnuto. |
| Update On Login | Při každém přihlášení aktualizuje údaje uživatele. Výchozí vypnuto. |
| Ad User Middleware | Skript, který upraví záznam z adresáře před převodem na uživatele TAS. |
| Use Competence Rules | Podle členství ve skupinách použije pravidla kompetencí. Výchozí vypnuto. |
| Recursive Member Of | Dohledá i vnořená členství ve skupinách. Výchozí vypnuto. |
Skript, který se spustí po založení nebo aktualizaci uživatele, je v části Identifikační skript. Synchronizaci uživatelů provádí cron AdSyncCron (Administrace → Crony). Synchronizuje všechny moduly typu ldap, které mají zaškrtnuté Synchronizace.
Microsoft Entra ID (entraId)
Přihlášení účtem Microsoft přes OpenID Connect. Uživatel klepne na tlačítko modulu a přihlásí se u Microsoftu.
Modul se dřív jmenoval Azure AD a v seznamu měl typ
azureAd. Při upgradu se existující moduly přejmenují na entraId automaticky a fungují dál beze změny. Přibyl parametr Callback Path.
| Pole | K čemu slouží |
|---|---|
| Tenant ID | Povinné. ID tenanta v Entra ID. |
| Client ID | Povinné. ID aplikace (client ID) registrované v Entra ID. |
| Response Type | Co Microsoft vrátí. id_token vrátí jen identitu uživatele, id_token token navíc přístupový token pro Microsoft Graph. Výchozí id_token token. |
| Response Mode | Způsob předání odpovědi. Podporovaná je jen hodnota form_post. |
| Scope | Požadovaná oprávnění. Výchozí profile, email, openid, User.Read. Tlačítkem Add přidáte další, košem odeberete. User.Read je potřeba pro načtení fotky. |
| Callback Path | Povinné. Část návratové adresy, kterou TAS pošle Microsoftu: entra-id (adresa https://<server>/auth/entra-id/callback/<ID modulu>) nebo azure-ad (…/auth/azure-ad/callback/<ID modulu>). Adresa musí odpovídat návratové adrese (Redirect URI) v registraci aplikace v Entra ID. Výchozí entra-id; moduly z dřívějších verzí mají po upgradu azure-ad. TAS přijímá obě adresy. |
| Redirect Url | Vlastní cesta návratu po přihlášení. Když je vyplněná, nahradí celou adresu z Callback Path. Když je prázdná, použije se adresa podle Callback Path. |
| Domain Hint | Nepovinná nápověda domény předaná Microsoftu. |
| Login Hint | Nepovinná nápověda přihlašovacího jména předaná Microsoftu. |
| Prompt | Nepovinný parametr prompt předaný Microsoftu. |
| Include User Profile Picture | Načte fotku uživatele z Microsoft Graph. Funguje jen s typem odpovědi id_token token a oprávněním User.Read, jinak se fotka přeskočí a přihlášení pokračuje. Výchozí zapnuto. |
| Allow Http For Redirect Url | Povolí návratovou adresu bez HTTPS. Jen pro vývoj. Výchozí vypnuto. |
Jak převést existující modul na novou adresu
- V registraci aplikace v Entra ID (Authentication → Redirect URIs) přidejte adresu
https://<server>/auth/entra-id/callback/<ID modulu>. ID modulu zkopírujete v seznamu modulů. - Teprve potom v TAS přepněte Callback Path na
entra-ida modul uložte. - Starou adresu můžete v Entra ID nechat, TAS ji obsluhuje dál.
Když Callback Path přepnete dřív, než adresu zaregistrujete v Entra ID, přihlášení skončí u Microsoftu chybou AADSTS50011 (návratová adresa neodpovídá). U nového modulu rovnou zaregistrujte adresu s
entra-id.SAML (saml2)
Jednotné přihlášení (SSO) přes poskytovatele identity podle standardu SAML 2.0.
| Pole | K čemu slouží |
|---|---|
| Entry Point | Povinné. Adresa přihlášení (SSO) u poskytovatele identity. |
| Issuer | Povinné. Identifikátor TAS jako poskytovatele služby (entity ID). |
| Callback Url | Povinné. Adresa, na kterou poskytovatel identity vrací odpověď. Vzor: https://your-server/auth/saml2/callback. |
| Identifier Format | Požadovaný formát NameID. Nepovinné. |
| Idp Cert | Povinné. Podpisový certifikát poskytovatele identity, případně více certifikátů nebo adresa metadat, ze kterých se certifikát načte. Záložkami nad polem volíte, v jaké podobě certifikát zadáte. |
| Want Authn Response Signed | Vyžaduje podepsanou odpověď. Výchozí zapnuto. |
| Want Assertions Signed | Vyžaduje podepsaná tvrzení (assertions). Výchozí zapnuto. |
| Cert | Certifikát nebo adresa XML metadat, ze kterých se načte Idp Cert. Nepovinné. |
| Cert Path | Cesta k souboru s certifikátem, ze kterého se načte Idp Cert. Nepovinné. |
Kerberos (apacheKerberos)
Přihlášení přes Kerberos na reverzní proxy Apache nebo NGINX, která předá TAS jméno přihlášeného uživatele.
