ความปลอดภัย
ตำแหน่งในหน้าผู้ดูแลระบบ: System › Admin › Console security (
/account), Admin users (/users); System › Settings › Customer logins (/settings/login)
คอนโซลผู้ดูแล
การยืนยันตัวตนแบบสองขั้นตอน (TOTP)
คอนโซลสามารถเข้าถึงได้จากอินเทอร์เน็ต ดังนั้นโปรดเปิดใช้งาน TOTP
- เปิด System › Admin › Console security
- ภายใต้หัวข้อ Two-factor authentication (TOTP) ให้คลิก Start setup
- สแกน QR code ด้วย Google Authenticator, Authy, 1Password หรือ Bitwarden จากนั้นป้อนรหัส 6 หลัก
ช่วง IP ของคอนโซลที่ได้รับอนุญาต
ภายใต้ Allowed console IP ranges ให้ป้อนหนึ่ง IP หรือ CIDR (IPv4 หรือ IPv6) ต่อบรรทัด หากเว้นว่างไว้จะหมายถึงจากทุกที่ นอกเหนือจากช่วงดังกล่าว ทั้งการเข้าสู่ระบบและ Admin API จะถูกบล็อก
ระวังการถูกล็อกออกจากระบบ
หน้านี้จะแสดง IP ปัจจุบันของคุณและกำหนดให้รายการใหม่ต้องรวม IP นี้ด้วย ให้ใช้ + Add my IP หากคุณถูกล็อกออกจากระบบ ให้ใช้ emergency access จากเซิร์ฟเวอร์
เปลี่ยนรหัสผ่าน
กรอก Current password, New password และ Confirm new password ใช้รหัสผ่านที่คาดเดายากและไม่ซ้ำใคร (12 ตัวอักษรขึ้นไป ตัวติดตั้งกำหนดให้ผู้ดูแลระบบคนแรกต้องใช้ 12 ตัวอักษร)
บัญชีผู้ดูแลระบบและบทบาท
เปิด System › Admin › Admin users และใช้ + Create account
| บทบาท | สิทธิ์การเข้าถึง |
|---|---|
admin | เข้าถึง Admin API ได้อย่างเต็มรูปแบบ |
staff | ดูได้อย่างเดียวทั่วทั้งระบบ |
user | ดูทรัพยากรของลูกค้ารายเดียวได้แบบอ่านอย่างเดียว |
บัญชี root คือบัญชีที่สร้างขึ้นใน setup wizard การดำเนินการแถว: Edit, Reset PW, Key, Delete รหัสผ่านจะถูกจัดเก็บในรูปแบบแฮชที่มี salt การเปลี่ยนแปลงหรือล็อกบัญชีจะสิ้นสุดเซสชันนั้นทันที
การเข้าสู่ระบบของลูกค้า
เปิด System › Settings › Customer logins
| การตั้งค่า | What it does |
|---|---|
| Google sign-in | เปิดใช้งาน จากนั้นป้อน OAuth client ID และ secret คัดลอก Callback URL ที่แสดงบนหน้าเว็บไปยัง Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs ใช้ Test configuration |
| GitHub login | เช่นเดียวกัน โดยใช้ GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL |
| Passkey | เข้าสู่ระบบด้วยลายนิ้วมือ PIN หรือฮาร์ดแวร์คีย์ เปิดใช้งานเป็นค่าเริ่มต้น Passkey จะผูกกับโดเมน โดยโดเมนของรี셀เลอร์แต่ละรายจะทำงานแยกกัน ป้อนโดเมนเก่าใน Legacy passkey Domain หลังจากการรีแบรนด์เพื่อให้ลูกค้าได้รับคำแนะนำที่มีประโยชน์ |
| ยืนยันตัวตนอีกครั้งเมื่อเพิ่มวิธีเข้าสู่ระบบ | ขอรหัสผ่านอีกครั้งก่อนเพิ่ม passkey หรือเชื่อมต่อ Google/GitHub (ปิดใช้งานเป็นค่าเริ่มต้น) |
| Captcha | Cloudflare Turnstile หรือ Google reCAPTCHA สำหรับการสมัครใช้งาน: เปิดใช้งาน เลือกผู้ให้บริการ ป้อน site key และ secret key |
| Block e-mail domains | หนึ่งโดเมนต่อบรรทัด (สูงสุด 2000) ที่อยู่อีเมลที่ตรงกันจะถูกปฏิเสธเมื่อสมัครใช้งานพร้อมกับ email_domain_blocked |
นโยบายในตัว
| นโยบาย | ค่า |
|---|---|
| รหัสผ่านลูกค้า | อย่างน้อย 10 ตัวอักษร ประกอบด้วยตัวอักษรและตัวเลข |
| เซสชันลูกค้า | 30 วัน เซสชัน "login as customer" มีอายุ 1 ชั่วโมง |
| การยืนยันอีเมล | จำเป็นต้องทำก่อนสร้าง VM เมื่อเปิดใช้งาน require e-mail verified ในการตั้งค่าการขาย |
| การป้องกันการใช้บัตรเครดิตปลอม | บัญชีที่มีเงินเติมต่ำกว่าขั้นต่ำจะสามารถสร้าง VM ได้จำนวนจำกัดเท่านั้น |
การ hardened เซิร์ฟเวอร์
- พอร์ต 3000 จะถูกปิดหลังจากการติดตั้งและตั้งค่า TLS ดู Installation
- บริการจะทำงานในฐานะผู้ใช้
nexcmpที่ไม่มีสิทธิ์พิเศษ พร้อมระบบ sandboxing ของ systemd ที่ถูกจำกัด - API keys, ข้อมูลรับรองการชำระเงิน และรหัสผ่าน SMTP จะถูกจัดเก็บแบบเข้ารหัส โดย master key จะอยู่ใน
/var/lib/nexcmp/secrets— โปรดปกป้อง backups - รุ่นที่ปล่อยออกมาจะได้รับการตรวจสอบด้วย SHA-256 และลายเซ็น Ed25519 ก่อนการติดตั้ง