Usuarios, permisos y qué ve cada uno

17 min · 12 apartados

Un NAS de casa lo usan varias personas, y no todas tienen que ver lo mismo. Esta guía explica las cuatro capas que deciden quién ve qué, por qué son cuatro y cuál toca cambiar en cada caso.

La regla de fondo, que evita la mitad de las dudas: el que manda es el NAS, no el icono. Esconder una aplicación no la protege; el permiso se comprueba en el servidor cada vez.

1. Las cuatro capas

Son independientes a propósito. Quitarle la app de Archivos a alguien no le cierra la carpeta por SMB: son dos puertas distintas, y una casa real las usa las dos.

2. La cuenta

Al crear una cuenta se crean, a la vez, hasta tres cosas: la del panel, la del sistema (SSH/SFTP) y la de SMB. La contraseña se pone una vez y va a las tres.

Se cambia en el panel, en Panel de control → Tu cuenta, y la nueva llega a las tres a la vez. Desde Windows no se puede, ni con Ctrl+Alt+Supr → «Cambiar una contraseña» ni cuando Windows avisa de que ha caducado: contestará que la nueva no cumple los requisitos de longitud o complejidad, por larga que sea. No es eso: ese cambio solo llegaría a las carpetas y las dejaría con otra contraseña que el panel y SFTP. Si ha caducado, entra al panel: te pide la nueva y con ella vuelven a abrirse las carpetas y SFTP.

Cada persona tiene además su carpeta propia —«Mi unidad»—, con sus carpetas Fotos, Música, Vídeos, Documentos y Descargas ya hechas: la Galería, Música, Películas y Descargas las usan solas. No hay que crearla: existe desde que existe la cuenta, y es privada —nadie más entra salvo en lo que ella misma comparta (Compartir lo tuyo)—. Por qué servicios sale a la red se decide en Carpetas de la casa (apartado 6).

Roles del panel

• Administrador. Todo, incluido crear cuentas y tocar el sistema.
• Normal. Lo que se le haya concedido, ni más ni menos.

No hay un rol intermedio, y es a propósito: lo que en otros sistemas se resuelve inventando roles, aquí se resuelve concediendo pantallas sueltas (apartado 4).

Al entrar por primera vez, cada cuenta ve una bienvenida de tres pantallas que le cuenta lo mismo que este apartado en corto: qué es su Mi unidad, qué es «Compartido conmigo» y qué es «De la casa».

Ver lo de todas las cuentas

Quien administra también ve, de fábrica, solo lo suyo: su Mi unidad, lo que le compartan y las carpetas de la casa. Las fotos, la música o los documentos de los demás no le salen.

Si hace falta ver lo de todos —para ayudar a alguien, o para ordenar el NAS—, se enciende en Panel de control → Tu cuenta → «Ver lo de todas las cuentas». Encendido, aparece la pestaña «De todos» en Archivos, Galería, Música y Películas, solo para ver, y cada una de las demás cuentas ve un aviso de que quien administra puede verlo. Es un ajuste de cada administrador: encenderlo uno no se lo enciende a los demás.

3. Las aplicaciones: tres niveles

Cada aplicación se reparte con uno de estos tres:

• Sin acceso — ni sale el icono.
• Ver — se abre y se mira; los botones que escriben no están.
• Usar — mirar y tocar.

Esto es lo que trae una cuenta recién creada, sin tocar nada:

Cámaras, Copias de seguridad y Almacenamiento no se pueden dar enteras: solo admiten «Ver». Con «Ver», Cámaras enseña el directo y las grabaciones de las cámaras que le dejen ver (cada cámara dice quién la ve: Cámaras); dar de alta una cámara, moverla o guardar una grabación para que la limpieza no la borre es de quien administra. Tocar las otras dos es crear y destruir volúmenes o cambiar adónde va la copia de toda la casa: eso también es administrar el equipo. Ofrecer un «Usar» que en realidad no dejara tocar nada sería mentir en la pantalla.

Con Ver, ninguna aplicación enseña botones que luego el NAS rechazaría; lo que es de uno —sus favoritas, sus listas, por dónde va en una película— sí se guarda.

