Benutzer, Berechtigungen und wer was sieht

16 min · 12 Abschnitte

Ein NAS zu Hause benutzen mehrere Leute, und nicht alle müssen dasselbe sehen. Diese Anleitung erklärt die vier Schichten, die entscheiden, wer was sieht, warum es vier sind und welche du im jeweiligen Fall änderst.

Die Regel dahinter, die die Hälfte der Fragen erspart: Es entscheidet das NAS, nicht das Symbol. Eine Anwendung zu verstecken schützt sie nicht; die Berechtigung wird jedes Mal auf dem Server geprüft.

1. Die vier Schichten

Sie sind mit Absicht unabhängig. Jemandem die Anwendung Dateien wegzunehmen schließt ihm die Freigabe über SMB nicht: Das sind zwei verschiedene Türen, und ein echter Haushalt benutzt beide.

2. Das Konto

Beim Anlegen eines Kontos entstehen gleichzeitig bis zu drei: das des Panels, das des Systems (SSH/SFTP) und das von SMB. Das Passwort wird einmal gesetzt und geht an alle drei.

Geändert wird es im Panel, unter Systemsteuerung → Dein Konto, und das neue gilt sofort für alle drei. Von Windows aus geht es nicht, weder mit Strg+Alt+Entf → „Kennwort ändern“ noch wenn Windows meldet, dass es abgelaufen ist: Windows antwortet, das neue erfülle die Anforderungen an Länge oder Komplexität nicht, egal wie lang es ist. Daran liegt es nicht: Diese Änderung käme nur bei den Ordnern an und ließe dort ein anderes Passwort als im Panel und bei SFTP. Ist es abgelaufen, melde dich im Panel an: Es fragt nach dem neuen, und damit gehen die Ordner und SFTP wieder auf.

Jede Person hat außerdem ihren eigenen Ordner —„Mein Laufwerk“—, mit ihren Ordnern Fotos, Musik, Videos, Dokumente und Downloads, die schon angelegt sind: Galerie, Musik, Filme und Downloads nutzen sie von selbst. Du musst nichts anlegen: Es existiert, seit es das Konto gibt, und es ist privat — niemand sonst kommt hinein, außer in das, was sein Besitzer teilt (Deine Sachen teilen). Über welche Dienste es ins Netz geht, wird unter Ordner des Haushalts entschieden (Abschnitt 6).

Rollen im Panel

• Administrator. Alles, auch Konten anlegen und das System anfassen.
• Normal. Was ihm zugestanden wurde, nicht mehr und nicht weniger.

Es gibt keine Rolle dazwischen, und das ist Absicht: Was andere Systeme lösen, indem sie Rollen erfinden, wird hier gelöst, indem man einzelne Bildschirme zugesteht (Abschnitt 4).

Beim ersten Anmelden sieht jedes Konto eine Begrüßung aus drei Seiten, die kurz erzählt, was dieser Abschnitt sagt: was sein Laufwerk ist, was „Mit mir geteilt“ ist und was „Des Haushalts“ ist.

Alles aus allen Konten sehen

Auch wer verwaltet, sieht ab Werk nur das Eigene: sein Laufwerk, was andere mit ihm teilen, und die Ordner des Haushalts. Die Fotos, die Musik oder die Dokumente der anderen erscheinen nicht.

Wenn es nötig ist, alles zu sehen — um jemandem zu helfen oder um das NAS aufzuräumen —, schaltest du es unter Systemsteuerung → Dein Konto → „Alles aus allen Konten sehen“ ein. Eingeschaltet erscheint in Dateien, Galerie, Musik und Filme der Reiter „Von allen“, nur zum Ansehen, und jedes andere Konto sieht einen Hinweis, dass die Verwaltung es sehen kann. Es ist eine Einstellung jedes Administrators: Schaltet einer sie ein, gilt das nicht für die anderen.

3. Die Anwendungen: drei Stufen

Jede Anwendung wird mit einer dieser drei vergeben:

• Kein Zugriff — das Symbol erscheint nicht einmal.
• Ansehen — sie geht auf und man schaut hinein; die Knöpfe, die schreiben, sind nicht da.
• Benutzen — anschauen und anfassen.

