Autentizace
Na stránce Autentizace nastavujete, jakými způsoby se uživatelé přihlašují do TAS: vlastním heslem, přes LDAP / Active Directory, přes Microsoft Entra ID, SAML, Kerberos, externí službu nebo NFC kartou. Každý způsob je jeden modul autentizace. Stránku vidí jen administrátor. Otevřete ji v Administrace → Zabezpečení → Autentizace.
| Č. | Prvek | K čemu slouží |
|---|---|---|
| 1 | Zavřít | Vrátí vás do menu Administrace. |
| 2 | Přidat | Otevře okno pro nový modul autentizace. |
| 3 | Úchyt řádku | Přetažením měníte pořadí modulů. Pořadí se uloží hned po puštění řádku. Když je v seznamu jen jeden modul, přetahovat nelze. |
| 4 | ID | Číslo modulu. Ikonou vedle něj ho zkopírujete do schránky. |
| 5 | Název | Název modulu. U modulů, které se přihlašují tlačítkem, je to zároveň text tlačítka na přihlašovací stránce. |
| 6 | Modul | Typ autentizace: password, ldap, azureAd, saml2, apacheKerberos, foreign nebo nfc. |
| 7 | Parametry | Zkrácený náhled nastavení modulu ve formátu JSON. |
| 8 | Aktivní/viditelné | Dvě hodnoty Y/N. První říká, zda je modul zapnutý, druhá, zda se jeho tlačítko zobrazuje na přihlašovací stránce. Vypnuté moduly jsou v seznamu zašedlé. |
| 9 | Synchronizace | Y znamená, že se z modulu synchronizují uživatelé. Má význam jen u modulu LDAP. |
| 10 | Test | Vyzkouší modul a výsledek ukáže v okně Test. |
| 11 | Upravit | Otevře nastavení modulu. |
| 12 | Smazat | Po potvrzení modul trvale smaže. |
TAS vám nezabrání smazat nebo vypnout modul, přes který se všichni přihlašují. Než modul smažete, ověřte, že uživatelé mají jiný funkční způsob přihlášení. Smazání nejde vrátit.
Jak TAS vybírá modul při přihlášení
- Na přihlašovací stránce je formulář se jménem a heslem, pokud je aktivní aspoň jeden modul
passwordneboldap. TAS zkusí přihlásit uživatele aktivními modulypasswordaldapv pořadí, v jakém jsou v seznamu. Když první z nich neuspěje, zkusí další. - Ostatní aktivní moduly se zobrazí jako samostatná tlačítka s názvem modulu, ale jen když mají zaškrtnuté Viditelné. Barvu tlačítka určuje Barva přihlašovacího tlačítka.
- Modul
nfcse na přihlašovací stránce nabízí jen tehdy, když je v Konfiguraci zapnutá čtečka NFC (featureFlag.nfcReaderEnabled). Bez ní nový modul NFC ani neuložíte. - Účet ADMIN se vždy přihlašuje přes modul
password, i když je tento modul vypnutý. Díky tomu se do TAS dostanete, i když externí přihlášení přestane fungovat.
Okno modulu autentizace
Okno se otevře tlačítkem Přidat nebo Upravit. U nového modulu je v nadpisu Nový, u existujícího jeho název, typ modulu a ID.
| Č. | Prvek | K čemu slouží |
|---|---|---|
| 1 | Zavřít | Zavře okno. Pokud jste něco změnili, TAS se zeptá, zda změny uložit. |
| 2 | Import / Export | Otevře celé nastavení modulu jako JSON. Hodí se k přenesení nastavení mezi prostředími. |
| 3 | Uložit a zavřít | Zkontroluje parametry, uloží modul a zavře okno. |
| 4 | Název | Povinný. Název modulu a text přihlašovacího tlačítka. |
| 5 | Modul | Povinný. Typ autentizace. Po změně typu se parametry nastaví na výchozí hodnoty nového typu. |
| 6 | Aktivní | Modul se smí používat k přihlášení. U nového modulu je zaškrtnuté. |
| 7 | Synchronizace | U modulu LDAP zapne pravidelnou synchronizaci uživatelů. U nového modulu je zaškrtnuté. |
| 8 | Viditelné | Tlačítko modulu se zobrazí na přihlašovací stránce. Moduly password a ldap tlačítko nemají, používají formulář se jménem a heslem. |
| 9 | Barva přihlašovacího tlačítka | Barva tlačítka modulu na přihlašovací stránce. Výchozí je zelená #76b703. |
| 10 | Parametry | Nastavení podle typu modulu, viz níže. |
U existujícího modulu vypadá okno stejně. V nadpisu je navíc ID s tlačítkem pro zkopírování.
Parametry
Parametry se zobrazují jako formulář podle zvoleného typu modulu. U každého pole je otazník s nápovědou, technický název parametru a výchozí hodnota. Povinná pole mají hvězdičku. Pole s kódem (například Post Auth Instructions) jsou editory serverového skriptu, který z údajů přihlášení najde nebo založí uživatele TAS.