⚠️ Tres aplicaciones entregan el equipo por otra puerta. Centro de Paquetes, Docker y Máquinas virtuales se pueden conceder —para eso está esto—, pero una aplicación, un contenedor o una máquina trabajan con las carpetas que se les den. Quien no administra solo puede darles sus carpetas o las que le dejan cambiar, y el NAS lo vuelve a comprobar cada vez que arrancan; la red del NAS, la gráfica y los USB son siempre de quien administra. Aun así, la pantalla lo avisa antes de dártelo por bueno: concédelas a quien sepa lo que hace. Las aplicaciones y los contenedores son de toda la casa. Las máquinas virtuales, en cambio, son de quien las crea, que puede compartirlas con «Puede ver» o «Puede usarla»; las que ya había siguen al alcance de quien tenía la app.

Perfiles: Familia, Niño e Invitado

Al dar de alta a alguien no hace falta ir aplicación por aplicación: se elige un perfil y el NAS pone las casillas.

«Ajustar a mano» sigue estando para quien quiera elegir casilla a casilla. La ficha de cada cuenta dice qué perfil tiene; si alguien toca una casilla suelta, pasa a decir «Personalizado», que es la verdad. Elegir un perfil otra vez la devuelve a él.

4. El Panel de Control, pantalla a pantalla

El Panel de Control no es «todo o nada». Cada pantalla es un permiso, con los mismos tres niveles, y el icono del Panel de Control aparece si tiene alguna concedida.

Una cuenta nueva nace con lo suyo y lo inocuo abierto, y todo lo que administra el equipo, cerrado:

Las demás, en los mismos grupos y con los mismos nombres que la portada del Panel de control, para saber qué se está concediendo:

• Uso compartido de archivos — Carpetas de la casa, Servicios de archivos.
• Usuarios y permisos — Usuarios y grupos ⚠️, Tu cuenta, Servicio de directorio ⚠️.
• Red — Red ⚠️, Direcciones, DNS ⚠️, DHCP ⚠️, SSH ⚠️, SNMP, Casa domótica.
• Acceso desde fuera — Acceso externo, VPN ⚠️.
• Servicios del NAS — Calendario y contactos, Impresora.
• Seguridad — Asesor de seguridad, Cortafuegos ⚠️, Contraseñas, Bloqueo por país, Informe y trampa, Antivirus, Bloqueo de IPs.
• Sistema — Información del equipo, Licencia, Región e idioma, Pantalla, Portal de acceso, Informe de espacio, SAI / UPS, Apagar y reiniciar ⚠️.
• Administración — Comprobación del sistema, Centro de registros, Tareas programadas ⚠️, Alertas, Traer los datos de tu NAS anterior ⚠️.

Actualizar LGM-OS, Copia de la configuración, Gráficas y Restablecer de fábrica no están en la lista: son solo de quien administra y no se conceden a nadie más.

⚠️ Las marcadas, concedidas con Usar, entregan el equipo por otra puerta: quien toca la red puede dejar el NAS incomunicado, y quien tiene las tareas programadas puede hacer que el NAS ejecute lo que quiera. El panel te lo avisa antes de guardarlo.

Lo que es siempre de quien administra

Conceder una pantalla abre lo de todos los días, no lo que puede dejar el NAS incomunicado, abierto a internet o en otras manos. Aunque alguien tenga la pantalla con Usar, esto sigue siendo solo de quien administra:

• En Usuarios y grupos: poner o cambiar la contraseña, el segundo factor, las llaves de acceso o las claves SSH de otra persona; cambiar su papel; borrar cuentas; cerrar sesiones ajenas; crear administradores o tocar a quien tiene más permisos que uno mismo; sacar a alguien de un grupo con permisos o borrar ese grupo. Quien gestiona cuentas sin administrar da de alta por enlace de invitación, y no cambia sus propios límites (espacio, horario, fecha de fin).
• En la red y la seguridad: la red, el cortafuegos, encender SSH o dar la consola a una cuenta, el acceso desde internet (nombre, certificados, túnel, puertos), la VPN, el bloqueo por país, y unir o sacar el NAS de un dominio.
• En el equipo: apagar y reiniciar, cancelar trabajos de impresión de otros y borrar archivos repetidos de toda la casa.

Si alguien lo intenta, el NAS le dice por qué no puede y que se lo pida a quien administra.

Aprobación de un segundo administrador

Solo en la edición Empresarial. Panel de control → Usuarios y grupos → Aprobaciones.

Con «Lo destructivo necesita la aprobación de otro administrador» encendido, nadie puede, él solo, hacer desaparecer algo entero ni soltar lo que lo protege. Esto queda pendiente:

• borrar un volumen, una carpeta compartida, una cuenta o una instantánea;
• quitar el candado de una instantánea o el bloqueo de borrado de una carpeta;
• hacer administradora a una cuenta, quitarle la administración o cambiar la contraseña (o el enlace de entrada) de otra que administra: si no, bastaría con fabricarse el segundo administrador;
• restaurar la configuración desde una copia, que trae las cuentas enteras;
• y apagar la propia regla.