Das hier bekommt ein frisch angelegtes Konto, ohne dass du etwas änderst:

Kameras, Sicherungen und Speicher lassen sich nicht ganz vergeben: Sie nehmen nur „Ansehen“. Mit „Ansehen“ zeigt Kameras das Live-Bild und die Aufnahmen der Kameras, die man sehen darf (jede Kamera sagt, wer sie sieht: Kameras); eine Kamera hinzufügen, sie bewegen oder eine Aufnahme behalten, damit die Bereinigung sie nicht löscht, ist Sache der Verwaltung. Die anderen beiden anzufassen heißt Volumes anlegen und zerstören oder ändern, wohin die Sicherung des ganzen Haushalts geht: Auch das ist das Gerät verwalten. Ein „Benutzen“ anzubieten, mit dem man in Wahrheit nichts anfassen darf, wäre auf dem Bildschirm gelogen.

Mit Ansehen zeigt keine Anwendung Knöpfe, die das NAS dann ablehnen würde; das Eigene — deine Favoriten, deine Listen, wo du in einem Film warst — wird trotzdem gespeichert.

⚠️ Drei Anwendungen geben das Gerät durch eine andere Tür her. Paketzentrum, Docker und Virtuelle Maschinen lassen sich vergeben — dafür ist das da —, aber eine App, ein Container oder eine Maschine arbeiten mit den Ordnern, die man ihnen gibt. Wer nicht verwaltet, kann ihnen nur eigene Ordner geben oder solche, die er ändern darf, und das NAS prüft das bei jedem Start neu; das Netzwerk des NAS, die Grafikkarte und die USB-Geräte gehören immer der Verwaltung. Trotzdem warnt der Bildschirm, bevor du speicherst: Vergib sie an Leute, die wissen, was sie tun. Apps und Container gehören dem ganzen Haushalt. Virtuelle Maschinen dagegen gehören dem, der sie anlegt, und er kann sie mit „Darf ansehen“ oder „Darf sie benutzen“ teilen; die, die es schon gab, bleiben für alle erreichbar, die die App hatten.

Profile: Familie, Kind und Gast

Beim Anlegen musst du nicht Anwendung für Anwendung durchgehen: Wähle ein Profil, und das NAS setzt die Häkchen.

„Von Hand anpassen“ gibt es weiterhin für alle, die Häkchen für Häkchen wählen wollen. Die Karte jedes Kontos sagt, welches Profil es hat; ändert jemand ein einzelnes Häkchen, steht dort „Angepasst“, und das stimmt. Ein Profil erneut zu wählen, stellt es wieder her.

4. Die Systemsteuerung, Bildschirm für Bildschirm

Die Systemsteuerung ist kein Alles-oder-nichts. Jeder Bildschirm ist eine Berechtigung, mit denselben drei Stufen, und das Symbol der Systemsteuerung erscheint, wenn einer davon zugestanden ist.

Ein neues Konto kommt mit dem Eigenen und dem Harmlosen offen zur Welt, und allem, was das Gerät verwaltet, geschlossen:

Die übrigen, in denselben Gruppen und mit denselben Namen wie die Startseite der Systemsteuerung, damit du weißt, was du zugestehst:

• Dateien teilen — Freigaben, Dateidienste.
• Benutzer und Berechtigungen — Benutzer und Gruppen ⚠️, Dein Konto, Verzeichnisdienst ⚠️.
• Netzwerk — Netzwerk ⚠️, Adressen, DNS ⚠️, DHCP ⚠️, SSH ⚠️, SNMP, Smart Home.
• Zugriff von außen — Externer Zugriff, VPN ⚠️.
• Dienste des NAS — Kalender und Kontakte, Drucker.
• Sicherheit — Sicherheitsberater, Firewall ⚠️, Passwörter, Ländersperre, Bericht und Falle, Antivirus, IPs sperren.
• System — Angaben zum Gerät, Lizenz, Region und Sprache, Bildschirm, Anmeldeseite, Bericht über den Platz, USV / UPS, Ausschalten und neu starten ⚠️.
• Verwaltung — Systemprüfung, Protokollzentrum, Geplante Aufgaben ⚠️, Warnungen, Die Daten von deinem alten NAS holen ⚠️.

LGM-OS aktualisieren, Sicherung der Konfiguration, Grafikkarten und Werkseinstellungen stehen nicht auf der Liste: Das ist nur Sache derer, die verwalten, und lässt sich niemand anderem zugestehen.

⚠️ Die markierten geben, mit Benutzen zugestanden, das Gerät durch eine andere Tür her: Wer das Netz anfasst, kann das NAS unerreichbar machen, und wer die geplanten Aufgaben hat, kann das NAS ausführen lassen, was er will. Das Panel warnt dich, bevor du speicherst.

