Utilisateurs, autorisations et ce que voit chacun

18 min · 12 rubriques

Un NAS à la maison est utilisé par plusieurs personnes, et toutes n’ont pas à voir la même chose. Ce guide explique les quatre couches qui décident qui voit quoi, pourquoi il y en a quatre et laquelle modifier selon le cas.

La règle de fond, qui évite la moitié des doutes : c’est le NAS qui commande, pas l’icône. Cacher une application ne la protège pas ; l’autorisation est vérifiée sur le serveur à chaque fois.

1. Les quatre couches

Elles sont indépendantes exprès. Retirer l’app Fichiers à quelqu’un ne lui ferme pas le dossier par SMB : ce sont deux portes différentes, et une vraie maison utilise les deux.

2. Le compte

Quand on crée un compte, on crée en même temps jusqu’à trois choses : celui du panneau, celui du système (SSH/SFTP) et celui de SMB. Le mot de passe se saisit une fois et va aux trois.

Il se change dans le panneau, dans Panneau de configuration → Ton compte, et le nouveau arrive aux trois à la fois. Depuis Windows, ce n’est pas possible, ni avec Ctrl+Alt+Suppr → « Modifier un mot de passe » ni quand Windows prévient qu’il a expiré : il répondra que le nouveau ne respecte pas les exigences de longueur ou de complexité, aussi long soit-il. Ce n’est pas ça : ce changement n’arriverait qu’aux dossiers et leur laisserait un autre mot de passe que celui du panneau et de SFTP. S’il a expiré, connecte-toi au panneau : il te demande le nouveau, et avec lui les dossiers et SFTP se rouvrent.

Chaque personne a aussi son propre dossier —« Mon disque »—, avec ses dossiers Photos, Musique, Vidéos, Documents et Téléchargements déjà créés : Galerie, Musique, Films et Téléchargements s’en servent tout seuls. Rien à créer : il existe dès que le compte existe, et il est privé — personne d’autre n’y entre, sauf dans ce que son propriétaire partage (Partager tes affaires). Par quels services il sort sur le réseau se décide dans Dossiers de la maison (section 6).

Rôles du panneau

• Administrateur. Tout, y compris créer des comptes et toucher au système.
• Normal. Ce qui lui a été accordé, ni plus ni moins.

Il n’y a pas de rôle intermédiaire, et c’est voulu : ce que d’autres systèmes règlent en inventant des rôles se règle ici en accordant des écrans un par un (section 4).

À sa première connexion, chaque compte voit un accueil de trois écrans qui lui raconte en bref ce que dit cette section : ce qu’est son disque, ce qu’est « Partagé avec moi » et ce qu’est « De la maison ».

Voir le contenu de tous les comptes

Qui administre ne voit, lui aussi, d’usine que ses propres affaires : son disque, ce qu’on lui partage et les dossiers de la maison. Les photos, la musique ou les documents des autres n’apparaissent pas.

S’il faut tout voir — pour aider quelqu’un, ou pour ranger le NAS —, ça s’active dans Panneau de configuration → Ton compte → « Voir le contenu de tous les comptes ». Activé, l’onglet « De tous » apparaît dans Fichiers, Galerie, Musique et Films, en lecture seule, et chacun des autres comptes voit un avertissement disant que l’administrateur peut le voir. C’est un réglage propre à chaque administrateur : l’activer pour soi ne l’active pas pour les autres.

3. Les applications : trois niveaux

Chaque application s’attribue avec l’un de ces trois niveaux :

• Aucun accès — l’icône n’apparaît même pas.
• Voir — elle s’ouvre et on regarde ; les boutons qui modifient ne sont pas là.
• Utiliser — regarder et toucher.

