วิธีเปิดใช้งานการตรวจสอบสิทธิ์และการป้องกันด้วยรหัสผ่านใน Jitsi Meet

Jitsi Meet มีระบบควบคุมการป้องกันสองแบบแยกกัน: การตรวจสอบสิทธิ์เซิร์ฟเวอร์จะกำหนดว่าใครสามารถสร้างการประชุมได้ ในขณะที่รหัสผ่านห้องจะบล็อกไม่ให้ผู้ที่ไม่ทราบรหัสผ่านเข้าร่วมห้องนั้น ระบบทั้งสองแก้ปัญหาที่แตกต่างกัน บนเซิร์ฟเวอร์ที่โฮสต์เอง การตั้งค่า "โดเมนที่ปลอดภัย" ของ Prosody แบบเก่าอาจกำหนดให้ต้องใช้ชื่อผู้ใช้และรหัสผ่านในการสร้างห้อง ในขณะที่ยังคงอนุญาตให้แขกเข้าร่วมได้ คู่มือปัจจุบันของ Jitsi ระบุว่าวิธีการดังกล่าวล้าสมัยสำหรับการติดตั้งใหม่ และแนะนำให้ใช้การตรวจสอบสิทธิ์แบบใช้โทเค็นแทน ผู้ดูแลระบบที่มีอยู่สามารถใช้ขั้นตอนด้านล่างเป็นแนวทางในการใช้งานร่วมกันได้ แต่ควรวางแผนการใช้งานใหม่โดยใช้โทเค็นหรือการตั้งค่าผู้ให้บริการข้อมูลประจำตัวที่รองรับ

รหัสผ่านห้องประชุมเป็นฟีเจอร์แยกต่างหากที่ใช้ภายในโปรแกรมประชุม และยังคงมีประโยชน์ควบคู่ไปกับการตรวจสอบสิทธิ์เซิร์ฟเวอร์ ตั้งรหัสผ่านหลังจากที่ห้องประชุมเริ่มต้นแล้ว แชร์รหัสผ่านผ่านช่องทางส่วนตัว และทดสอบขั้นตอนการเข้าร่วมจากเบราว์เซอร์ที่สองก่อนที่จะเชิญผู้เข้าร่วม

คุณต้องการการป้องกันแบบไหน?

สำหรับการประชุมขนาดเล็ก ชื่อห้องที่ไม่ซ้ำกันและรหัสผ่านห้องอาจเพียงพอแล้ว แต่สำหรับองค์กรที่ต้องการสร้างห้องโดยใช้บัญชีผู้ใช้ ควรตั้งค่าการตรวจสอบสิทธิ์เซิร์ฟเวอร์เพิ่มเติมด้วย สำหรับการติดตั้งใช้งานแบบโฮสต์เองใหม่ ควรตรวจสอบคู่มือการตรวจสอบสิทธิ์ ปัจจุบันของ Jitsi และการตั้งค่าการตรวจสอบสิทธิ์โทเค็นที่เกี่ยวข้องก่อนเลือกวิธีการใช้งาน

คุณจะตั้งรหัสผ่านป้องกันห้อง Jitsi ห้องเดียวได้อย่างไร?

เริ่มการประชุม เปิดเมนูความปลอดภัยหรือตัวเลือกการประชุมในแถบเครื่องมือ เลือกการดำเนินการรหัสผ่าน และป้อนรหัสผ่านห้องประชุมที่ปลอดภัย ป้ายกำกับเมนูและไอคอนอาจแตกต่างกันไปตามเวอร์ชันของไคลเอนต์ หากการประชุมกำลังดำเนินอยู่ การตั้งรหัสผ่านจะมีผลต่อการเข้าร่วมในอนาคต ผู้ที่เข้าร่วมแล้วจะไม่ถูกตัดออกโดยอัตโนมัติ ส่งรหัสผ่านแยกต่างหากจากลิงก์การประชุมเมื่อความลับมีความสำคัญ