| Pole | K čemu slouží |
|---|---|
| Auth Url | Povinné. Adresa chráněná Kerberosem, na kterou TAS uživatele přesměruje. Výchozí ${host}/kerberos. |
| Login Suffix | Přípona domény, kterou TAS odstraní ze jména předaného proxy, aby získal přihlašovací jméno. |
Externí autorita (foreign)
Přesměruje uživatele na externí přihlašovací službu.
| Pole | K čemu slouží |
|---|---|
| Url | Povinné. Adresa externí služby, na kterou se uživatel přesměruje. |
NFC (nfc)
Přihlášení přiložením NFC karty nebo zařízení ke čtečce. Modul lze uložit jen se zapnutou čtečkou NFC v Konfiguraci (featureFlag.nfcReaderEnabled).
| Pole | K čemu slouží |
|---|---|
| Instruction | Výzva, kterou uživatel vidí u čtečky, zvlášť pro každý jazyk. Klíč je kód jazyka (cs, en, de…), hodnota je text. Řádky přidáte tlačítkem Add a odeberete košem. |
Identifikační skript je u NFC povinný. Data karty skript přečte jako JSON z Holder.getTextProperty('req.body.additionalData'): pole serialNumber je sériové číslo karty (UID), nfcData textový záznam z karty. Skript vrátí uživatele, například return identity.findOrCreateUser(serialNumber);.
Import / Export
Tlačítkem Import / Export v okně modulu zobrazíte celé aktuální nastavení modulu (název, typ, zaškrtávací pole, barvu i parametry) jako JSON.
- Kopírovat zkopíruje JSON do schránky.
- Import načte upravený nebo vložený JSON zpět do okna modulu. Nic se tím neukládá, nastavení uložíte až tlačítkem Uložit a zavřít. Neplatný JSON TAS odmítne s hláškou Neplatný formát JSON.
- Zavřít okno zavře beze změny.
JSON exportovaný z verze starší než 5.21 obsahuje u modulu Entra ID typ azureAd. Po importu zůstane pole Modul prázdné. Modul exportujte znovu z verze 5.21, nebo v JSON přepište typ na entraId.
JSON obsahuje všechny parametry včetně hesel a tajných hodnot (například heslo účtu LDAP). Neposílejte ho e-mailem ani ho nikam neukládejte bez zabezpečení.
Zavření bez uložení
Když okno zavřete s neuloženými změnami, TAS se zeptá Uložit provedené změny?
Potvrdit změny uloží, Ne okno zavře a změny zahodí.
Test modulu
Tlačítko Test v řádku modulu modul vyzkouší a odpověď ukáže v okně Test.
| Modul | Co test ukáže |
|---|---|
| password, nfc, apacheKerberos | Test se u těchto modulů neprovádí. |
| ldap | Připojí se k adresáři a ukáže počet nalezených uživatelů, seznam atributů a ukázku jednoho záznamu z adresáře. Ověříte tak připojení i nastavení vyhledávání. |
| entraId, saml2, foreign | Adresu, na kterou by byl uživatel při přihlášení přesměrován. |
Když test selže, okno ukáže chybovou zprávu, například nedostupný server LDAP.
Výsledek testu LDAP obsahuje údaje skutečného uživatele z adresáře. Nesdílejte ho.
Jak přidat modul autentizace
- Klepněte na Přidat.
- Vyplňte Název. U modulů s tlačítkem je to text tlačítka na přihlašovací stránce.
- Vyberte Modul.
- Nastavte Aktivní, Viditelné a případně Synchronizace a Barva přihlašovacího tlačítka.
- Vyplňte parametry. Výchozí vzorové hodnoty nahraďte skutečnými.
- Zkontrolujte Identifikační skript, případně ho upravte, a klepněte na Zkontrolovat kód. U modulu NFC skript napište.
- Klepněte na Uložit a zavřít. Nový modul se zařadí na konec seznamu.
- Klepněte u modulu na Test a ověřte nastavení.
- Přetažením řádku nastavte pořadí.
Související: Licence, Trezor, Přístup k API, Konfigurace, Crony, Přihlášení a odhlášení
