Utilizadores, permissões e o que cada um vê

17 min · 12 secções

Um NAS de casa é usado por várias pessoas, e nem todas têm de ver o mesmo. Este guia explica as quatro camadas que decidem quem vê o quê, porque são quatro e qual deves mudar em cada caso.

A regra de fundo, que evita metade das dúvidas: quem manda é o NAS, não o ícone. Esconder uma aplicação não a protege; a permissão é verificada no servidor de cada vez.

1. As quatro camadas

São independentes de propósito. Tirar a alguém a app Ficheiros não lhe fecha a pasta por SMB: são duas portas diferentes, e uma casa real usa as duas.

2. A conta

Ao criar uma conta criam-se, ao mesmo tempo, até três coisas: a do painel, a do sistema (SSH/SFTP) e a de SMB. A palavra-passe define-se uma vez e vai para as três.

Muda-se no painel, em Painel de controlo → A tua conta, e a nova chega às três ao mesmo tempo. A partir do Windows não é possível, nem com Ctrl+Alt+Del → «Alterar uma palavra-passe» nem quando o Windows avisa que expirou: vai responder que a nova não cumpre os requisitos de comprimento ou complexidade, por mais longa que seja. Não é isso: essa alteração só chegaria às pastas e deixava-as com outra palavra-passe que não a do painel e a do SFTP. Se expirou, entra no painel: pede-te a nova e, com ela, as pastas e o SFTP voltam a abrir.

Cada pessoa tem ainda a sua própria pasta —«A minha unidade»—, com as suas pastas Fotos, Música, Vídeos, Documentos e Transferências já feitas: a Galeria, a Música, os Filmes e as Transferências usam-nas sozinhos. Não é preciso criá-la: existe desde que a conta existe, e é privada — mais ninguém entra, a não ser no que o dono partilhar (Partilhar as tuas coisas). Por que serviços sai para a rede decide-se em Pastas da casa (secção 6).

Funções do painel

• Administrador. Tudo, incluindo criar contas e mexer no sistema.
• Normal. O que lhe tiver sido concedido, nem mais nem menos.

Não há uma função intermédia, e é de propósito: o que noutros sistemas se resolve a inventar funções, aqui resolve-se a conceder ecrãs soltos (secção 4).

Da primeira vez que entra, cada conta vê umas boas-vindas de três ecrãs que lhe contam, em resumo, o que diz esta secção: o que é a sua unidade, o que é «Partilhado comigo» e o que é «Da casa».

Ver o conteúdo de todas as contas

Quem administra também vê, de fábrica, só o que é seu: a sua unidade, o que lhe partilham e as pastas da casa. As fotos, a música ou os documentos dos outros não lhe aparecem.

Se for preciso ver tudo — para ajudar alguém, ou para arrumar o NAS —, liga-se em Painel de controlo → A tua conta → «Ver o conteúdo de todas as contas». Ligado, aparece o separador «De todos» em Ficheiros, Galeria, Música e Filmes, só para ver, e cada uma das outras contas vê um aviso de que quem administra o pode ver. É uma definição de cada administrador: ligá-la um não a liga aos outros.

3. As aplicações: três níveis

Cada aplicação atribui-se com um destes três:

• Sem acesso — nem aparece o ícone.
• Ver — abre-se e vê-se; os botões que escrevem não estão lá.
• Usar — ver e mexer.

Isto é o que traz uma conta acabada de criar, sem mexer em nada:

Câmaras, Cópias de segurança e Armazenamento não se podem dar por inteiro: só admitem «Ver». Com «Ver», Câmaras mostra o direto e as gravações das câmaras que a deixam ver (cada câmara diz quem a vê: Câmaras); adicionar uma câmara, movê-la ou guardar uma gravação para que a limpeza não a apague é de quem administra. Mexer nas outras duas é criar e destruir volumes ou mudar para onde vai a cópia de toda a casa: isso também é administrar o dispositivo. Oferecer um «Usar» que na verdade não deixasse mexer em nada seria mentir no ecrã.

Com Ver, nenhuma aplicação mostra botões que depois o NAS recusaria; o que é teu — as tuas favoritas, as tuas listas, onde vais num filme — guarda-se na mesma.