คำถามที่พบบ่อยของ Jitsi อธิบายว่ารหัสผ่านห้องประชุมจะถูกลบออกเมื่อการประชุมสิ้นสุดลง ดังนั้นจึงไม่ควรคิดว่าการประชุมที่เกิดขึ้นซ้ำๆ จะยังคงเก็บรหัสผ่านไว้ ควรตั้งรหัสผ่านใหม่สำหรับการประชุมแต่ละครั้ง และตรวจสอบพฤติกรรมในการใช้งานของคุณเอง ใครก็ตามที่ได้รับหรือส่งต่อรหัสผ่านอาจสามารถเข้าห้องประชุมได้ ดังนั้นรหัสผ่านจึงไม่เหมือนกับรายชื่อผู้ใช้ที่มีสิทธิ์เข้าถึง โปรดดูคำถามที่พบบ่อยอย่างเป็นทางการของJitsi เกี่ยวกับการปกป้องการประชุม

การตรวจสอบสิทธิ์เซิร์ฟเวอร์เปลี่ยนแปลงอะไรบ้าง?

ในการออกแบบ "โดเมนที่ปลอดภัย" แบบคลาสสิก Prosody จะตรวจสอบสิทธิ์ผู้สร้างห้องโดยใช้บัญชีภายในเครื่อง จากนั้น Jitsi จะอนุญาตให้ผู้เข้าร่วมที่ยังไม่ได้ตรวจสอบสิทธิ์เชื่อมต่อผ่านโดเมนสำหรับแขก ซึ่งมีประโยชน์เมื่อเฉพาะเจ้าหน้าที่เท่านั้นที่ควรสร้างห้อง แต่ผู้เข้าร่วมไม่จำเป็นต้องมีบัญชี วิธีนี้ไม่ได้บังคับให้ผู้เข้าร่วมทุกคนลงชื่อเข้าใช้ หากผู้ใช้ทุกคนต้องตรวจสอบสิทธิ์ การเข้าถึงสำหรับแขกจะต้องถูกปิดใช้งานหรือแทนที่ด้วยนโยบายการระบุตัวตนและการเข้าถึงที่ใช้โดยการออกแบบการตรวจสอบสิทธิ์ปัจจุบันของคุณ

เอกสารของ Jitsi ระบุว่าวิธีการสร้างโดเมนที่ปลอดภัยแบบเก่านี้ไม่เหมาะสมสำหรับการติดตั้งใหม่ ดำเนินการต่อเฉพาะเมื่อคุณเข้าใจข้อจำกัดนั้นและกำลังดูแลรักษาเซิร์ฟเวอร์ที่มีอยู่ให้ใช้งานร่วมกันได้ ก่อนทำการแก้ไข ให้ระบุวิธีการติดตั้ง Jitsi จดบันทึกชื่อโฮสต์ของ Jitsi Meet สำรองไฟล์การกำหนดค่า Prosody, Jicofo และเว็บ และเตรียมเซสชันผู้ดูแลระบบหรือคอนโซลที่ใช้งานอยู่ให้พร้อมใช้งานในกรณีที่ข้อผิดพลาดทางไวยากรณ์ทำให้บริการหยุดชะงัก

จะเปิดใช้งานการตั้งค่าโดเมนที่ปลอดภัยแบบเดิมในการติดตั้งแพ็กเกจ Debian หรือ Ubuntu ได้อย่างไร?

