Quản trị hệ thống

Quản trị hệ thống ReputeCast bao gồm mọi thứ áp dụng cho toàn bộ máy chủ thay vì cho một không gian làm việc: ai có tài khoản, những không gian làm việc nào tồn tại, mọi người đăng nhập bằng cách nào, URL công khai và các bản cập nhật. Tất cả nằm trong Quản trị hệ thống, nơi chỉ quản trị viên hệ thống mới mở được.

Trước khi bắt đầu

• Bạn cần cờ quản trị viên hệ thống. Chủ sở hữu đầu tiên được tạo lúc cài đặt có cờ này; một quản trị viên hệ thống có thể cấp cờ cho người khác (xem quản lý người dùng), và reputecast user make-admin cấp cờ từ máy chủ (khôi phục quyền truy cập từ dòng lệnh).
• Cờ này tách biệt với vai trò trong không gian làm việc: việc biến ai đó thành quản trị viên hệ thống không thay đổi vai trò của họ trong các không gian làm việc, cũng không thêm họ vào không gian làm việc nào. Người không có cờ mà mở trang này sẽ thấy “Chỉ quản trị viên hệ thống mới mở được Quản trị hệ thống”.
• Mở trang từ menu tài khoản ở góc trên bên phải: Quản trị hệ thống. Trang có sáu tab: Người dùng, Không gian làm việc, Xác thực, Nhà cung cấp SSO, Hệ thống và cập nhật và Nhật ký kiểm tra.

Quản lý người dùng

Quản trị hệ thống › , rồi Người dùng liệt kê mọi tài khoản trên hệ thống, với bộ lọc theo không gian làm việc, trạng thái và trạng thái xác thực hai lớp. Bên dưới danh sách, phần tóm tắt chính sách đăng nhập và các sự kiện đăng nhập gần nhất dẫn sang các tab khác. Menu ⋯ của mỗi hàng có các thao tác sau:

Thao tác	Tác dụng
Buộc đăng xuất	Kết thúc mọi phiên của tài khoản.
Đặt lại xác thực hai lớp	Gỡ ứng dụng xác thực và mã khôi phục của người đó; khóa truy cập vẫn giữ nguyên. Yêu cầu nhập lý do (ghi vào nhật ký kiểm tra) và mật khẩu của bạn, bắt đầu lại thời gian gia hạn của chính sách, đăng xuất người đó và gửi thông báo cho họ. Chỉ áp dụng cho tài khoản có ứng dụng xác thực.
Gửi email đặt lại mật khẩu	Gửi email chứa một liên kết dùng một lần, có hiệu lực trong 15 phút, qua luồng Hệ thống. Hiện lệnh CLI để đặt lại hiển thị reputecast user reset-password --email … cho trường hợp chưa có nhà cung cấp nào phục vụ luồng Hệ thống.
Mở khóa đăng nhập	Hiển thị khi tài khoản đang bị khóa sau các lần đăng nhập thất bại; gỡ khóa ngay lập tức.
Đặt làm quản trị viên hệ thống, Gỡ quyền quản trị hệ thống	Cấp hoặc thu hồi cờ quản trị viên hệ thống. Không thể gỡ quản trị viên hệ thống cuối cùng.
Vô hiệu hóa tài khoản	Đăng xuất người đó khỏi mọi không gian làm việc và chặn đăng nhập. Yêu cầu nhập lý do; theo mặc định cũng thu hồi các khóa API và tác tử mà họ đã tạo. Lịch sử, chiến dịch và các mục nhật ký kiểm tra của họ vẫn được giữ.
Kích hoạt lại tài khoản	Cho người đã bị vô hiệu hóa đăng nhập lại và khôi phục các tư cách thành viên không gian làm việc đã bị vô hiệu hóa cùng tài khoản.