Was immer Sache der Verwaltung bleibt

Eine Seite freizugeben öffnet das Alltägliche, nicht das, was das NAS unerreichbar, offen ins Internet oder in fremden Händen lassen könnte. Auch wenn jemand die Seite mit Benutzen hat, bleibt das hier allein Sache der Verwaltung:

• In Benutzer und Gruppen: das Passwort, den zweiten Faktor, die Passkeys oder die SSH-Schlüssel einer anderen Person setzen oder ändern; ihre Rolle ändern; Konten löschen; fremde Sitzungen beenden; Administratoren anlegen oder jemanden mit mehr Rechten als man selbst anfassen; jemanden aus einer Gruppe mit Rechten nehmen oder diese Gruppe löschen. Wer Konten verwaltet, ohne Administrator zu sein, legt per Einladungslink an und ändert nicht seine eigenen Grenzen (Platz, Zeitplan, Enddatum).
• Bei Netzwerk und Sicherheit: das Netzwerk, die Firewall, SSH einschalten oder einem Konto die Konsole geben, der Zugriff aus dem Internet (Name, Zertifikate, Tunnel, Ports), die VPN, die Ländersperre und das NAS einer Domäne anschließen oder sie verlassen.
• Am Gerät: ausschalten und neu starten, fremde Druckaufträge abbrechen und doppelte Dateien des ganzen Haushalts löschen.

Versucht es jemand, sagt ihm das NAS, warum es nicht geht und dass er die Verwaltung fragen soll.

Genehmigung durch einen zweiten Administrator

Nur in der Business-Edition. Systemsteuerung → Benutzer und Gruppen → Genehmigungen.

Ist „Zerstörerische Aktionen brauchen die Genehmigung eines anderen Administrators“ eingeschaltet, kann niemand allein etwas Ganzes verschwinden lassen oder lösen, was es schützt. Das hier bleibt offen:

• ein Volume, einen freigegebenen Ordner, ein Konto oder einen Snapshot löschen;
• die Sperre eines Snapshots oder die Löschsperre eines Ordners entfernen;
• ein Konto zum Administrator machen, ihm das wieder entziehen oder das Passwort (oder den Anmeldelink) eines anderen Administratorkontos ändern: sonst könnte man sich einfach selbst einen zweiten Administrator anlegen;
• die Konfiguration aus einer Sicherung wiederherstellen, die alle Konten mitbringt;
• und die Regel selbst ausschalten.

Wer es anfragt, erfährt, dass es offen ist, und die anderen Administratoren bekommen eine Benachrichtigung (in der Glocke und über die Kanäle der Warnungen). Einer von ihnen genehmigt oder lehnt es unter Genehmigungen ab; nie dieselbe Person, die es angefragt hat. Genehmigt, macht die anfragende Person es noch einmal, und dann wird es ausgeführt: Das gilt ein einziges Mal, nur für dieses Konto und genau dafür. Was niemand genehmigt, verfällt nach 24 Stunden. Alles (anfragen, genehmigen, ablehnen und ausführen) steht im Protokollzentrum.

Mit nur einem Administrator lässt es sich nicht einschalten: Niemand könnte etwas genehmigen. Bleibt bei eingeschalteter Regel einmal nur einer übrig, ist ohne Genehmigung nur noch das Ausschalten erlaubt.

5. Gruppen: die Regel, die du nur einmal schreibst

Alles oben lässt sich einer Gruppe geben statt einer Person. „Die Kameras, für alle im Haus“ ist eine Regel, nicht sieben.

Wenn es für dieselbe Anwendung Regeln der Gruppe und der Person gibt:

• Die der Person gewinnt, auch wenn sie strenger ist. Genau das macht „die ganze Gruppe außer dem einen“ möglich, die Ausnahme, die man am Ende immer braucht.
• Zwischen zwei Gruppen gewinnt die großzügigere, was jeder erwartet, der in beiden ist.

Praktisch: Bau die Gruppen danach, wie das Haus benutzt wird (Erwachsene, Gäste, die Kinder), nicht nach Anwendungen. Eine Gruppe pro Anwendung ist die Liste, die niemand pflegt.

6. Die Freigaben

Einen Ordner freizugeben und jemandem Zugriff zu geben sind zwei verschiedene Schritte, und da hängen fast alle:

1. Den Ordner anlegen, unter Systemsteuerung → Ordner des Haushalts.
2. Sagen, worüber er veröffentlicht wird: SMB, NFS, WebDAV — jedes wird bei diesem Ordner angehakt, und das Protokoll muss außerdem unter Dateidienste eingeschaltet sein.
3. Sagen, wer hereinkommt: in den Berechtigungen dieses Ordners, Person für Person oder Gruppe für Gruppe, mit Kein Zugriff / Nur Lesen / Lesen und Schreiben.