⚠️ Três aplicações entregam o dispositivo por outra porta. Centro de pacotes, Docker e Máquinas virtuais podem conceder-se — é para isso que isto existe —, mas uma aplicação, um contentor ou uma máquina trabalham com as pastas que lhes dão. Quem não administra só lhes pode dar as suas pastas ou as que pode alterar, e o NAS volta a verificá-lo de cada vez que arrancam; a rede do NAS, a placa gráfica e os USB são sempre de quem administra. Mesmo assim, o ecrã avisa antes de guardares: concede-as a quem sabe o que faz. As aplicações e os contentores são de toda a casa. As máquinas virtuais, pelo contrário, são de quem as cria, que as pode partilhar com «Pode ver» ou «Pode usá-la»; as que já existiam continuam ao alcance de quem tinha a aplicação.

Perfis: Família, Criança e Convidado

Ao criar alguém não é preciso ir aplicação a aplicação: escolhe-se um perfil e o NAS marca as caixas.

«Ajustar à mão» continua lá para quem quiser escolher caixa a caixa. A ficha de cada conta diz que perfil tem; se alguém mexer numa caixa solta, passa a dizer «Personalizado», que é a verdade. Escolher outra vez um perfil volta a pô-lo.

4. O Painel de controlo, ecrã a ecrã

O Painel de controlo não é «tudo ou nada». Cada ecrã é uma permissão, com os mesmos três níveis, e o ícone do Painel de controlo aparece se a conta tiver algum concedido.

Uma conta nova nasce com o que é seu e o inofensivo aberto, e tudo o que administra o dispositivo, fechado:

Os outros, nos mesmos grupos e com os mesmos nomes que a página inicial do Painel de controlo, para saberes o que estás a conceder:

• Partilha de ficheiros — Pastas da casa, Serviços de ficheiros.
• Utilizadores e permissões — Utilizadores e grupos ⚠️, A tua conta, Serviço de diretório ⚠️.
• Rede — Rede ⚠️, Endereços, DNS ⚠️, DHCP ⚠️, SSH ⚠️, SNMP, Casa inteligente.
• Acesso a partir de fora — Acesso externo, VPN ⚠️.
• Serviços do NAS — Calendário e contactos, Impressora.
• Segurança — Consultor de segurança, Firewall ⚠️, Palavras-passe, Bloqueio por país, Relatório e armadilha, Antivírus, Bloqueio de IPs.
• Sistema — Informação do dispositivo, Licença, Região e idioma, Ecrã, Portal de acesso, Relatório de espaço, UPS, Desligar e reiniciar ⚠️.
• Administração — Verificação do sistema, Centro de registos, Tarefas agendadas ⚠️, Alertas, Trazer os dados do teu NAS anterior ⚠️.

Atualizar o LGM-OS, Cópia da configuração, Placas gráficas e Repor as definições de fábrica não estão na lista: são só de quem administra e não se concedem a mais ninguém.

⚠️ Os marcados, concedidos com Usar, entregam o dispositivo por outra porta: quem mexe na rede pode deixar o NAS incomunicável, e quem tem as tarefas agendadas pode fazer com que o NAS execute o que quiser. O painel avisa-te antes de guardar.

O que é sempre de quem administra

Conceder um ecrã abre o do dia a dia, não o que pode deixar o NAS incomunicável, aberto à internet ou noutras mãos. Mesmo que alguém tenha o ecrã com Usar, isto continua a ser só de quem administra:

• Em Utilizadores e grupos: pôr ou mudar a palavra-passe, o segundo fator, as chaves de acesso ou as chaves SSH de outra pessoa; mudar o seu papel; apagar contas; fechar sessões alheias; criar administradores ou mexer em quem tem mais permissões do que o próprio; tirar alguém de um grupo com permissões ou apagar esse grupo. Quem gere contas sem administrar cria por ligação de convite, e não muda os seus próprios limites (espaço, horário, data de fim).
• Na rede e na segurança: a rede, a firewall, ligar o SSH ou dar a consola a uma conta, o acesso pela internet (nome, certificados, túnel, portas), a VPN, o bloqueio por país, e juntar o NAS a um domínio ou tirá-lo.
• No dispositivo: desligar e reiniciar, cancelar trabalhos de impressão de outros e apagar ficheiros repetidos de toda a casa.

Se alguém tentar, o NAS diz-lhe porque não pode e que o peça a quem administra.

Aprovação de um segundo administrador

Só na edição Empresarial. Painel de controlo → Utilizadores e grupos → Aprovações.

Com «O que é destrutivo precisa da aprovação de outro administrador» ligado, ninguém pode, sozinho, fazer desaparecer algo inteiro nem soltar o que o protege. Isto fica pendente:

• eliminar um volume, uma pasta partilhada, uma conta ou um instantâneo;
• tirar o cadeado de um instantâneo ou o bloqueio de eliminação de uma pasta;
• tornar uma conta administradora, tirar-lhe a administração ou mudar a palavra-passe (ou a ligação de entrada) de outra conta que administra: senão, bastaria criar um segundo administrador para si próprio;
• restaurar a configuração a partir de uma cópia, que traz as contas todas;
• e desligar a própria regra.