Voici ce qu’a un compte tout juste créé, sans rien toucher :

Caméras, Sauvegardes et Stockage ne peuvent pas être accordés en entier : ils n’acceptent que « Voir ». Avec « Voir », Caméras montre le direct et les enregistrements des caméras qu’on a le droit de voir (chaque caméra dit qui la voit : Caméras) ; ajouter une caméra, la déplacer ou garder un enregistrement pour que le nettoyage ne l’efface pas revient à qui administre. Toucher aux deux autres, c’est créer et détruire des volumes ou changer où va la sauvegarde de toute la maison : c’est aussi administrer le dispositif. Proposer un « Utiliser » qui ne laisserait en fait rien toucher serait mentir à l’écran.

Avec Voir, aucune application n’affiche de boutons que le NAS refuserait ensuite ; ce qui est à toi — tes favoris, tes listes, où tu en es dans un film — s’enregistre quand même.

⚠️ Trois applications livrent le dispositif par une autre porte. Centre de paquets, Docker et Machines virtuelles peuvent être accordés — c’est fait pour ça —, mais une application, un conteneur ou une machine travaillent avec les dossiers qu’on leur donne. Qui n’administre pas ne peut leur donner que ses dossiers ou ceux qu’il a le droit de modifier, et le NAS le revérifie à chaque démarrage ; le réseau du NAS, la carte graphique et l’USB restent toujours à qui administre. Malgré tout, l’écran te prévient avant d’enregistrer : accorde-les à des gens qui savent ce qu’ils font. Les applications et les conteneurs sont à toute la maison. Les machines virtuelles, elles, sont à qui les crée, qui peut les partager avec « Peut voir » ou « Peut l’utiliser » ; celles qui existaient déjà restent à portée de qui avait l’application.

Profils : Famille, Enfant et Invité

Pour ajouter quelqu’un, pas besoin de passer application par application : choisis un profil et le NAS coche les cases.

« Régler à la main » reste là pour qui veut choisir case par case. La fiche de chaque compte dit quel profil il a ; si quelqu’un touche une case isolée, elle affiche « Personnalisé », ce qui est la vérité. Choisir à nouveau un profil le remet.

4. Le Panneau de configuration, écran par écran

Le Panneau de configuration n’est pas « tout ou rien ». Chaque écran est une autorisation, avec les mêmes trois niveaux, et l’icône du Panneau de configuration apparaît si au moins un écran est accordé.

Un compte nouveau naît avec ses propres affaires et ce qui est inoffensif ouvert, et tout ce qui administre le dispositif, fermé :

Les autres, dans les mêmes groupes et avec les mêmes noms que la page d’accueil du Panneau de configuration, pour savoir ce qu’on accorde :

• Partage de fichiers — Dossiers de la maison, Services de fichiers.
• Utilisateurs et autorisations — Utilisateurs et groupes ⚠️, Ton compte, Service d’annuaire ⚠️.
• Réseau — Réseau ⚠️, Adresses, DNS ⚠️, DHCP ⚠️, SSH ⚠️, SNMP, Maison connectée.
• Accès depuis l’extérieur — Accès externe, VPN ⚠️.
• Services du NAS — Agenda et contacts, Imprimante.
• Sécurité — Conseiller de sécurité, Pare-feu ⚠️, Mots de passe, Blocage par pays, Rapport et piège, Antivirus, Blocage d’IP.
• Système — Informations du dispositif, Licence, Région et langue, Écran, Portail d’accès, Rapport d’espace, Onduleur, Éteindre et redémarrer ⚠️.
• Administration — Vérification du système, Centre des journaux, Tâches planifiées ⚠️, Alertes, Récupérer les données de ton ancien NAS ⚠️.

Mettre à jour LGM-OS, Sauvegarde de la configuration, Cartes graphiques et Réinitialiser aux paramètres d’usine ne sont pas dans la liste : c’est réservé à qui administre et ne s’accorde à personne d’autre.

⚠️ Ceux qui sont marqués, accordés avec Utiliser, livrent le dispositif par une autre porte : qui touche au réseau peut couper le NAS du monde, et qui a les tâches planifiées peut faire exécuter au NAS ce qu’il veut. Le panneau te prévient avant d’enregistrer.