Ohne Schritt 3 existiert der Ordner, und niemand sieht ihn. Das ist die richtige Reihenfolge: Ein neuer Ordner kommt geschlossen zur Welt.

Auf derselben Karte gibt es einen Schalter, Leert sich von allein, für den Ordner hin und zurück —den zum Austauschen mit den Leuten im Haus, den für das, was vom Handy hochgeht—: Jeden Tag räumt er weg, was länger als N Tage nicht angefasst wurde, statt ihn wachsen zu lassen, bis das Volume voll ist. Er kommt ausgeschaltet, und er steht in Dateien.

„Mein Laufwerk“ hat seine eigene Zeile unter Freigaben, über den anderen: einen Hauptschalter und dieselben Abzeichen SMB, NFS und WebDAV. Hier gibt es keine Berechtigungen zu verteilen: Jedes Konto kommt in seines und nur in seines, über jedes der drei. Wie bei den anderen Ordnern muss jeder Dienst außerdem unter Dateidienste eingeschaltet sein.

• SMB ist eingeschaltet: In Windows ist es \\NAS\home (oder der Name des Kontos).
• NFS fragt nach keinem Passwort, deshalb geht es nicht ohne eine Liste der Geräte an, die es einhängen dürfen —ihre IP oder ihr Netz—, und nur die hängen es ein.
• WebDAV legt es unter https://<NAS>:8081/~<konto> ab, für die Konten, die auf ihrer Karteikarte Webzugriff auf die Dateien haben. Darüber öffnet es LGM Connect von unterwegs.

Ausgeschaltet geht „Mein Laufwerk“ nicht ins Netz, aber die Dateien bleiben unberührt, und in Dateien ist es weiter zu sehen. SFTP ist eine Sache für sich: Es wird auf der Karteikarte jedes Kontos vergeben und landet immer in seinem „Mein Laufwerk“.

Deine Sachen mit jemandem im Haus teilen

Was in deinem Laufwerk liegt, teilst du selbst, ohne jemanden zu fragen. Es gibt einen Knopf „Teilen“, gleich in Dateien, Galerie, Musik, Filme, Kameras und Virtuelle Maschinen: Es öffnet sich ein Fenster mit den Leuten im Haus (und den Gruppen, falls es welche gibt), du hakst an, wen du willst, und wählst „Darf ansehen“ oder „Darf ändern“ (bei einer virtuellen Maschine „Darf sie benutzen“).

• Wer es bekommt, sieht einen Hinweis mit „Öffnen“ und findet es im Reiter **„Mit mir geteilt“** dieser Anwendung.
• Unter Systemsteuerung → Dein Konto stehen „Was du teilst“, um mit einem Tipp nicht mehr zu teilen, und „Mit mir geteilt“, um es zu öffnen oder **„Nicht mehr erhalten“**.
• Um die Fotos mehrerer zusammenzubringen, gibt es das geteilte Galerie: Sie ist eine Einladung, und hinein kommt nur, wer sie annimmt (Galerie).
• Die Ordner des Haushalts werden weiter wie bisher vergeben, mit ihrer Berechtigungsliste unter Ordner des Haushalts.

In den Anwendungen siehst du all das in denselben Reitern: Meins, Mit mir geteilt und Des Haushalts (und Von allen, nur für die Verwaltung mit eingeschaltetem „Alles aus allen Konten sehen“). Jede Anwendung merkt sich, wo du sie gelassen hast.

7. Wie viel Platz jeder hat

Auf der Karte jedes Kontos lässt sich eine Grenze setzen. Ohne Grenze teilen sich alle das ganze Volume, und der Erste, der eine Staffel in 4K herunterlädt, frisst es auf.

Die Grenze gilt beim Schreiben, egal woher es kommt —Panel, SMB oder SFTP—, und wer sie erreicht, bekommt auf seinem Gerät ein ganz normales „kein Platz mehr“.

Bei 90 % der Grenze warnt das Panel die Verwaltung —mit dem Hinweis, wo man sie anhebt— und die Person, wenn sie ins Panel kommt, damit sie Platz macht. Einmal pro Schreck: Wenn sie unter 85 % fällt und wieder vollläuft, warnt es erneut.