Chyby ve formuláři se ukážou až při prvním pokusu o uložení. Když parametry nejsou v pořádku, TAS modul neuloží, zobrazí upozornění Ověření konfigurace selhalo a přesune vás na první chybné pole.
Výchozí hodnoty nového modulu jsou jen vzory (například server 192.168.0.0 nebo heslo pass). Vždy je nahraďte skutečnými údaji vašeho prostředí.
Heslo (password)
Přihlášení jménem a heslem uloženým v TAS. Modul nemá žádné parametry, v okně je jen informace Tento způsob autentizace nemá žádnou další konfiguraci.
LDAP / Active Directory (ldap)
Ověří jméno a heslo proti adresářové službě a volitelně z ní synchronizuje uživatele.
Část LDAP (připojení k adresáři):
| Pole | K čemu slouží |
|---|---|
| Server | Adresa nebo URL serveru LDAP. |
| Port | Port serveru, výchozí 389. |
| Rdn | Základní rozlišovací jméno (DN). |
| People | Větev adresáře, ve které se hledají uživatelé. |
| Group Search Base | Větev pro vyhledávání skupin při rekurzivním členství. Nepovinné. |
| Principal User | Účet (DN), pod kterým se TAS k adresáři připojuje. |
| Principal Password | Heslo tohoto účtu. |
| Login Suffix | Přípona, kterou TAS při přihlášení přidá ke jménu uživatele, například @firma.local. |
| User Filter | Doplňující filtr LDAP pro vyhledávání uživatelů. |
| Login Attr | Atribut, se kterým se porovnává přihlašovací jméno. Výchozí sAMAccountName. |
| External Id | Atribut, který slouží jako externí ID uživatele. Výchozí objectGUID. |
| Timeout | Časový limit připojení v milisekundách. Výchozí 10000. |
Část Config (synchronizace uživatelů):
| Pole | K čemu slouží |
|---|---|
| Synchronise Photo | Přenáší fotku uživatele z adresáře. Výchozí zapnuto. |
| Create User | Uživatele, který v TAS chybí, při přihlášení nebo synchronizaci založí. Výchozí zapnuto. |
| Update On Login | Při každém přihlášení aktualizuje údaje uživatele. Výchozí vypnuto. |
| Update Post Instructions | Skript, který se spustí po založení nebo aktualizaci uživatele. |
| Ad User Middleware | Skript, který upraví záznam z adresáře před převodem na uživatele TAS. |
| Use Competence Rules | Podle členství ve skupinách použije pravidla kompetencí. Výchozí vypnuto. |
| Recursive Member Of | Dohledá i vnořená členství ve skupinách. Výchozí vypnuto. |
Synchronizaci uživatelů provádí cron AdSyncCron (Administrace → Crony). Synchronizuje všechny moduly typu ldap, které mají zaškrtnuté Synchronizace.
Microsoft Entra ID (azureAd)
Přihlášení účtem Microsoft (Azure Active Directory / Entra ID) přes OpenID Connect. Uživatel klepne na tlačítko modulu a přihlásí se u Microsoftu.
| Pole | K čemu slouží |
|---|---|
| Tenant ID | Povinné. ID tenanta v Entra ID. |
| Client ID | Povinné. ID aplikace (client ID) registrované v Entra ID. |
| Response Type | Co Microsoft vrátí. id_token vrátí jen identitu uživatele, id_token token navíc přístupový token pro Microsoft Graph. Výchozí id_token token. |
| Response Mode | Způsob předání odpovědi. Podporovaná je jen hodnota form_post. |
| Scope | Požadovaná oprávnění. Výchozí profile, email, openid, User.Read. Tlačítkem Add přidáte další, košem odeberete. User.Read je potřeba pro načtení fotky. |
| Redirect Url | Vlastní adresa návratu po přihlášení. Když je prázdná, použije se adresa, kterou TAS pro modul připraví sám. |
| Domain Hint | Nepovinná nápověda domény předaná Microsoftu. |
| Login Hint | Nepovinná nápověda přihlašovacího jména předaná Microsoftu. |
| Prompt | Nepovinný parametr prompt předaný Microsoftu. |
| Include User Profile Picture | Načte fotku uživatele z Microsoft Graph. Funguje jen s typem odpovědi id_token token a oprávněním User.Read, jinak se fotka přeskočí a přihlášení pokračuje. Výchozí zapnuto. |
| Allow Http For Redirect Url | Povolí návratovou adresu bez HTTPS. Jen pro vývoj. Výchozí vypnuto. |
| Post Auth Instructions | Skript, který z údajů od Microsoftu najde nebo založí uživatele TAS. Výchozí skript použije e-mail jako přihlašovací jméno a vyplní jméno, e-mail, fotku a externí ID. |
SAML (saml2)
Jednotné přihlášení (SSO) přes poskytovatele identity podle standardu SAML 2.0.
