Saltar al contenido
LGM-OS
documentación

Las cuatro capas que deciden quién ve qué.

Usuarios, permisos y qué ve cada uno

7 min · 9 apartados

Un NAS de casa lo usan varias personas, y no todas tienen que ver lo mismo. Esta guía explica las cuatro capas que deciden quién ve qué, por qué son cuatro y cuál toca cambiar en cada caso.

La regla de fondo, que evita la mitad de las dudas: el que manda es el NAS, no el icono. Esconder una aplicación no la protege; el permiso se comprueba en el servidor cada vez.

1. Las cuatro capas

CapaDecideDónde se toca
La cuentaSi esa persona existe y puede entrarPanel de Control → Usuario y grupo
Las aplicacionesQué apps ve en el escritorio y con qué nivelLa ficha de esa cuenta → Aplicaciones
Las carpetasEn qué carpetas compartidas entra, y si puede escribirPanel de Control → Carpetas compartidas → Permisos
Los protocolosPor dónde puede llegar: panel, SMB, SFTP, WebDAVLa ficha de esa cuenta

Son independientes a propósito. Quitarle la app de Archivos a alguien no le cierra la carpeta por SMB: son dos puertas distintas, y una casa real las usa las dos.

2. La cuenta

Al crear una cuenta se crean, a la vez, hasta tres cosas: la del panel, la del sistema (SSH/SFTP) y la de SMB. La contraseña se pone una vez y va a las tres.

A partir de ahí van por su cuenta. Cambiar la contraseña del panel no cambia la de SMB. Es lo que más despista al principio y tiene motivo: son sistemas de contraseñas distintos y el NAS no puede saber la de SMB una vez guardada.

Cada persona tiene además su carpeta propia —«Mi unidad»— que solo ve ella. No hay que crearla ni compartirla: existe desde que existe la cuenta.

Roles del panel

  • Administrador. Todo, incluido crear cuentas y tocar el sistema.
  • Normal. Lo que se le haya concedido, ni más ni menos.

No hay un rol intermedio, y es a propósito: lo que en otros sistemas se resuelve inventando roles, aquí se resuelve concediendo pantallas sueltas (apartado 4).

3. Las aplicaciones: tres niveles

Cada aplicación se reparte con uno de estos tres:

  • Sin acceso — ni sale el icono.
  • Ver — se abre y se mira; los botones que escriben no están.
  • Usar — mirar y tocar.

Esto es lo que trae una cuenta recién creada, sin tocar nada:

AplicaciónDe fábricaPor qué
ArchivosUsarSu «Mi unidad» y lo que se le comparta
GaleríaUsarSus fotos
Bloc de notasUsarSus notas
DescargasUsarBajar cosas con el NAS
Calendario y contactosUsarSu calendario es suyo
ResumenVerCómo va el equipo, sin poder tocarlo
MonitorVerUso de procesador, memoria, red y discos
CámarasSin accesoVer la casa no es para todo el mundo
Copias de seguridadSin accesoY solo se puede conceder Ver
AlmacenamientoSin accesoY solo se puede conceder Ver
Centro de PaquetesSin acceso⚠️ Ver el aviso de abajo
DockerSin acceso⚠️ Ver el aviso de abajo
Máquinas virtualesSin acceso⚠️ Ver el aviso de abajo
TerminalSin accesoSolo administradores

Dos aplicaciones no se pueden dar enteras. Copias de seguridad y Almacenamiento solo admiten «Ver». Tocarlas es crear y destruir volúmenes o cambiar adónde va la copia de toda la casa: eso es administrar el equipo. Ofrecer un «Usar» que en realidad no dejara tocar nada sería mentir en la pantalla.

⚠️ Tres aplicaciones entregan el equipo por otra puerta. Centro de Paquetes, Docker y Máquinas virtuales se pueden conceder —para eso está esto—, pero quien instala una aplicación, arranca un contenedor o levanta una máquina puede montar carpetas del sistema dentro. La pantalla lo avisa antes de dártelo por bueno. Concédelas solo a quien de verdad administra.

4. El Panel de Control, pantalla a pantalla

El Panel de Control no es «todo o nada». Cada pantalla es un permiso, con los mismos tres niveles, y el icono del Panel de Control aparece si tiene alguna concedida.

