Usuarios, permisos y qué ve cada uno
7 min · 9 apartados
Un NAS de casa lo usan varias personas, y no todas tienen que ver lo mismo. Esta guía explica las cuatro capas que deciden quién ve qué, por qué son cuatro y cuál toca cambiar en cada caso.
La regla de fondo, que evita la mitad de las dudas: el que manda es el NAS, no el icono. Esconder una aplicación no la protege; el permiso se comprueba en el servidor cada vez.
1. Las cuatro capas
| Capa | Decide | Dónde se toca |
|---|---|---|
| La cuenta | Si esa persona existe y puede entrar | Panel de Control → Usuario y grupo |
| Las aplicaciones | Qué apps ve en el escritorio y con qué nivel | La ficha de esa cuenta → Aplicaciones |
| Las carpetas | En qué carpetas compartidas entra, y si puede escribir | Panel de Control → Carpetas compartidas → Permisos |
| Los protocolos | Por dónde puede llegar: panel, SMB, SFTP, WebDAV | La ficha de esa cuenta |
Son independientes a propósito. Quitarle la app de Archivos a alguien no le cierra la carpeta por SMB: son dos puertas distintas, y una casa real las usa las dos.
2. La cuenta
Al crear una cuenta se crean, a la vez, hasta tres cosas: la del panel, la del sistema (SSH/SFTP) y la de SMB. La contraseña se pone una vez y va a las tres.
A partir de ahí van por su cuenta. Cambiar la contraseña del panel no cambia la de SMB. Es lo que más despista al principio y tiene motivo: son sistemas de contraseñas distintos y el NAS no puede saber la de SMB una vez guardada.
Cada persona tiene además su carpeta propia —«Mi unidad»— que solo ve ella. No hay que crearla ni compartirla: existe desde que existe la cuenta.
Roles del panel
- Administrador. Todo, incluido crear cuentas y tocar el sistema.
- Normal. Lo que se le haya concedido, ni más ni menos.
No hay un rol intermedio, y es a propósito: lo que en otros sistemas se resuelve inventando roles, aquí se resuelve concediendo pantallas sueltas (apartado 4).
3. Las aplicaciones: tres niveles
Cada aplicación se reparte con uno de estos tres:
- Sin acceso — ni sale el icono.
- Ver — se abre y se mira; los botones que escriben no están.
- Usar — mirar y tocar.
Esto es lo que trae una cuenta recién creada, sin tocar nada:
| Aplicación | De fábrica | Por qué |
|---|---|---|
| Archivos | Usar | Su «Mi unidad» y lo que se le comparta |
| Galería | Usar | Sus fotos |
| Bloc de notas | Usar | Sus notas |
| Descargas | Usar | Bajar cosas con el NAS |
| Calendario y contactos | Usar | Su calendario es suyo |
| Resumen | Ver | Cómo va el equipo, sin poder tocarlo |
| Monitor | Ver | Uso de procesador, memoria, red y discos |
| Cámaras | Sin acceso | Ver la casa no es para todo el mundo |
| Copias de seguridad | Sin acceso | Y solo se puede conceder Ver |
| Almacenamiento | Sin acceso | Y solo se puede conceder Ver |
| Centro de Paquetes | Sin acceso | ⚠️ Ver el aviso de abajo |
| Docker | Sin acceso | ⚠️ Ver el aviso de abajo |
| Máquinas virtuales | Sin acceso | ⚠️ Ver el aviso de abajo |
| Terminal | Sin acceso | Solo administradores |
Dos aplicaciones no se pueden dar enteras. Copias de seguridad y Almacenamiento solo admiten «Ver». Tocarlas es crear y destruir volúmenes o cambiar adónde va la copia de toda la casa: eso es administrar el equipo. Ofrecer un «Usar» que en realidad no dejara tocar nada sería mentir en la pantalla.
⚠️ Tres aplicaciones entregan el equipo por otra puerta. Centro de Paquetes, Docker y Máquinas virtuales se pueden conceder —para eso está esto—, pero quien instala una aplicación, arranca un contenedor o levanta una máquina puede montar carpetas del sistema dentro. La pantalla lo avisa antes de dártelo por bueno. Concédelas solo a quien de verdad administra.
4. El Panel de Control, pantalla a pantalla
El Panel de Control no es «todo o nada». Cada pantalla es un permiso, con los mismos tres niveles, y el icono del Panel de Control aparece si tiene alguna concedida.