8. Jemanden abmelden

Beim Löschen eines Kontos wird alles Seine auf einmal geschlossen: der Zugang zum Panel, das Konto des Systems, SMB, seine offenen Sitzungen, seine Freigabelinks und seine Dateianfragen, seine Zeile in den Berechtigungen jedes Ordners und seine Regeln für Anwendungen.

Mit ihnen gehen auch, was das Konto geteilt hat und was mit ihm geteilt wurde, sein Hintergrundbild, seine Suchen in der Galerie, seine Hinweise und sein „Alles aus allen Konten sehen“.

Das Letzte ist wichtiger, als es aussieht: Blieben sie stehen, würde eine neue Person mit demselben Namen das der vorherigen erben. In einem Haushalt passiert das — man löscht „gast“ und legt ihn Monate später wieder an.

Was NICHT gelöscht wird, sind seine Dateien. Sein „Mein Laufwerk“ bleibt auf dem Volume. Das ist Absicht: Ein Konto zu löschen ist ein Klick, und die Daten von jemandem zu löschen sollte keiner sein.

Die Konten und Gruppen, die das NAS selbst benutzt (die seiner Dienste und die Gruppe der Administratoren), lassen sich nicht löschen: Ihre Zeile sagt es und erklärt, warum.

9. API-Schlüssel

Für Skripte und Hausautomation, die ohne Passwort und ohne Browser mit dem NAS reden. Jedes Konto legt seine eigenen unter Systemsteuerung → Dein Konto → API-Schlüssel an: Er wird ein einziges Mal gezeigt, läuft ab, wann du es sagst, und lässt sich auf ein paar Anwendungen begrenzen. Du benutzt ihn als Authorization: Bearer lgm_… auf jeder Route der API, mit dem, was sein Besitzer darf. Ein Schlüssel ändert nie das Passwort oder das Konto: Das macht man im Panel, mit dem Passwort. Er öffnet auch die Live-Verbindungen des Panels nicht (den Monitor, die Konsole, das Live-Bild der Kameras: die laufen über WebSocket und brauchen die Sitzung des Browsers), und er lädt den Bericht für den Support nicht herunter; und ein auf ein paar Anwendungen begrenzter Schlüssel kommt weder an den Editor für Dokumente noch an irgendetwas, das nicht zu diesen Anwendungen gehört. Wird ein Konto abgemeldet, gehen seine Schlüssel mit.

10. SSH-Schlüssel

Damit ein Laptop mit rsync Sicherungen macht oder ein SFTP-Programm hereinkommt, ohne das Passwort zu schreiben. Jedes Konto fügt den öffentlichen Schlüssel seines Geräts (den, der auf .pub endet) unter Systemsteuerung → Dein Konto → SSH-Schlüssel ein, und wer verwaltet, kann ihn auf der Karte jedes Benutzers hinterlegen („Benutzer und Gruppen → das Konto → Zugang“). Ein Schlüssel öffnet nichts, was das Konto nicht ohnehin hat: Es braucht eine SSH-Konsole oder SFTP. Wird ein Konto abgemeldet, gehen seine Schlüssel mit.

Siehe auch

• Dateien — Freigabelinks, Dateien anfordern und der Papierkorb.
• Deine Geräte mit dem NAS verbinden — SMB, SFTP und WebDAV auf jedem Gerät.
• Wenn etwas nicht geht — „ich komme rein, aber ich sehe das hier nicht“.

11. Ein Konto duplizieren und per Link einladen

Duplizieren (in der Liste der Benutzer) legt ein Konto mit denselben Anwendungen, Ordnern, Gruppen, derselben Platzgrenze, demselben Zugang zum Panel und denselben Türen wie ein anderes an; das Passwort ist ein neues. Und statt das Passwort selbst zu schreiben, kannst du „Sie soll es selbst über einen Link setzen“ anhaken: Das Konto kommt geschlossen zur Welt, und du bekommst einen Link zum einmaligen Gebrauch, der 48 Stunden gilt, damit diese Person ihr Passwort von ihrem Handy aus setzt. Der Link ist nur ein einziges Mal zu sehen; geht er verloren, erzeugst du über „Bearbeiten“ einen neuen, und der vorherige gilt nicht mehr. Nur für Konten von Personen: weder für die des Systems noch für die der Domäne.

Der Link trägt die Adresse, unter der das NAS von unterwegs erreichbar ist (die, die du gerade benutzt, oder die des NAS), also öffnet er sich auch auf einem Handy mit mobilen Daten. Und für alle, die Konten verwalten, ohne Administrator zu sein, ist er der einzige Weg, jemanden anzulegen: Das Passwort setzt immer die Person selbst.