Các giới hạn bảo vệ: bạn không thể vô hiệu hóa tài khoản của chính mình, quản trị viên hệ thống cuối cùng, hoặc Chủ sở hữu duy nhất của một không gian làm việc (hãy chuyển quyền sở hữu trong phần cài đặt của không gian làm việc đó trước). ReputeCast không có cách xóa tài khoản hay đổi email của tài khoản từ đây; mỗi người tự đổi email của mình trong Tài khoản và bảo mật.

Quản lý không gian làm việc

Quản trị hệ thống › , rồi Không gian làm việc liệt kê mọi không gian làm việc cùng số thành viên, liên hệ, nhà cung cấp gửi thư và ngày tạo. Danh sách này cũng nằm ở cuối Hệ thống và cập nhật.

1. Để thêm một không gian làm việc, chọn Tạo không gian làm việc, rồi nhập tên (tối đa 80 ký tự), chọn Chủ sở hữu (bất kỳ tài khoản nào đang hoạt động) và múi giờ. Chủ sở hữu sẽ mời những người còn lại.

2. Để xóa một không gian làm việc, chọn Xóa trên hàng của nó và nhập tên không gian làm việc. Các lượt gửi đã lên lịch dừng ngay, và các khóa API cùng tác tử MCP của không gian làm việc ngừng hoạt động. Nếu cần dữ liệu, hãy xuất không gian làm việc trước; hộp thoại có liên kết đến chức năng xuất dành cho thành viên của không gian làm việc.

3. Để khôi phục một không gian làm việc đã xóa, chọn Khôi phục trong vòng 7 ngày. Sau thời gian đó, không gian làm việc bị xóa vĩnh viễn. Danh sách chặn gửi dùng chung, nhật ký kiểm tra và tài khoản của các thành viên vẫn được giữ trong cả hai trường hợp.

Từ danh sách này, bạn chỉ mở được phần cài đặt của một không gian làm việc nếu bạn là thành viên của nó. Xem không gian làm việc để biết mỗi không gian làm việc chứa những gì.

Đặt chính sách đăng nhập

Quản trị hệ thống › , rồi Xác thực chứa chính sách áp dụng cho mọi tài khoản. Chưa có gì được áp dụng cho đến khi bạn chọn Lưu chính sách.

• Trong Phương thức đăng nhập được phép, bật hoặc tắt Email và mật khẩu, Khóa truy cập, Google, Microsoft, GitHub và Đăng nhập một lần (OpenID Connect). ReputeCast không hỗ trợ SAML hay SCIM. Xem đăng nhập bằng Google, Microsoft và GitHub và đăng nhập một lần (SSO) với OIDC.
• Trong Chính sách mật khẩu, đặt độ dài tối thiểu, quy tắc dùng lại các mật khẩu gần đây và việc kiểm tra mật khẩu với các vụ rò rỉ đã biết.
• Trong Bắt buộc xác thực hai lớp, bắt buộc xác thực hai lớp với mọi người, với thành viên có quyền nhạy cảm, hoặc không bắt buộc với ai, và đặt thời gian gia hạn để thiết lập.
• Trong Phiên và khóa đăng nhập, đặt thời hạn phiên, thời gian chờ khi không hoạt động và việc khóa đăng nhập sau các lần nhập sai mật khẩu.
• Trong Danh sách tên miền email được phép tạo tài khoản tự động, liệt kê các tên miền email được tự động tạo tài khoản qua SSO.

ReputeCast từ chối một chính sách sẽ khóa bạn ở ngoài (Thay đổi này sẽ khiến bạn không còn cách nào để đăng nhập. Hãy thêm khóa truy cập hoặc liên kết một cách đăng nhập vẫn được bật, rồi lưu lại.), một chính sách tắt mọi phương thức, và việc tắt đăng nhập một lần trong khi có nhà cung cấp đang bắt buộc SSO cho một tên miền. Thời hạn phiên mới áp dụng cho các phiên bắt đầu sau khi thay đổi; thời gian chờ khi không hoạt động ngắn hơn sẽ áp dụng cho các phiên hiện có trong khoảng 30 giây.