Ce qui reste toujours à qui administre

Accorder un écran ouvre ce qui sert tous les jours, pas ce qui pourrait couper le NAS du monde, l’ouvrir à internet ou le mettre dans d’autres mains. Même si quelqu’un a l’écran avec Utiliser, ceci reste réservé à qui administre :

• Dans Utilisateurs et groupes : choisir ou changer le mot de passe, le second facteur, les clés d’accès ou les clés SSH d’une autre personne ; changer son rôle ; supprimer des comptes ; fermer les sessions des autres ; créer des administrateurs ou toucher à quelqu’un qui a plus de droits que soi ; retirer quelqu’un d’un groupe qui donne des droits ou supprimer ce groupe. Qui gère les comptes sans administrer ajoute par lien d’invitation, et ne change pas ses propres limites (espace, horaire, date de fin).
• Dans le réseau et la sécurité : le réseau, le pare-feu, activer SSH ou donner la console à un compte, l’accès depuis internet (nom, certificats, tunnel, ports), le VPN, le blocage par pays, et joindre ou quitter un domaine.
• Sur le dispositif : éteindre et redémarrer, annuler les impressions des autres et supprimer les fichiers en double de toute la maison.

Si quelqu’un essaie, le NAS lui dit pourquoi il ne peut pas et de le demander à qui administre.

Approbation par un second administrateur

Édition Entreprise uniquement. Panneau de configuration → Utilisateurs et groupes → Approbations.

Avec « Les actions destructrices nécessitent l’approbation d’un autre administrateur » activé, personne ne peut, seul, faire disparaître quelque chose d’entier ni retirer ce qui le protège. Ceci reste en attente :

• supprimer un volume, un dossier partagé, un compte ou un instantané ;
• retirer le cadenas d’un instantané ou le verrou de suppression d’un dossier ;
• faire d’un compte un administrateur, lui retirer l’administration ou changer le mot de passe (ou le lien de connexion) d’un autre compte qui administre : sinon, il suffirait de se créer un second administrateur ;
• restaurer la configuration depuis une sauvegarde, qui ramène tous les comptes ;
• et désactiver la règle elle-même.

La personne qui le demande apprend que c’est en attente, et les autres administrateurs reçoivent une alerte (dans la cloche et par les canaux des Alertes). L’un d’eux l’approuve ou le refuse dans Approbations ; jamais la personne qui l’a demandé. Une fois approuvé, la personne qui l’a demandé le refait et c’est fait : cela ne vaut qu’une fois, seulement pour ce compte et pour cette chose-là. Ce que personne n’approuve expire au bout de 24 heures. Tout (le demander, l’approuver, le refuser et le faire) est noté dans le Centre des journaux.

Avec un seul administrateur, on ne peut pas l’activer : personne ne pourrait rien approuver. Si un jour il ne reste qu’un administrateur avec la règle activée, la seule chose permise sans approbation est de la désactiver.

5. Les groupes : la règle qu’on n’écrit qu’une fois

Tout ce qui précède peut être donné à un groupe plutôt qu’à une personne. « Les caméras, pour toute la maison » est une règle, pas sept.

Quand il y a des règles de groupe et de personne sur la même application :

• Celle de la personne l’emporte, même si elle est plus restrictive. C’est ce qui permet « tout le groupe sauf untel », l’exception dont on finit toujours par avoir besoin.
• Entre deux groupes, le plus permissif l’emporte, ce qu’attend toute personne qui appartient aux deux.

En pratique : organise les groupes selon la façon dont on vit dans la maison (adultes, invités, les enfants) et non par application. Un groupe par application, c’est la liste que personne ne tient à jour.

6. Les dossiers de la maison

Partager un dossier et y donner accès à quelqu’un sont deux étapes différentes, et c’est là que presque tout le monde bloque :

1. Créer le dossier dans Panneau de configuration → Dossiers de la maison.
2. Dire par où il est publié : SMB, NFS, WebDAV — chacun se coche sur ce dossier, et le protocole doit en plus être activé dans Services de fichiers.
3. Dire qui entre : dans les autorisations de ce dossier, personne par personne ou groupe par groupe, avec aucun accès / lecture seule / lecture et écriture.

