ZimaOS dokumentiert derzeit Speicherberechtigungen pro Benutzer, jedoch keine Sichtbarkeit von Dashboard-Apps pro Benutzer. Das bedeutet, dass Mitgliedskonten auf bestimmte Dateien/Freigaben beschränkt werden können, während installierte App-Kacheln weiterhin eine separate, globale Dashboard-Angelegenheit sind.
Der ursprüngliche Thread hat eine Produktbeschränkung korrekt erkannt: Das Ausblenden von Cloudflared, Jellyfin oder anderen App-Symbolen für ausgewählte Basiskonten wurde dort nicht unterstützt. Da die aktuelle Dokumentation weiterhin eine Seite mit allen installierten Apps ohne rollenbasierte Steuerung der App-Sichtbarkeit beschreibt, sollte dies als Zugriffsdesign-Problem und nicht als versteckte Einstellung betrachtet werden.
Dateiberechtigungen und App-Sichtbarkeit sind unterschiedlich
Der aktuelle Leitfaden zu ZimaOS-Mehrbenutzerberechtigungen unterstützt Mitgliedskonten mit Berechtigungen auf Freigabeebene. Das bedeutet nicht, dass jedes Mitglied ein anderes Apps-Dashboard erhält.
Verlassen Sie sich für die Sicherheit nicht auf das Ausblenden eines Symbols
Selbst wenn eine zukünftige Benutzeroberfläche das Ausblenden einer App-Kachel ermöglicht, benötigt die App weiterhin Authentifizierung und Zugriffskontrollen für das Netzwerk. Die Sicherheit sollte auf der Anwendungs- oder Proxy-Ebene umgesetzt werden.
Schützen Sie Admin-Apps mit einer eigenen Authentifizierung
Cloudflared, Reverse-Proxys, Datenbanken, Download-Clients und Überwachungstools sollten App-Zugangsdaten erfordern oder nur aus einem Admin-LAN/VPN erreichbar sein. Ein Basiskonto sollte nicht allein dadurch administrative Kontrolle erhalten, dass es den Port kennt.
Verwenden Sie App-Benutzer für Jellyfin und ähnliche Dienste
Jellyfin, Nextcloud, Immich und viele andere selbst gehostete Anwendungen bieten bereits eigene Benutzer- und Rollensysteme. Erstellen Sie für Familienmitglieder Konten innerhalb des jeweiligen Dienstes, statt gemeinsame Admin-Zugangsdaten zu verwenden.
Verwenden Sie Cloudflare Access oder einen Reverse-Proxy für öffentliche URLs
Wenn Sie eine App über Ihre Domain veröffentlichen, verwenden Sie gegebenenfalls die Authentifizierungs- und Zugriffsrichtlinien des Reverse-Proxys. Die ZimaOS-Dashboard-Verknüpfung kann auf die öffentliche URL verweisen, ersetzt jedoch keine Autorisierung innerhalb der App.
Vermeiden Sie nach Möglichkeit doppelte App-Kacheln
Wenn eine interne Kachel und eine Kachel für einen externen Link auf denselben Dienst verweisen, behalten Sie diejenige, die für die vorgesehene Zielgruppe funktioniert, und entfernen Sie redundante Verknüpfungen, sofern ZimaOS dies ermöglicht. Entfernen Sie nicht den eigentlichen Container, nur um das Dashboard aufzuräumen.
Halten Sie Verwaltungs-Apps privat
Tools wie Cloudflared sollten als Infrastruktur und nicht als normale Familien-Apps betrachtet werden. Wenn ZimaOS sie nicht pro Mitglied ausblenden kann, beschränken Sie den tatsächlichen Netzwerkendpunkt, damit Sichtbarkeit nicht mit Kontrolle gleichzusetzen ist.
Der Leitfaden zum App-Zugriff beschreibt die sicherere Architektur.
Aktuelle Produktgrenze
Auf der aktuellen ZimaOS-Features-Seite steht, dass installierte Apps über eine zentrale Seite verwaltet werden, während Benutzerkontoberechtigungen im Zusammenhang mit dem Speicherzugriff beschrieben werden. In der aktuellen Dokumentation des Herstellers wird keine rollenbasierte Sichtbarkeit von App-Kacheln angeboten.
FAQ
Kann ZimaOS Apps für ein bestimmtes Mitgliedskonto ausblenden?
Derzeit ist keine herstellerseitig dokumentierte App-Sichtbarkeitssteuerung pro Benutzer verfügbar.
Kann ein Basiskonto Cloudflared stoppen?
Wenn die Benutzeroberfläche der App selbst unauthentifizierten oder administrativen Zugriff erlaubt, schützen Sie diesen Dienst separat und verlassen Sie sich nicht auf die Dashboard-Kachel.
Wie sollte ich Jellyfin freigeben?
Verwenden Sie die eigenen Benutzerkonten und Berechtigungen von Jellyfin, bei Fernzugriff optional hinter einem sicheren Reverse-Proxy.
Ist die App-Sichtbarkeit dasselbe wie die App-Berechtigung?
Nein. Ein ausgeblendetes Symbol ist lediglich eine Komfortfunktion der Benutzeroberfläche; die tatsächliche Zugriffskontrolle erfolgt durch Anwendungsauthentifizierung und Netzwerkrichtlinien.