A quem o pede diz-se que fica pendente, e os outros administradores recebem um aviso (no sino e pelos canais dos Alertas). Um deles aprova-o ou recusa-o em Aprovações; nunca quem o pediu. Aprovado, quem o pediu volta a fazê-lo e então é feito: vale uma vez, só para essa conta e para isso mesmo. O que ninguém aprova expira ao fim de 24 horas. Tudo (pedir, aprovar, recusar e fazer) fica no Centro de registos.

Com um só administrador não se deixa ligar: não haveria quem aprovasse nada. Se alguma vez ficar só um com a regra ligada, a única coisa que se pode fazer sem aprovação é desligá-la.

5. Grupos: a regra que não se repete

Tudo o que foi dito antes se pode dar a um grupo em vez de a uma pessoa. «As câmaras, para todos os de casa» é uma regra, não sete.

Quando há regras de grupo e de pessoa sobre a mesma aplicação:

• A da pessoa ganha, mesmo que seja mais restritiva. É isso que permite «o grupo todo menos fulano», que é a exceção que acaba sempre por fazer falta.
• Entre dois grupos ganha o mais permissivo, que é o que espera qualquer pessoa que pertença aos dois.

Na prática: monta os grupos segundo como se usa a casa (adultos, convidados, os miúdos) e não por aplicação. Um grupo por aplicação é a lista que ninguém mantém.

6. As pastas da casa

Partilhar uma pasta e dar-lhe acesso a alguém são dois passos diferentes, e é aí que quase toda a gente encrava:

1. Criar a pasta em Painel de controlo → Pastas da casa.
2. Dizer por onde é publicada: SMB, NFS, WebDAV — cada um marca-se nessa pasta, e o protocolo tem ainda de estar ligado em Serviços de ficheiros.
3. Dizer quem entra: nas permissões dessa pasta, pessoa a pessoa ou grupo a grupo, com sem acesso / só leitura / leitura e escrita.

Sem o passo 3 a pasta existe e ninguém a vê. É a ordem certa: uma pasta nova nasce fechada.

Nessa mesma ficha há um interruptor, Esvazia-se sozinha, para a pasta de ida e volta —a de troca com os de casa, a do que se carrega a partir do telemóvel—: todos os dias retira o que estiver há mais de N dias sem ser mexido, em vez de a deixar crescer até encher o volume. Vem desligado, e está explicado em Ficheiros.

«A minha unidade» tem a sua própria linha em Pastas da casa, por cima das outras: um interruptor geral e os mesmos distintivos SMB, NFS e WebDAV. Aqui não há permissões para distribuir: cada conta entra na sua e só na sua, por qualquer um dos três. Tal como nas outras pastas, cada serviço tem ainda de estar ligado em Serviços de ficheiros.

• SMB vem ligado: no Windows é \\NAS\home (ou o nome da conta).
• NFS não pede palavra-passe, por isso não se liga sem uma lista de dispositivos que a podem montar —o seu IP ou a sua rede—, e só esses a montam.
• WebDAV deixa-a em https://<NAS>:8081/~<conta> para as contas que tenham **Acesso web aos ficheiros** na sua ficha. É o que o LGM Connect usa para a abrir fora de casa.

Desligada, «A minha unidade» não sai para a rede, mas os ficheiros não são mexidos e continua a ver-se em Ficheiros. O SFTP vai à parte: dá-se na ficha de cada conta e entra sempre na sua «A minha unidade».

Partilhar as tuas coisas com alguém de casa

O que está na tua unidade partilhas tu, sem pedir a ninguém. Há um botão «Partilhar», igual em Ficheiros, Galeria, Música, Filmes, Câmaras e Máquinas virtuais: abre-se uma janela com as pessoas da casa (e os grupos, se os houver), marcas quem quiseres e escolhes «Pode ver» ou «Pode alterar» (numa máquina virtual, «Pode usá-la»).

• Quem recebe vê um aviso com «Abrir», e tem-no no separador «Partilhado comigo» dessa aplicação.
• Em Painel de controlo → A tua conta estão «O que partilhas», para deixar de partilhar com um toque, e «Partilhado comigo», para o abrir ou «Deixar de receber».
• Para juntar as fotos de várias pessoas há a galeria partilhada: é um convite, e só entra quem o aceita (Galeria).
• As pastas da casa continuam a distribuir-se como até agora, com a sua lista de permissões em Pastas da casa.