Sans l’étape 3, le dossier existe et personne ne le voit. C’est le bon ordre : un nouveau dossier naît fermé.

Dans cette même fiche, il y a un interrupteur, Se vide tout seul, pour le dossier de passage —celui des échanges avec la maison, celui de ce qu’on envoie depuis le téléphone— : chaque jour, il retire ce qui n’a pas été touché depuis plus de N jours, au lieu de le laisser grossir jusqu’à remplir le volume. Il est désactivé par défaut, et c’est expliqué dans Fichiers.

« Mon disque » a sa propre ligne dans Dossiers de la maison, au-dessus des autres : un interrupteur général et les mêmes badges SMB, NFS et WebDAV. Ici, pas d’autorisations à distribuer : chaque compte entre dans le sien et seulement dans le sien, par n’importe lequel des trois. Comme pour les autres dossiers, chaque service doit en plus être activé dans Services de fichiers.

• SMB est activé par défaut : sous Windows, c’est \\NAS\home (ou le nom du compte).
• NFS ne demande pas de mot de passe, il ne s’active donc pas sans une liste de dispositifs autorisés à le monter —leur IP ou leur réseau—, et seuls ceux-là le montent.
• WebDAV le met à https://<NAS>:8081/~<cuenta> pour les comptes qui ont **Accès web aux fichiers** dans leur fiche. C’est ce qu’utilise LGM Connect pour l’ouvrir depuis l’extérieur.

Désactivé, « Mon disque » ne sort pas sur le réseau, mais les fichiers ne sont pas touchés et restent visibles dans Fichiers. Le SFTP est à part : il s’accorde dans la fiche de chaque compte et entre toujours dans son « Mon disque ».

Partager tes affaires avec quelqu’un de la maison

Ce qui est dans ton disque, tu le partages toi-même, sans rien demander à personne. Il y a un bouton « Partager », le même dans Fichiers, Galerie, Musique, Films, Caméras et Machines virtuelles : une fenêtre s’ouvre avec les personnes de la maison (et les groupes, s’il y en a), tu coches qui tu veux et tu choisis « Peut voir » ou « Peut modifier » (pour une machine virtuelle, « Peut l’utiliser »).

• Qui le reçoit voit une notification avec « Ouvrir », et le retrouve dans l’onglet « Partagé avec moi » de cette application.
• Dans Panneau de configuration → Ton compte, il y a « Ce que tu partages », pour arrêter de partager d’un geste, et « Partagé avec moi », pour l’ouvrir ou **« Ne plus recevoir »**.
• Pour réunir les photos de plusieurs personnes, il y a l’album partagé : c’est une invitation, et n’y entre que qui l’accepte (Galerie).
• Les dossiers de la maison se répartissent comme avant, avec leur liste de droits dans Dossiers de la maison.

Dans les applications, tout ça se voit dans les mêmes onglets : À moi, Partagé avec moi et De la maison (et De tous, seulement pour qui administre avec « Voir le contenu de tous les comptes » activé). Chaque application se souvient de celui où tu l’as laissée.

7. Combien d’espace a chacun

Dans la fiche de chaque compte, on peut mettre une limite. Sans limite, tout le monde partage le volume entier et le premier qui télécharge une saison en 4K le dévore.

La limite s’applique à l’écriture, quelle que soit la voie —panneau, SMB ou SFTP—, et qui l’atteint reçoit un « plus d’espace disponible » normal sur son dispositif.

À 90 % de la limite, le panneau alerte la personne qui administre —avec l’endroit où la relever— et la personne concernée, si elle se connecte au panneau, pour qu’elle fasse de la place. Une fois par alerte : si elle redescend sous 85 % et se remplit à nouveau, il alerte de nouveau.