1. เปลี่ยนแปลงโฮสต์เสมือนของ Prosody

เปิดไฟล์ Prosody สำหรับชื่อโฮสต์ Jitsi ของคุณตามปกติ/etc/prosody/conf.avail/jitsi.example.com.cfg.luaแทนที่ชื่อโฮสต์ตัวอย่างด้านล่างด้วยโดเมนจริง ในโฮสต์เสมือนหลัก ให้เปลี่ยนโหมดการตรวจสอบสิทธิ์เป็นรหัสผ่านภายในแบบแฮช จากนั้นเพิ่มโฮสต์เสมือนสำหรับแขกต่อท้าย:

VirtualHost "jitsi.example.com"
    authentication = "internal_hashed"

VirtualHost "guest.jitsi.example.com"
    authentication = "jitsi-anonymous"
    c2s_require_encryption = false

รักษาตัวเลือกและโมดูลอื่นๆ ที่มีอยู่เดิมไว้ อย่าสร้างระเบียน DNS หรือใบรับรองสาธารณะสำหรับguest.jitsi.example.comโดเมนนี้ เนื่องจากในการกำหนดค่านี้เป็นโดเมนภายในของ Jitsi

2. แจ้งให้เว็บไคลเอ็นต์ทราบเกี่ยวกับโดเมนของผู้ใช้งาน

เปิด/etc/jitsi/meet/jitsi.example.com-config.jsและเพิ่มข้อมูลanonymousdomainภายในhostsวัตถุที่มีอยู่แล้ว คงไว้ซึ่งข้อมูลเดิมdomainและข้อมูลอื่นๆ และตรวจสอบเครื่องหมายจุลภาคอย่างระมัดระวัง:

hosts: {
    domain: 'jitsi.example.com',
    anonymousdomain: 'guest.jitsi.example.com'
},

3. เปิดใช้งานการตรวจสอบสิทธิ์ใน Jicofo

แก้ไข/etc/jitsi/jicofo/jicofo.conf. เพิ่มการตั้งค่าการตรวจสอบสิทธิ์ลงในjicofoบล็อกที่มีอยู่แล้ว อย่าสร้างบล็อกระดับบนสุดซ้ำซ้อน:

jicofo {
  authentication {
    enabled = true
    type = XMPP
    login-url = "jitsi.example.com"
  }
}

หากไฟล์มีjicofoส่วนอยู่แล้ว ให้รวมคุณสมบัติเหล่านี้เข้าไปในส่วนนั้น ไวยากรณ์การกำหนดค่าและไฟล์ที่สร้างขึ้นอาจแตกต่างกันไปตามเวอร์ชันของแพ็กเกจ ดังนั้นให้เปรียบเทียบผลลัพธ์กับหน้าคู่มือฉบับปัจจุบันสำหรับการติดตั้งของคุณก่อนที่จะรีสตาร์ทบริการ

4. รีสตาร์ทบริการและสร้างบัญชีผู้ใช้

หลังจากตรวจสอบการแก้ไขแล้ว ให้รีสตาร์ทบริการในฐานะผู้ดูแลระบบ:

sudo systemctl restart prosody
sudo systemctl restart jicofo
sudo systemctl restart jitsi-videobridge2

ลงทะเบียนบัญชีผู้สร้างห้องใน Prosody แทนที่ตัวยึดตำแหน่งด้วยชื่อโดเมนตัวอย่างหรือรหัสผ่านที่ไม่รัดกุมบนเซิร์ฟเวอร์จริง:

sudo prosodyctl register <username> jitsi.example.com <strong-password>

แต่ละบัญชีจะเชื่อมโยงกับชื่อโฮสต์ของ Jitsi ควรสร้างบัญชีแยกต่างหากแทนที่จะใช้ข้อมูลประจำตัวผู้ดูแลระบบร่วมกันเพียงชุดเดียว หากคุณต้องการยกเลิกการเข้าถึงในภายหลังเอกสารเกี่ยวกับโดเมนที่ปลอดภัย ของ Jitsi จะแสดงเส้นทางการกำหนดค่าเฉพาะแพ็กเกจและคำสั่งการลงทะเบียน นอกจากนี้ยังระบุไว้อย่างชัดเจนว่าวิธีการนี้ล้าสมัยแล้ว

การตั้งค่าใน Docker แตกต่างจากใน Docker อย่างไร?