Una cuenta nueva nace con lo suyo y lo inocuo abierto, y todo lo que administra el equipo, cerrado:

De fábricaPantallas
UsarSeguridad de la cuenta (su contraseña y su 2FA)
VerCómo entrar · Información del equipo · Idioma y hora
Sin accesoTodas las demás

Las demás, por grupos, para saber qué se está concediendo:

  • Compartir — Carpetas compartidas, Servicios de archivos.
  • Personas — Usuario y grupo ⚠️, Seguridad de la cuenta, Directorio ⚠️.
  • Conectividad — Cómo entrar, Acceso externo, VPN ⚠️, DNS ⚠️, DHCP ⚠️, Consola SSH ⚠️, Agenda y contactos, Impresora, SNMP.
  • Seguridad — Asesor de seguridad, Cortafuegos ⚠️, Política de contraseñas, Bloqueo por país, Vigilancia antirransomware, Antivirus, Bloqueo automático.
  • Equipo — Información del equipo, Licencia, Red ⚠️, Idioma y hora, Portal, Dispositivos USB, Uso del espacio, SAI, Encendido y apagado ⚠️.
  • Mantenimiento — Diagnóstico, Registros, Actualizaciones ⚠️, Tareas programadas ⚠️, Avisos, Copia de la configuración ⚠️.
⚠️ Las marcadas, concedidas con Usar, entregan el equipo por otra puerta: quien gestiona usuarios puede hacerse administrador, quien toca la red puede dejar el NAS incomunicado, y quien tiene las tareas programadas puede hacer que el NAS ejecute lo que quiera. El panel te lo avisa antes de guardarlo.

5. Grupos: la regla que no se repite

Todo lo anterior se puede dar a un grupo en vez de a una persona. «Las cámaras, para todos los de casa» es una regla, no siete.

Cuando hay reglas de grupo y de persona sobre la misma aplicación:

  • La de la persona gana, aunque sea más restrictiva. Eso es lo que permite «todo el grupo menos fulano», que es la excepción que siempre acaba haciendo falta.
  • Entre dos grupos gana el más permisivo, que es lo que espera cualquiera que pertenece a los dos.

Lo práctico: monta los grupos por cómo se usa la casa (adultos, invitados, los niños) y no por aplicación. Un grupo por aplicación es la lista que nadie mantiene.

6. Las carpetas compartidas

Compartir una carpeta y darle acceso a alguien son dos pasos distintos, y ahí se atasca casi todo el mundo:

  1. Crear la carpeta en Panel de Control → Carpetas compartidas.
  2. Decir por dónde se publica: SMB, NFS, WebDAV — cada uno se marca en esa carpeta, y el protocolo tiene además que estar encendido en Servicios de archivos.
  3. Decir quién entra: en los permisos de esa carpeta, persona a persona o grupo a grupo, con sin acceso / solo lectura / lectura y escritura.

Sin el paso 3 la carpeta existe y no la ve nadie. Es el orden correcto: una carpeta nueva nace cerrada.

7. Cuánto espacio tiene cada uno

En la ficha de cada cuenta se le puede poner un tope. Sin tope, todos comparten el volumen entero y el primero que baje una temporada en 4K se lo come.

El tope se aplica al escribir, venga por donde venga —panel, SMB o SFTP—, y quien lo alcanza recibe un «no queda espacio» normal en su equipo.

8. Dar de baja a alguien

Al borrar una cuenta se cierra todo lo suyo de una vez: la entrada al panel, la cuenta del sistema, SMB, sus sesiones abiertas, sus enlaces públicos y sus pedidos de archivos, su fila en los permisos de cada carpeta y sus reglas de aplicaciones.

Eso último importa más de lo que parece: si no se retiraran, dar de alta a otra persona con el mismo nombre heredaría lo de la anterior. En una casa eso pasa —se borra «invitado» y se vuelve a crear meses después—.

Lo que NO se borra son sus archivos. Su «Mi unidad» sigue en el volumen. Es a propósito: borrar una cuenta es un clic y borrar los datos de alguien no debería serlo.

Ver también