Cum să activezi autentificarea și protecția prin parolă în Jitsi Meet

Jitsi Meet are două controale de protecție separate: autentificarea serverului decide cine poate crea o întâlnire, în timp ce o parolă a camerei împiedică persoanele care nu cunosc parola să se alăture acelei camere. Acestea rezolvă probleme diferite. Pe un server auto-găzduit, configurația mai veche de „domeniu securizat” Prosody poate necesita un nume de utilizator și o parolă pentru a crea camere, permițând în același timp oaspeților să se alăture. Manualul actual al Jitsi marchează acum această metodă ca fiind depreciată pentru instalările noi și recomandă în schimb autentificarea bazată pe token-uri. Administratorii existenți pot utiliza procedura de mai jos ca ghid de compatibilitate, dar ar trebui să planifice noile implementări în jurul unei configurații de token-uri sau furnizor de identitate acceptate.

Parolele pentru săli sunt o funcție separată, utilizată în cadrul întâlnirii, și rămân utile alături de autentificarea pe server. Setați o parolă după ce sala a început, partajați-o printr-un canal privat și testați fluxul de intrare dintr-un al doilea browser înainte de a invita participanți.

De ce fel de protecție ai nevoie?

Pentru o întâlnire mică, un nume unic de sală plus o parolă de sală pot fi suficiente. Pentru o organizație care necesită crearea de săli bazate pe cont, configurați și autentificarea serverului. Pentru implementările noi auto-găzduite, consultați ghidul de autentificare actual al Jitsi și configurația relevantă de autentificare prin token înainte de a alege o implementare.

Cum protejezi cu parolă o cameră Jitsi?

Începeți întâlnirea, deschideți meniul de securitate sau opțiuni pentru întâlnire din bara de instrumente, alegeți acțiunea parolă și introduceți o parolă pentru camera securizată. Eticheta și pictograma meniului pot varia în funcție de versiunea clientului. Dacă întâlnirea este deja în desfășurare, setarea unei parole afectează intrările viitoare; persoanele care au intrat deja nu sunt eliminate automat. Trimiteți parola separat de linkul întâlnirii atunci când confidențialitatea este importantă.

Întrebările frecvente Jitsi explică faptul că parola unei săli este eliminată la încheierea întâlnirii, așadar nu ar trebui să se presupună că întâlnirile recurente o păstrează. Setați-o din nou pentru fiecare întâlnire nouă și verificați comportamentul în propria implementare. Oricine primește sau este redirecționată parola poate avea acces, așadar o parolă nu este același lucru cu o listă de acces cu utilizatori numiți. Consultați Întrebările frecvente oficiale Jitsi despre protecția întâlnirilor .

Ce schimbă autentificarea serverului?

În designul clasic de „domeniu securizat”, Prosody autentifică creatorii de săli în funcție de conturile locale. Jitsi permite apoi participanților neautentificați să se conecteze printr-un domeniu de oaspete. Acest lucru este util atunci când doar personalul ar trebui să pornească săli, dar participanții nu ar trebui să aibă nevoie de conturi. Nu obligă fiecare participant să se conecteze. Dacă fiecare utilizator trebuie să se autentifice, accesul oaspetelui trebuie dezactivat sau înlocuit de politica de identitate și acces utilizată de designul actual de autentificare.

Documentația Jitsi etichetează această metodă mai veche de domeniu securizat ca fiind depreciată pentru instalările noi. Continuați numai dacă înțelegeți această limitare și mențineți un server existent compatibil. Înainte de editare, identificați modul în care a fost instalat Jitsi, notați numele de gazdă Jitsi Meet, faceți o copie de rezervă a fișierelor de configurare Prosody, Jicofo și web și păstrați disponibilă o sesiune sau o consolă de administrator activă în cazul în care o eroare de sintaxă întrerupe serviciul.

Cum activezi configurarea domeniului securizat legacy pe o instalare de pachete Debian sau Ubuntu?

1. Schimbați gazdele virtuale Prosody

Deschideți fișierul Prosody pentru numele de gazdă Jitsi, în mod normal /etc/prosody/conf.avail/jitsi.example.com.cfg.lua. Înlocuiți numele de gazdă exemplu de mai jos cu domeniul real. În gazda virtuală principală, schimbați modul de autentificare la parole interne hash. Adăugați gazda virtuală guest după ea:

VirtualHost "jitsi.example.com"
    authentication = "internal_hashed"

VirtualHost "guest.jitsi.example.com"
    authentication = "jitsi-anonymous"
    c2s_require_encryption = false

Păstrați celelalte opțiuni și module existente. Nu creați înregistrări DNS sau un certificat public pentru guest.jitsi.example.com; în această configurație este un domeniu Jitsi intern.

2. Informați clientul web despre domeniul invitat

Deschideți /etc/jitsi/meet/jitsi.example.com-config.jsși adăugați anonymousdomainîn interiorul obiectului existent hosts. Păstrați intrările existente domainși celelalte și verificați cu atenție virgulele:

hosts: {
    domain: 'jitsi.example.com',
    anonymousdomain: 'guest.jitsi.example.com'
},

3. Activați autentificarea în Jicofo

Editare /etc/jitsi/jicofo/jicofo.conf. Adăugați setările de autentificare în jicofoblocul existent; nu creați un bloc de nivel superior duplicat:

jicofo {
  authentication {
    enabled = true
    type = XMPP
    login-url = "jitsi.example.com"
  }
}

Dacă fișierul are deja o jicofosecțiune, îmbinați aceste proprietăți în acesta. Sintaxa de configurare și fișierele generate pot diferi în funcție de versiunea pachetului, așadar comparați rezultatul cu pagina curentă a manualului pentru instalare înainte de a reporni serviciile.