ห้ามแก้ไขไฟล์ภายในคอนเทนเนอร์ที่กำลังทำงานอยู่ หรือคัดลอกพาธของแพ็กเกจ Debian ลงในการใช้งาน Docker ในการตั้งค่า Docker Compose อย่างเป็นทางการ การตรวจสอบสิทธิ์จะถูกกำหนดค่าผ่านไฟล์สภาพแวดล้อมของการใช้งาน คู่มือนี้ได้ระบุค่าที่เกี่ยวข้องเหล่านี้สำหรับการตรวจสอบสิทธิ์บัญชีภายใน:

ENABLE_AUTH=1
ENABLE_GUESTS=1
AUTH_TYPE=internal

หากต้องการให้ผู้เข้าร่วมสามารถเข้าร่วมได้โดยไม่ต้องมีบัญชีของตนเอง ให้เปิดใช้งานการเข้าถึงสำหรับแขกไว้ เมื่อเปิดใช้งานการเข้าถึงสำหรับแขกแล้ว ผู้ใช้ที่ไม่ได้รับการตรวจสอบสิทธิ์สามารถเข้าร่วมได้ตามพฤติกรรมของแขกที่กำหนดไว้ พวกเขาจะไม่กลายเป็นผู้สร้างห้องที่ได้รับการตรวจสอบสิทธิ์ ใช้เวิร์กโฟลว์ Compose สำหรับการปรับใช้ของคุณ และทำการเปลี่ยนแปลงสภาพแวดล้อม และตรวจสอบบันทึกหากบริการไม่เริ่มต้นทำงานอย่างราบรื่น

สร้างผู้ใช้ภายในผ่านบริการ Prosody แทนการแก้ไขการกำหนดค่าคอนเทนเนอร์ที่สร้างขึ้น คู่มืออย่างเป็นทางการแสดงวิธีการเปิดเชลล์ในคอนเทนเนอร์ Prosody และลงทะเบียนผู้ใช้ด้วย `<username>` prosodyctlเส้นทางการกำหนดค่าและโดเมน XMPP ขึ้นอยู่กับเวอร์ชันของ Compose ในอิมเมจ Docker ที่ระบุไว้ในเอกสาร การกำหนดค่า Prosody จะอยู่ภายใต้ `<username>` /config/prosody.cfg.luaและโดเมน XMPP ตัวอย่างคือ `<username>` meet.jitsiใช้คำสั่งและค่าที่ระบุไว้ในเอกสารสำหรับเวอร์ชันที่คุณดาวน์โหลดอย่างถูกต้อง ดูคู่มือการโฮสต์ด้วยตนเองของ Docker อย่างเป็นทางการ สำหรับตัวแปรสภาพแวดล้อม การสร้างบัญชี และพฤติกรรมการกำหนดค่าที่สร้างขึ้น

คุณจะยืนยันได้อย่างไรว่าระบบป้องกันทำงานได้ผล?

• เปิดหน้าต่างเบราว์เซอร์แบบส่วนตัว แล้วลองสร้างห้องใหม่ การตั้งค่าแบบคลาสสิกจะแจ้งให้ป้อนข้อมูลประจำตัวบัญชี
• ลงชื่อเข้าใช้ด้วยบัญชีใหม่และสร้างห้องประชุม ตรวจสอบว่าการประชุมโหลดเสร็จสมบูรณ์และโฮสต์มีสิทธิ์ควบคุมการดูแลระบบตามที่คาดหวังไว้
• จากเบราว์เซอร์อื่น ให้เข้าร่วมในฐานะแขก หากเปิดใช้งานการเป็นแขก การเข้าร่วมควรทำได้โดยไม่ต้องมีบัญชีผู้สร้าง เพิ่มรหัสผ่านห้องหรือล็อบบี้เมื่อคุณต้องการตรวจสอบการเข้าห้องเพิ่มเติม
• ตั้งรหัสผ่านห้อง จากนั้นลองเข้าร่วมจากหน้าต่างส่วนตัวใหม่โดยไม่ตั้งรหัสผ่านและตั้งรหัสผ่าน ตรวจสอบให้แน่ใจว่าผู้เข้าร่วมที่อยู่ในห้องอยู่แล้วยังคงเชื่อมต่ออยู่เมื่อตั้งรหัสผ่านแล้ว
• หลังจากสิ้นสุดการประชุมทดสอบแล้ว ให้เริ่มห้องใหม่และตรวจสอบว่าต้องตั้งรหัสผ่านอีกครั้งหรือไม่ ตามที่อธิบายไว้ในคำถามที่พบบ่อยของ Jitsi

