Connexion par mot de passe et verrouillage

Sous Admin › Settings › Authentication › Password sign-in, root choisit qui peut encore se connecter avec un mot de passe :

• Everyone (par défaut) : la page de connexion a le formulaire de mot de passe, et les boutons des fournisseurs en dessous.
• Root only : les boutons viennent d'abord, et le formulaire de mot de passe est derrière Use your password (root). Toute personne autre que root qui tape son mot de passe reçoit l'habituel « Email or password is wrong », et rmk login avec un mot de passe répond password_sign_in_disabled et continue dans le navigateur (Se connecter par le navigateur).

Root only ne peut être choisi que pendant qu'un fournisseur est activé et a réussi son test, et vous demande de confirmer combien de personnes perdent leur connexion par mot de passe. Ce choix ne tient que pendant qu'un fournisseur est activé : quand tous les fournisseurs sont désactivés, tout le monde peut de nouveau utiliser son mot de passe.

Root peut toujours se connecter avec un mot de passe, quel que soit le choix, pour qu'un fournisseur en panne ne puisse pas bloquer l'accès à tout le monde. Quand un fournisseur tombe en panne ou n'est plus fiable, lancez disable-sso sur le serveur :

• Docker : docker compose exec web pnpm run disable-sso
• Un service Linux ou macOS : sudo rmk-server disable-sso
• npm : rmk-server disable-sso; un clone : pnpm run disable-sso

La commande désactive tous les fournisseurs, ainsi que leur SCIM, et permet de nouveau à tout le monde de se connecter avec un mot de passe, après avoir demandé (--yes ne demande pas). Personne n'est déconnecté, et les fournisseurs gardent leurs réglages, leurs liens, leurs jetons SCIM et leurs appartenances aux groupes, pour être réactivés une fois réparés. Les personnes qui se connectent seulement par un fournisseur ne peuvent pas se connecter tant qu'un fournisseur n'est pas réactivé, ou que root ne leur a pas défini un mot de passe dans Utilisateurs.

rotate-secret chiffre de nouveau les secrets client des fournisseurs avec le nouvel AUTH_SECRET; ils continuent donc de fonctionner. Les jetons SCIM sont conservés sous forme de hachages : ils ne sont pas touchés. revoke-access --everyone révoque les jetons SCIM avec les jetons d'accès de tout le monde : générez-en de nouveaux ensuite. Une sauvegarde restaurée avec un autre AUTH_SECRET ne peut pas lire les secrets client : le fournisseur affiche Failing avec « Enter the client secret again » (Restaurer).