Una cuenta nueva nace con lo suyo y lo inocuo abierto, y todo lo que administra el equipo, cerrado:
| De fábrica | Pantallas |
|---|---|
| Usar | Seguridad de la cuenta (su contraseña y su 2FA) |
| Ver | Cómo entrar · Información del equipo · Idioma y hora |
| Sin acceso | Todas las demás |
Las demás, por grupos, para saber qué se está concediendo:
- Compartir — Carpetas compartidas, Servicios de archivos.
- Personas — Usuario y grupo ⚠️, Seguridad de la cuenta, Directorio ⚠️.
- Conectividad — Cómo entrar, Acceso externo, VPN ⚠️, DNS ⚠️, DHCP ⚠️, Consola SSH ⚠️, Agenda y contactos, Impresora, SNMP.
- Seguridad — Asesor de seguridad, Cortafuegos ⚠️, Política de contraseñas, Bloqueo por país, Vigilancia antirransomware, Antivirus, Bloqueo automático.
- Equipo — Información del equipo, Licencia, Red ⚠️, Idioma y hora, Portal, Dispositivos USB, Uso del espacio, SAI, Encendido y apagado ⚠️.
- Mantenimiento — Diagnóstico, Registros, Actualizaciones ⚠️, Tareas programadas ⚠️, Avisos, Copia de la configuración ⚠️.
⚠️ Las marcadas, concedidas con Usar, entregan el equipo por otra puerta: quien gestiona usuarios puede hacerse administrador, quien toca la red puede dejar el NAS incomunicado, y quien tiene las tareas programadas puede hacer que el NAS ejecute lo que quiera. El panel te lo avisa antes de guardarlo.
5. Grupos: la regla que no se repite
Todo lo anterior se puede dar a un grupo en vez de a una persona. «Las cámaras, para todos los de casa» es una regla, no siete.
Cuando hay reglas de grupo y de persona sobre la misma aplicación:
- La de la persona gana, aunque sea más restrictiva. Eso es lo que permite «todo el grupo menos fulano», que es la excepción que siempre acaba haciendo falta.
- Entre dos grupos gana el más permisivo, que es lo que espera cualquiera que pertenece a los dos.
Lo práctico: monta los grupos por cómo se usa la casa (adultos, invitados, los niños) y no por aplicación. Un grupo por aplicación es la lista que nadie mantiene.
6. Las carpetas compartidas
Compartir una carpeta y darle acceso a alguien son dos pasos distintos, y ahí se atasca casi todo el mundo:
- Crear la carpeta en
Panel de Control → Carpetas compartidas. - Decir por dónde se publica: SMB, NFS, WebDAV — cada uno se marca en esa carpeta, y el protocolo tiene además que estar encendido en
Servicios de archivos. - Decir quién entra: en los permisos de esa carpeta, persona a persona o grupo a grupo, con sin acceso / solo lectura / lectura y escritura.
Sin el paso 3 la carpeta existe y no la ve nadie. Es el orden correcto: una carpeta nueva nace cerrada.
7. Cuánto espacio tiene cada uno
En la ficha de cada cuenta se le puede poner un tope. Sin tope, todos comparten el volumen entero y el primero que baje una temporada en 4K se lo come.
El tope se aplica al escribir, venga por donde venga —panel, SMB o SFTP—, y quien lo alcanza recibe un «no queda espacio» normal en su equipo.
8. Dar de baja a alguien
Al borrar una cuenta se cierra todo lo suyo de una vez: la entrada al panel, la cuenta del sistema, SMB, sus sesiones abiertas, sus enlaces públicos y sus pedidos de archivos, su fila en los permisos de cada carpeta y sus reglas de aplicaciones.
Eso último importa más de lo que parece: si no se retiraran, dar de alta a otra persona con el mismo nombre heredaría lo de la anterior. En una casa eso pasa —se borra «invitado» y se vuelve a crear meses después—.
Lo que NO se borra son sus archivos. Su «Mi unidad» sigue en el volumen. Es a propósito: borrar una cuenta es un clic y borrar los datos de alguien no debería serlo.
Ver también
- Archivos — enlaces de descarga, pedir archivos y la papelera.
- Conectar tus equipos al NAS — SMB, SFTP y WebDAV en cada aparato.
- Cuando algo no va — «entro pero no puedo ver esto».