Thiết lập	Mặc định	Cách thay đổi
Thời hạn phiên	14 days	Quản trị hệ thống › Xác thực; 1 ngày, 7 ngày, 14 ngày hoặc 30 ngày (API 1–2,160 giờ); áp dụng cho phiên mới
Thời gian chờ khi không hoạt động	12 hours	Quản trị hệ thống › Xác thực; 1, 4, 12 hoặc 24 giờ (API 5–4,320 phút), không bao giờ dài hơn thời hạn phiên
Khóa đăng nhập sau các lần thất bại	10 failed attempts for one email lock it for 15 minutes	Quản trị hệ thống › Xác thực; 3–100 lần thử, 5 phút, 15 phút hoặc 1 giờ (API 1–1,440 phút)
Bắt buộc xác thực hai lớp với	Members with a sensitive permission	Quản trị hệ thống › Xác thực; mọi người, thành viên có quyền nhạy cảm, hoặc tắt
Thời gian gia hạn để thiết lập xác thực hai lớp	7 days	Quản trị hệ thống › Xác thực; không có, 1, 3, 7 hoặc 14 ngày (API 0–90)
Độ dài mật khẩu tối thiểu	12 characters	Quản trị hệ thống › Xác thực, 8–128; mật khẩu có thể dài đến 256 ký tự
Dùng lại mật khẩu	The last 5 passwords are blocked	Quản trị hệ thống › Xác thực; chặn 5 mật khẩu gần nhất, chặn 10 mật khẩu gần nhất, hoặc cho phép dùng lại
Kiểm tra mật khẩu mới với các vụ lộ lọt dữ liệu đã biết	Off	Quản trị hệ thống › Xác thực
Tên miền email được phép cho tài khoản SSO mới	Up to 50 (none means any domain the identity provider allows)	Quản trị hệ thống › Xác thực
Liên kết đặt lại mật khẩu	Works once, for 15 minutes	Cố định
Thời gian để thiết lập lại xác thực hai lớp sau reputecast user reset-2fa	72 hours	Cố định; đặt lại trong Quản trị hệ thống › Người dùng dùng thời gian gia hạn của chính sách
Mã khôi phục	10, each works once	Tài khoản và bảo mật › Tạo lại mã (thay toàn bộ)
Liên kết xác minh khi đổi email	24 hours	Cố định
Thời gian để hoàn tất bước đăng nhập thứ hai	10 minutes; 5 wrong codes restart the sign-in	Cố định

Đặt tên hệ thống, URL công khai và giá trị mặc định

Trong Quản trị hệ thống › , rồi Hệ thống và cập nhật, thẻ Hệ thống đặt:

• Tên và logo của hệ thống, hiển thị trên trang đăng nhập và trong email gửi cho thành viên nhóm.
• Múi giờ, ngôn ngữ và định dạng khu vực mặc định, dùng trên trang đăng nhập, cho lời mời và cho các thành viên chưa tự chọn (ngôn ngữ và khu vực).
• URL công khai, dùng cho webhook của nhà cung cấp, URI chuyển hướng SSO, trang công khai và liên kết trong email. Kiểm tra kiểm tra ba thứ: DNS (host phân giải được), TLS (chứng chỉ hợp lệ, có cảnh báo khi chứng chỉ còn dưới 14 ngày hoặc khi dùng http:// thường) và khả năng truy cập (/healthz trả lời từ bên ngoài).

Thay đổi URL công khai

Lưu một địa chỉ mới sẽ đăng ký lại webhook ở mọi nhà cung cấp gửi thư hỗ trợ việc này, và liệt kê các nhà cung cấp mà bạn phải tự dán địa chỉ mới. Hãy đặt cả REPUTECAST_HTTP__PUBLIC_URL thành cùng địa chỉ đó rồi khởi động lại: cookie chỉ dùng HTTPS và HSTS đi theo thiết lập của máy chủ, không theo giá trị đã lưu.