A quien lo pide se le dice que queda pendiente, y a los demás administradores les llega un aviso (en la campana y por los canales de Alertas). Uno de ellos lo aprueba o lo rechaza en Aprobaciones; nunca el mismo que lo pidió. Aprobado, quien lo pidió lo vuelve a hacer y entonces se hace: vale una vez, solo para esa cuenta y para eso mismo. Lo que nadie aprueba caduca a las 24 horas. Todo —pedirlo, aprobarlo, rechazarlo y hacerlo— queda en el Centro de registros.

Con un solo administrador no se deja encender: no habría quién aprobara nada. Si alguna vez se queda uno solo con la regla encendida, lo único que se puede hacer sin aprobación es apagarla.

5. Grupos: la regla que no se repite

Todo lo anterior se puede dar a un grupo en vez de a una persona. «Las cámaras, para todos los de casa» es una regla, no siete.

Cuando hay reglas de grupo y de persona sobre la misma aplicación:

• La de la persona gana, aunque sea más restrictiva. Eso es lo que permite «todo el grupo menos fulano», que es la excepción que siempre acaba haciendo falta.
• Entre dos grupos gana el más permisivo, que es lo que espera cualquiera que pertenece a los dos.

Lo práctico: monta los grupos por cómo se usa la casa (adultos, invitados, los niños) y no por aplicación. Un grupo por aplicación es la lista que nadie mantiene.

6. Las carpetas de la casa

Compartir una carpeta y darle acceso a alguien son dos pasos distintos, y ahí se atasca casi todo el mundo:

1. Crear la carpeta en Panel de Control → Carpetas de la casa.
2. Decir por dónde se publica: SMB, NFS, WebDAV — cada uno se marca en esa carpeta, y el protocolo tiene además que estar encendido en Servicios de archivos.
3. Decir quién entra: en los permisos de esa carpeta, persona a persona o grupo a grupo, con sin acceso / solo lectura / lectura y escritura.

Sin el paso 3 la carpeta existe y no la ve nadie. Es el orden correcto: una carpeta nueva nace cerrada.

En esa misma ficha hay un interruptor, Se vacía sola, para la carpeta de ida y vuelta —la de intercambio con los de casa, la de lo que se sube desde el móvil—: cada día retira lo que lleve más de N días sin tocarse, en vez de dejarla crecer hasta llenar el volumen. Viene apagada, y está contada en Archivos.

«Mi unidad» tiene su propia fila en Carpetas de la casa, encima de las demás: un interruptor general y los mismos distintivos SMB, NFS y WebDAV. Aquí no hay permisos que repartir: cada cuenta entra en la suya y solo en la suya, por cualquiera de los tres. Como en las demás carpetas, cada servicio tiene que estar encendido además en Servicios de archivos.

• SMB viene encendido: en Windows es \\NAS\home (o el nombre de la cuenta).
• NFS no pide contraseña, así que no se enciende sin una lista de equipos que la pueden montar —su IP o su red—, y solo esos la montan.
• WebDAV la deja en https://<NAS>:8081/~<cuenta> para las cuentas que tengan **Acceso web a los archivos** en su ficha. Es lo que usa LGM Connect para abrirla desde fuera de casa.

Apagada, «Mi unidad» no sale por la red, pero los archivos no se tocan y se sigue viendo en Archivos. El SFTP va aparte: se da en la ficha de cada cuenta y siempre entra en su «Mi unidad».

Compartir lo tuyo con alguien de casa

Lo de tu Mi unidad lo compartes tú, sin pedírselo a nadie. Hay un botón «Compartir» igual en Archivos, Galería, Música, Películas, Cámaras y Máquinas virtuales: se abre una ventana con las personas de casa (y los grupos, si los hay), marcas a quien quieras y eliges «Puede ver» o «Puede cambiar» (en una máquina virtual, «Puede usarla»).

• Quien lo recibe ve un aviso con «Abrir», y lo tiene en la pestaña **«Compartido conmigo»** de esa aplicación.
• En Panel de control → Tu cuenta están «Lo que compartes», para dejar de compartir con un toque, y «Compartido conmigo», para abrirlo o «Dejar de recibir».
• Para juntar las fotos de varios está la galería compartida: es una invitación, y solo entra quien la acepta (Galería).
• Las carpetas de la casa siguen repartiéndose como hasta ahora, con su lista de permisos en Carpetas de la casa.