Nas aplicações, tudo isto vê-se nos mesmos separadores: O meu, Partilhado comigo e Da casa (e De todos, só para quem administra com «Ver o conteúdo de todas as contas» ligado). Cada aplicação lembra-se de onde a deixaste.

7. Quanto espaço tem cada um

Na ficha de cada conta pode pôr-se um limite. Sem limite, todos partilham o volume inteiro e o primeiro que transferir uma temporada em 4K come-o todo.

O limite aplica-se ao escrever, venha por onde vier —painel, SMB ou SFTP—, e quem o atinge recebe um «não há espaço» normal no seu dispositivo.

Ao chegar a 90 % do limite, o painel avisa quem administra —com o sítio onde o subir— e a pessoa, se entrar no painel, para que liberte espaço. Uma vez por susto: se descer abaixo de 85 % e voltar a encher, avisa outra vez.

8. Remover alguém

Ao eliminar uma conta fecha-se tudo o que é seu de uma só vez: a entrada no painel, a conta do sistema, SMB, as suas sessões abertas, as suas ligações públicas e os seus pedidos de ficheiros, a sua linha nas permissões de cada pasta e as suas regras de aplicações.

Com eles vão também o que partilhava e o que lhe partilhavam, o fundo do ambiente de trabalho, as pesquisas da Galeria, os avisos e o seu «Ver o conteúdo de todas as contas».

Isto último importa mais do que parece: se não fossem retiradas, criar outra pessoa com o mesmo nome herdaria o da anterior. Numa casa isso acontece —elimina-se «convidado» e volta-se a criar meses depois—.

O que NÃO se elimina são os seus ficheiros. A sua «A minha unidade» continua no volume. É de propósito: eliminar uma conta é um clique e eliminar os dados de alguém não o deveria ser.

As contas e os grupos que o próprio NAS usa (os dos seus serviços e o dos administradores) não se podem apagar: a sua linha di-lo e explica porquê.

9. Chaves de API

Para scripts e domótica que falem com o NAS sem palavra-passe nem navegador. Cada conta cria as suas em Painel de controlo → A tua conta → Chaves de API: a chave mostra-se uma única vez, expira quando se decidir e pode limitar-se a algumas aplicações. Usa-se como Authorization: Bearer lgm_… em qualquer rota da API, com o que o seu dono pode fazer. Uma chave nunca muda a palavra-passe nem a conta: isso faz-se no painel, com a palavra-passe. Também não abre as ligações em direto do painel (o monitor, a consola, o direto das câmaras: vão por WebSocket e precisam da sessão do navegador), nem transfere o relatório para o suporte; e uma chave limitada a algumas aplicações não chega ao editor de documentos nem a nada que não seja dessas aplicações. Ao remover uma conta, as suas chaves vão-se com ela.

10. Chaves SSH

Para que um portátil faça cópias com rsync, ou um cliente SFTP entre, sem escrever a palavra-passe. Cada conta cola a chave pública do seu dispositivo (a que termina em .pub) em Painel de controlo → A tua conta → Chaves SSH, e o administrador pode colocá-la na ficha de qualquer utilizador («Utilizadores e grupos → a conta → Acesso»). Uma chave não abre nada que a conta não tenha já: é preciso consola SSH ou SFTP. Ao remover uma conta, as suas chaves vão-se com ela.

Ver também

• Ficheiros — ligações de transferência, pedir ficheiros e a reciclagem.
• Ligar os teus dispositivos ao NAS — SMB, SFTP e WebDAV em cada dispositivo.
• Quando algo não funciona — «entro mas não consigo ver isto».

11. Duplicar uma conta e convidar por ligação

Duplicar (na lista de utilizadores) cria uma conta com as mesmas aplicações, pastas, grupos, limite de espaço, acesso ao painel e portas que outra; a palavra-passe é nova. E em vez de escreveres tu a palavra-passe, podes marcar «Que seja a própria pessoa a defini-la com uma ligação»: a conta nasce fechada e recebes uma ligação de utilização única, válida durante 48 horas, para que essa pessoa defina a sua palavra-passe a partir do telemóvel. A ligação só se vê uma vez; se se perder, gera-se outra em «Editar» e a anterior deixa de valer. Só para contas de pessoas: nem as do sistema nem as do domínio.

A ligação leva o endereço pelo qual se chega ao NAS fora de casa (o que estás a usar, ou o do NAS), por isso abre-se também no telemóvel com dados móveis. E é a única forma de criar contas para quem gere contas sem administrar: a palavra-passe põe-na sempre a própria pessoa.