| Pole | K čemu slouží |
|---|---|
| Post Auth Instructions | Skript, který z odpovědi poskytovatele identity najde uživatele TAS. Výchozí skript hledá uživatele podle e-mailu. |
| Entry Point | Povinné. Adresa přihlášení (SSO) u poskytovatele identity. |
| Issuer | Povinné. Identifikátor TAS jako poskytovatele služby (entity ID). |
| Callback Url | Povinné. Adresa, na kterou poskytovatel identity vrací odpověď. Vzor: https://your-server/auth/saml2/callback. |
| Identifier Format | Požadovaný formát NameID. Nepovinné. |
| Idp Cert | Povinné. Podpisový certifikát poskytovatele identity, případně více certifikátů nebo adresa metadat, ze kterých se certifikát načte. Záložkami nad polem volíte, v jaké podobě certifikát zadáte. |
| Want Authn Response Signed | Vyžaduje podepsanou odpověď. Výchozí zapnuto. |
| Want Assertions Signed | Vyžaduje podepsaná tvrzení (assertions). Výchozí zapnuto. |
| Cert | Certifikát nebo adresa XML metadat, ze kterých se načte Idp Cert. Nepovinné. |
| Cert Path | Cesta k souboru s certifikátem, ze kterého se načte Idp Cert. Nepovinné. |
Kerberos (apacheKerberos)
Přihlášení přes Kerberos na reverzní proxy Apache nebo NGINX, která předá TAS jméno přihlášeného uživatele.
| Pole | K čemu slouží |
|---|---|
| Auth Url | Povinné. Adresa chráněná Kerberosem, na kterou TAS uživatele přesměruje. Výchozí ${host}/kerberos. |
| Login Suffix | Přípona domény, kterou TAS odstraní ze jména předaného proxy, aby získal přihlašovací jméno. |
| Post Auth Instructions | Skript, který určí uživatele TAS. Výchozí skript vrátí uživatele předaného proxy. |
Externí autorita (foreign)
Přesměruje uživatele na externí přihlašovací službu.
| Pole | K čemu slouží |
|---|---|
| Url | Povinné. Adresa externí služby, na kterou se uživatel přesměruje. |
NFC (nfc)
Přihlášení přiložením NFC karty nebo zařízení ke čtečce. Modul lze uložit jen se zapnutou čtečkou NFC v Konfiguraci (featureFlag.nfcReaderEnabled).
| Pole | K čemu slouží |
|---|---|
| Post Auth Instructions | Povinné. Skript, který z dat karty najde nebo založí uživatele. Dostane sériové číslo karty (UID) a textový záznam z karty. Výchozí skript hledá uživatele podle sériového čísla. |
| Instruction | Výzva, kterou uživatel vidí u čtečky, zvlášť pro každý jazyk. Klíč je kód jazyka (cs, en, de…), hodnota je text. Řádky přidáte tlačítkem Add a odeberete košem. |
Import / Export
Tlačítkem Import / Export v okně modulu zobrazíte celé aktuální nastavení modulu (název, typ, zaškrtávací pole, barvu i parametry) jako JSON.
- Kopírovat zkopíruje JSON do schránky.
- Import načte upravený nebo vložený JSON zpět do okna modulu. Nic se tím neukládá, nastavení uložíte až tlačítkem Uložit a zavřít. Neplatný JSON TAS odmítne s hláškou Neplatný formát JSON.
- Zavřít okno zavře beze změny.
JSON obsahuje všechny parametry včetně hesel a tajných hodnot (například heslo účtu LDAP). Neposílejte ho e-mailem ani ho nikam neukládejte bez zabezpečení.
Zavření bez uložení
Když okno zavřete s neuloženými změnami, TAS se zeptá Uložit provedené změny?
Potvrdit změny uloží, Ne okno zavře a změny zahodí.
Test modulu
Tlačítko Test v řádku modulu modul vyzkouší a odpověď ukáže v okně Test.
| Modul | Co test ukáže |
|---|---|
| password, nfc, apacheKerberos | Prázdnou odpověď {}. Test u nich nic neověřuje. |
| ldap | Připojí se k adresáři a ukáže počet nalezených uživatelů, seznam atributů a ukázku jednoho záznamu z adresáře. Ověříte tak připojení i nastavení vyhledávání. |
| azureAd, saml2, foreign | Adresu, na kterou by byl uživatel při přihlášení přesměrován. |
Když test selže, okno ukáže chybovou zprávu, například nedostupný server LDAP.
Výsledek testu LDAP obsahuje údaje skutečného uživatele z adresáře. Nesdílejte ho.
Jak přidat modul autentizace
- Klepněte na Přidat.
- Vyplňte Název. U modulů s tlačítkem je to text tlačítka na přihlašovací stránce.
- Vyberte Modul.
- Nastavte Aktivní, Viditelné a případně Synchronizace a Barva přihlašovacího tlačítka.
- Vyplňte parametry. Výchozí vzorové hodnoty nahraďte skutečnými.
- Klepněte na Uložit a zavřít. Nový modul se zařadí na konec seznamu.
- Klepněte u modulu na Test a ověřte nastavení.
- Přetažením řádku nastavte pořadí.
Související: Licence, Trezor, Přístup k API, Konfigurace, Crony, Přihlášení a odhlášení