8. Supprimer le compte de quelqu’un

Quand on supprime un compte, tout ce qui lui appartient est fermé d’un coup : l’accès au panneau, le compte système, SMB, ses sessions ouvertes, ses liens publics et ses demandes de fichiers, sa ligne dans les autorisations de chaque dossier et ses règles d’applications.

Partent aussi ce qu’il partageait et ce qu’on lui partageait, son fond d’écran, ses recherches dans la Galerie, ses notifications et son « Voir le contenu de tous les comptes ».

Ce dernier point compte plus qu’il n’y paraît : si on ne les retirait pas, créer le compte d’une autre personne avec le même nom hériterait de ce qu’avait la précédente. Dans une maison, ça arrive —on supprime « invité » et on le recrée des mois plus tard—.

Ce qui n’est PAS supprimé, ce sont ses fichiers. Son « Mon disque » reste sur le volume. C’est voulu : supprimer un compte, c’est un clic, et supprimer les données de quelqu’un ne devrait pas l’être.

Les comptes et les groupes qu’utilise le NAS lui-même (ceux de ses services et le groupe des administrateurs) ne peuvent pas être supprimés : leur ligne le dit et explique pourquoi.

9. Clés d’API

Pour les scripts et la domotique qui parlent avec le NAS sans mot de passe ni navigateur. Chaque compte crée les siennes dans Panneau de configuration → Ton compte → Clés d’API : la clé ne s’affiche qu’une fois, expire quand on le décide et peut être limitée à certaines applications. Elle s’utilise comme Authorization: Bearer lgm_… sur n’importe quelle route de l’API, avec ce que son propriétaire peut faire. Une clé ne change jamais le mot de passe ni le compte : ça se fait dans le panneau, avec le mot de passe. Elle n’ouvre pas non plus les connexions en direct du panneau (le moniteur, la console, le direct des caméras : elles passent par WebSocket et ont besoin de la session du navigateur), ni ne télécharge le rapport pour l’assistance ; et une clé limitée à certaines applications n’atteint ni l’éditeur de documents ni rien qui ne relève de ces applications. Quand on supprime un compte, ses clés partent avec lui.

10. Clés SSH

Pour qu’un portable fasse des sauvegardes avec rsync, ou qu’un client SFTP se connecte, sans taper le mot de passe. Chaque compte colle la clé publique de son dispositif (celle qui se termine par .pub) dans Panneau de configuration → Ton compte → Clés SSH, et l’administrateur peut l’ajouter dans la fiche de n’importe quel utilisateur (« Utilisateurs et groupes → le compte → Accès »). Une clé n’ouvre rien que le compte n’ait déjà : il faut la console SSH ou le SFTP. Quand on supprime un compte, ses clés partent avec lui.

Voir aussi

• Fichiers — liens de téléchargement, demander des fichiers et la corbeille.
• Connecter tes dispositifs au NAS — SMB, SFTP et WebDAV sur chaque dispositif.
• Quand quelque chose ne marche pas — « je me connecte mais je ne vois pas ceci ».

11. Dupliquer un compte et inviter par lien

Dupliquer (dans la liste des utilisateurs) crée un compte avec les mêmes applications, dossiers, groupes, limite d’espace, accès au panneau et portes qu’un autre ; le mot de passe est nouveau. Et au lieu de saisir toi-même le mot de passe, tu peux cocher « Qu’il le choisisse lui-même avec un lien » : le compte naît fermé et tu obtiens un lien à usage unique, valable 48 heures, pour que cette personne choisisse son mot de passe depuis son téléphone. Le lien ne s’affiche qu’une fois ; s’il se perd, on en génère un autre depuis « Modifier » et le précédent cesse de fonctionner. Seulement pour les comptes de personnes : ni ceux du système ni ceux du domaine.

Le lien porte l’adresse par laquelle on joint le NAS depuis l’extérieur (celle que tu utilises, ou celle du NAS), donc il s’ouvre aussi sur un téléphone en données mobiles. Et c’est la seule façon d’ajouter quelqu’un pour qui gère les comptes sans administrer : le mot de passe, c’est toujours la personne elle-même qui le choisit.