Actualmente, ZimaOS documenta permisos de almacenamiento por usuario, pero no la visibilidad de aplicaciones del panel por usuario. Esto significa que se puede restringir el acceso de las cuentas de miembro a archivos y recursos compartidos específicos, mientras que los iconos de las aplicaciones instaladas siguen siendo una cuestión independiente del panel global.
El hilo original identificó correctamente una limitación del producto: no se admitía ocultar los iconos de Cloudflared, Jellyfin u otras aplicaciones a determinados usuarios básicos. Como la documentación actual sigue describiendo una única página de aplicaciones instaladas sin controles de visibilidad de aplicaciones basados en roles, considéralo un problema de diseño de acceso, no una opción oculta.
Los permisos de archivos y la visibilidad de las aplicaciones son cosas distintas
La guía actual de permisos multiusuario de ZimaOS admite cuentas de miembro con permisos a nivel de recurso compartido. Eso no significa que cada miembro tenga un panel de aplicaciones diferente.
No confíes en ocultar un icono para protegerte
Aunque una interfaz futura permita ocultar el icono de una aplicación, esta seguirá necesitando autenticación y control de acceso a la red. La seguridad debe estar en la aplicación o en la capa del proxy.
Protege las aplicaciones de administración con su propia autenticación
Cloudflared, los proxies inversos, las bases de datos, los clientes de descarga y las herramientas de supervisión deben requerir credenciales de la aplicación o ser accesibles solo desde una LAN/VPN de administración. Un usuario básico no debería obtener control administrativo solo por conocer el puerto.
Usa usuarios propios de la aplicación para Jellyfin y servicios similares
Jellyfin, Nextcloud, Immich y muchas otras aplicaciones autoalojadas ya cuentan con sus propios sistemas de usuarios y roles. Crea cuentas para los miembros de la familia dentro del servicio en lugar de compartir credenciales de administrador.
Usa Cloudflare Access o un proxy inverso para las URL públicas
Si publicas una aplicación a través de tu dominio, utiliza la política de autenticación y acceso del proxy inverso cuando corresponda. El acceso directo del panel de ZimaOS puede apuntar a la URL pública, pero eso no sustituye la autorización de la aplicación.
Evita los accesos directos duplicados a aplicaciones cuando sea posible
Si un acceso directo interno y otro externo apuntan al mismo servicio, conserva el que funcione para el público previsto y elimina los accesos redundantes cuando ZimaOS lo permita. No elimines el contenedor en sí solo para ordenar el panel.
Mantén privadas las aplicaciones de administración
Las herramientas como Cloudflared deben tratarse como infraestructura, no como aplicaciones familiares normales. Si ZimaOS no permite ocultarlas a miembros específicos, restringe el acceso a su punto de conexión de red para que la visibilidad no implique control.
La guía de acceso a las aplicaciones ofrece una arquitectura más segura.
Límites actuales del producto
La página actual de funciones de ZimaOS indica que las aplicaciones instaladas se gestionan desde una sola página, mientras que los permisos de las cuentas de usuario se describen en relación con el acceso al almacenamiento. La documentación actual de ZimaOS no contempla la visibilidad de los accesos directos de aplicaciones basada en roles.
Preguntas frecuentes
¿Puede ZimaOS ocultar aplicaciones a la cuenta de un miembro?
No hay documentación actual de un control propio para la visibilidad de aplicaciones por usuario.
¿Puede un usuario básico detener Cloudflared?
Si la interfaz de la aplicación permite el acceso sin autenticación o el acceso de administrador, protege ese servicio por separado; no dependas del acceso directo del panel.
¿Cómo debería compartir Jellyfin?
Usa las cuentas de usuario y los permisos propios de Jellyfin, opcionalmente detrás de un proxy inverso seguro para el acceso remoto.
¿La visibilidad de una aplicación es lo mismo que sus permisos?
No. Un icono oculto es una comodidad de la interfaz; la autenticación de la aplicación y las políticas de red proporcionan un control de acceso real.