En las aplicaciones, todo esto se ve en las mismas pestañas: Lo mío, Compartido conmigo y De la casa (y De todos, solo para quien administra con «Ver lo de todas las cuentas» encendido). Cada aplicación recuerda en cuál la dejaste.

7. Cuánto espacio tiene cada uno

En la ficha de cada cuenta se le puede poner un tope. Sin tope, todos comparten el volumen entero y el primero que baje una temporada en 4K se lo come.

El tope se aplica al escribir, venga por donde venga —panel, SMB o SFTP—, y quien lo alcanza recibe un «no queda espacio» normal en su equipo.

Al llegar al 90 % del tope, el panel avisa a quien administra —con dónde subirlo— y a la persona, si entra al panel, para que haga sitio. Una vez por susto: si baja del 85 % y vuelve a llenar, avisa otra vez.

8. Dar de baja a alguien

Al borrar una cuenta se cierra todo lo suyo de una vez: la entrada al panel, la cuenta del sistema, SMB, sus sesiones abiertas, sus enlaces públicos y sus pedidos de archivos, su fila en los permisos de cada carpeta y sus reglas de aplicaciones.

Con ellos se van también lo que compartía y lo que le compartían, su fondo de escritorio, sus búsquedas de la Galería, sus avisos y su «Ver lo de todas las cuentas».

Eso último importa más de lo que parece: si no se retiraran, dar de alta a otra persona con el mismo nombre heredaría lo de la anterior. En una casa eso pasa —se borra «invitado» y se vuelve a crear meses después—.

Las cuentas y los grupos que usa el propio NAS (los de sus servicios y el de administradores) no se pueden borrar: su fila lo dice y explica por qué.

Lo que NO se borra son sus archivos. Su «Mi unidad» sigue en el volumen. Es a propósito: borrar una cuenta es un clic y borrar los datos de alguien no debería serlo.

9. Claves de API

Para guiones y domótica que hablen con el NAS sin contraseña ni navegador. Cada cuenta crea las suyas en Panel de control → Tu cuenta → Claves de API: se enseña una sola vez, caduca cuando se diga y se puede limitar a unas aplicaciones. Se usa como Authorization: Bearer lgm_… en cualquier ruta de la API, con lo que su dueño puede hacer. Una clave nunca cambia la contraseña ni la cuenta: eso se hace en el panel, con la contraseña. Tampoco abre las conexiones en vivo del panel (el monitor, la consola, el directo de las cámaras: van por WebSocket y necesitan la sesión del navegador), ni descarga el informe para soporte; y una clave limitada a unas aplicaciones no llega al editor de documentos ni a nada que no sea de esas aplicaciones. Al dar de baja una cuenta, sus claves se van con ella.

10. Claves SSH

Para que un portátil haga copias con rsync, o un cliente SFTP entre, sin escribir la contraseña. Cada cuenta pega la clave pública de su equipo (la que termina en .pub) en Panel de control → Tu cuenta → Claves SSH, y el administrador puede ponerla en la ficha de cualquier usuario («Usuarios y grupos → la cuenta → Acceso»). Una clave no abre nada que la cuenta no tenga ya: hace falta consola SSH o SFTP. Al dar de baja una cuenta, sus claves se van con ella.

Ver también

• Archivos — enlaces de descarga, pedir archivos y la papelera.
• Conectar tus equipos al NAS — SMB, SFTP y WebDAV en cada dispositivo.
• Cuando algo no va — «entro pero no puedo ver esto».

11. Duplicar una cuenta e invitar por enlace

Duplicar (en la lista de usuarios) crea una cuenta con las mismas aplicaciones, carpetas, grupos, tope de espacio, acceso al panel y puertas que otra; la contraseña es nueva. Y en vez de escribir la contraseña tú, puedes marcar «Que la ponga ella con un enlace»: la cuenta nace cerrada y te sale un enlace de un solo uso, que vale 48 horas, para que esa persona ponga su contraseña desde su móvil. El enlace se ve una sola vez; si se pierde, se genera otro desde «Editar» y el anterior deja de valer. Solo para cuentas de personas: ni las del sistema ni las del dominio.

El enlace lleva la dirección por la que se llega al NAS desde fuera de casa (la que estás usando, o la del NAS), así que se abre también desde el móvil con datos. Y es la única forma de dar de alta para quien gestiona cuentas sin administrar: la contraseña la pone siempre la propia persona.