Các thẻ khác trên tab này:

• Thẻ Phiên bản và cập nhật hiển thị phiên bản đã cài và phiên bản mới nhất, lệnh nâng cấp và việc kiểm tra bản phát hành hằng ngày. Xem nâng cấp ReputeCast.
• Thẻ SMTP relay bật relay cho các ứng dụng gửi thư qua SMTP. Xem gửi qua SMTP relay.
• Thẻ Agency bật chế độ agency. Xem vận hành không gian làm việc của khách hàng theo mô hình agency.

Thiết lập	Mặc định	Cách thay đổi
Thay đổi URL công khai đến mọi tiến trình	Within 30 s	Quản trị hệ thống › Hệ thống và cập nhật › URL công khai
Kiểm tra bản phát hành trên GitHub	Daily, on by default; sends no usage data	Quản trị hệ thống › Hệ thống và cập nhật; cấu hình updates.check tắt tính năng này cho cả hệ thống
Logo của hệ thống	SVG up to 100 KB, or PNG up to 512 KB and 16–1,024 px per side	Cố định
Tên hệ thống	1–80 characters	Quản trị hệ thống › Hệ thống và cập nhật

Xem nhật ký kiểm tra của hệ thống

Quản trị hệ thống › , rồi Nhật ký kiểm tra hiển thị các lượt đăng nhập, sự kiện SSO, thay đổi chính sách và người dùng, cùng sự kiện của mọi không gian làm việc. Bạn có thể lọc theo không gian làm việc, loại người thực hiện, kết quả và ngày; xuất bằng Xuất CSV hoặc Xuất JSON. Các lần đăng nhập bị từ chối mang mã tham chiếu mà người dùng thấy trên trang lỗi.

• Thời gian lưu giữ: các mục cấp hệ thống được giữ 365 ngày theo mặc định (từ 90 ngày đến 10 năm); mỗi không gian làm việc giữ các mục của riêng mình theo thời hạn riêng. Một tác vụ dọn dẹp chạy mỗi giờ sẽ xóa các mục cũ hơn.
• Truyền sự kiện hệ thống: gửi các mục cấp hệ thống đến SIEM hoặc kho dữ liệu của bạn theo lô tối đa 500 mục, ký bằng HMAC-SHA256 giống webhook gửi đi. Khóa bí mật để ký chỉ hiển thị một lần.

Xem nhật ký kiểm tra để biết mỗi mục ghi lại những gì.

Kiểm tra kết quả

• Thay đổi chính sách hiển thị thông báo “Đã lưu chính sách” và áp dụng từ lần đăng nhập tiếp theo.
• Mọi thao tác trên trang này đều xuất hiện trong Nhật ký kiểm tra với bạn là người thực hiện.

Khắc phục sự cố

• “Bạn không thể vô hiệu hóa tài khoản của chính mình”: hãy nhờ một quản trị viên hệ thống khác.
• Không thể gỡ hoặc vô hiệu hóa quản trị viên hệ thống cuối cùng: hãy cấp quyền quản trị viên hệ thống cho người khác trước.
• “…là Chủ sở hữu duy nhất của…” khi vô hiệu hóa: hãy chuyển quyền sở hữu các không gian làm việc đó trước.
• Không gian làm việc đã xóa không có nút Khôi phục: thời gian giữ 7 ngày đã hết và không gian làm việc đã bị xóa hẳn.
• Phần kiểm tra URL công khai báo lỗi ở dòng Kết nối: địa chỉ không trả lời từ bên ngoài. Hãy kiểm tra DNS, tường lửa và reverse proxy.

Liên quan

• Khôi phục quyền truy cập từ dòng lệnh
• Bảo mật và gia cố hệ thống
• Vai trò và quyền: những gì vai trò trong không gian làm việc cho phép, khác với cờ quản trị viên hệ thống.