หากไม่ปรากฏหน้าจอให้ลงชื่อเข้าใช้ ให้ตรวจสอบชื่อโฮสต์ Prosody, บล็อก Jicofo, anonymousdomainค่าไคลเอ็นต์ และบันทึกการบริการ ข้อผิดพลาดในการกำหนดค่าที่พบบ่อยคือการใช้โดเมนผู้เยี่ยมชมที่ไม่ตรงกันระหว่าง Prosody และconfig.jsหรือการเพิ่มบล็อก Jicofo ตัวที่สองแทนที่จะขยายบล็อกที่มีอยู่ หากผู้เยี่ยมชมไม่สามารถเข้าร่วมได้ ให้ตรวจสอบว่าได้เปิดใช้งานการเข้าถึงของผู้เยี่ยมชมโดยตั้งใจ และโดเมนผู้เยี่ยมชมที่กำหนดค่าไว้ตรงกับชื่อโฮสต์หลัก

คุณควรเลือกอะไรสำหรับการติดตั้งใหม่?

อย่าเริ่มต้นการติดตั้งใหม่ด้วยสูตร secure-domain ที่ล้าสมัย เว้นแต่คุณจะมีเหตุผลด้านความเข้ากันได้ที่เฉพาะเจาะจง เอกสารการโฮสต์ด้วยตนเองในปัจจุบันของ Jitsi แนะนำให้ใช้การตรวจสอบสิทธิ์ด้วยโทเค็นสำหรับการติดตั้งใหม่ ในขณะที่คู่มือการตรวจสอบสิทธิ์ที่ครอบคลุมกว่านั้นจะกล่าวถึงการผสานรวมผู้ให้บริการข้อมูลประจำตัวรุ่นใหม่กว่า วิธีการเหล่านี้ต้องการการกำหนดค่าผู้ออก การลงนาม หรือผู้ให้บริการข้อมูลประจำตัวเพิ่มเติม และไม่สามารถใช้แทนกันได้กับรหัสผ่านห้องประชุมของ Prosody เลือกรูปแบบที่ตรงกับความต้องการของคุณ จากนั้นใช้รหัสผ่านห้องประชุมหรือล็อบบี้เป็นตัวควบคุมระดับการประชุมแยกต่างหากตามความเหมาะสม

โดยสรุป: ใช้การตรวจสอบสิทธิ์ด้วยบัญชีหรือโทเค็นเพื่อควบคุมว่าใครสามารถสร้างห้องได้ และตั้งรหัสผ่านห้องเพื่อจำกัดการเข้าร่วมในภายหลังเฉพาะผู้ที่รู้รหัสลับเท่านั้น ทดสอบทั้งสองวิธีแยกจากกัน เพราะการเปิดใช้งานวิธีหนึ่งไม่ได้หมายความว่าอีกวิธีหนึ่งจะเปิดใช้งานโดยอัตโนมัติ

เอกสารอ้างอิงอย่างเป็นทางการ

• Jitsi Meet: การตรวจสอบสิทธิ์
• Jitsi Meet: การตั้งค่าโดเมนที่ปลอดภัย (เลิกใช้งานแล้ว)
• Jitsi Meet: การตรวจสอบสิทธิ์ด้วยโทเค็น
• คู่มือการใช้งาน Docker สำหรับการโฮสต์ Jitsi Meet ด้วยตนเอง
• Jitsi Meet: คำถามที่พบบ่อยและการปกป้องการประชุม