4. Reporniți serviciile și creați un cont

După verificarea modificărilor, reporniți serviciile ca administrator:

sudo systemctl restart prosody
sudo systemctl restart jicofo
sudo systemctl restart jitsi-videobridge2

Înregistrează un cont de creator de camere în Prosody. Înlocuiește provizoriile; nu folosește niciodată domeniul exemplu sau o parolă slabă pe un server live:

sudo prosodyctl register <username> jitsi.example.com <strong-password>

Fiecare cont este asociat cu numele de gazdă Jitsi. Creați conturi individuale în loc să partajați o singură acreditare de administrator dacă trebuie să revocați accesul ulterior. Documentația Jitsi pentru domeniul securizat listează căile de configurare specifice pachetului și comanda de înregistrare. De asemenea, precizează în mod explicit că metoda este depreciată.

Cum diferă configurația în Docker?

Nu editați fișierele din interiorul containerelor care rulează și nu copiați căile pachetelor Debian într-o implementare Docker. În configurarea oficială Docker Compose, autentificarea este configurată prin fișierul de mediu al implementării. Manualul documentează aceste valori relevante pentru autentificarea contului intern:

ENABLE_AUTH=1
ENABLE_GUESTS=1
AUTH_TYPE=internal

Păstrați accesul invitaților activat dacă participanții ar trebui să se poată alătura fără propriile conturi. Cu accesul invitaților activat, utilizatorii neautentificați se pot alătura în funcție de comportamentul configurat al invitaților; aceștia nu devin creatori autentificați ai sălii. Aplicați modificările de mediu utilizând fluxul de lucru Compose pentru implementarea dvs. și inspectați jurnalele dacă serviciile nu apar corect.

Creați un utilizator intern prin intermediul serviciului Prosody, în loc să modificați configurația containerului generat. Manualul oficial arată deschiderea unui shell în containerul Prosody și înregistrarea unui utilizator cu prosodyctl. Calea de configurare și domeniul XMPP depind de versiunea Compose; în imaginea Docker documentată, configurația Prosody se află sub /config/prosody.cfg.lua, iar exemplul de domeniu XMPP este meet.jitsi. Utilizați comanda și valorile exacte documentate pentru versiunea extrasă. Consultați ghidul oficial de auto-găzduire Docker pentru variabilele de mediu, crearea contului și comportamentul configurației generate.

Cum poți confirma că protecția funcționează?

• Deschide o fereastră privată a browserului și încearcă să creezi o cameră nouă. Configurarea clasică ar trebui să solicite datele de autentificare ale contului.
• Conectați-vă cu noul cont și creați o sală. Confirmați că întâlnirea se încarcă și că gazda are controalele de moderator necesare.
• Dintr-un alt browser, alătură-te ca invitat. Dacă este activată opțiunea de invitat, alăturarea ar trebui să funcționeze fără un cont de creator; adaugă parola camerei sau parola de la lobby atunci când ai nevoie de o verificare suplimentară a accesului.
• Setează o parolă pentru cameră, apoi încearcă să te alături dintr-o fereastră privată nouă, fără și cu ea. Confirmă că un participant aflat deja în cameră rămâne conectat atunci când parola este setată.
• Deschide o cameră nouă după încheierea întâlnirii de test și verifică dacă parola trebuie setată din nou, așa cum este descris în Întrebările frecvente Jitsi.

Dacă solicitarea de conectare nu apare niciodată, verificați numele de gazdă Prosody, blocul Jicofo, anonymousdomainvaloarea clientului și jurnalele de servicii. O eroare de configurare frecventă este utilizarea unui domeniu invitat care nu se potrivește între Prosody și config.jssau adăugarea unui al doilea bloc Jicofo în loc de extinderea celui existent. Dacă invitații nu se pot alătura, verificați dacă accesul invitaților a fost activat intenționat și dacă domeniul invitat configurat se potrivește cu numele de gazdă principal.

Ce ar trebui să alegi pentru o instalație nouă?

Nu începeți o implementare nouă cu rețeta depreciată pentru domeniul securizat, decât dacă aveți un motiv specific de compatibilitate. Materialul actual de auto-găzduire Jitsi recomandă autentificarea cu token-uri pentru instalările noi, în timp ce ghidul său mai amplu de autentificare documentează integrarea mai nouă a furnizorului de identitate. Aceste abordări necesită o configurație suplimentară a emitentului, semnăturii sau furnizorului de identitate; acestea nu sunt interschimbabile cu o parolă de sală Prosody. Alegeți modelul care corespunde cerințelor dvs., apoi utilizați parolele de sală sau o cameră de așteptare ca și controale separate la nivel de întâlnire, acolo unde este cazul.

Pe scurt: folosește autentificarea prin cont sau token pentru a controla cine poate crea camere și setează o parolă pentru cameră pentru a restricționa accesul ulterioar la persoanele care cunosc secretul. Testează ambele căi independent, deoarece activarea uneia nu o activează automat pe cealaltă.

Referințe oficiale

• Întâlnire Jitsi: Autentificare
• Jitsi Meet: Configurare securizată a domeniului (depreciat)
• Jitsi Meet: Autentificare prin tokenuri
• Jitsi Meet: Ghid de auto-găzduire Docker
• Jitsi Meet: Întrebări frecvente și protecția întâlnirilor