ZimaOS documente actuellement les autorisations de stockage par utilisateur, mais pas la visibilité des applications du tableau de bord par utilisateur. Les comptes membres peuvent donc être limités à certains fichiers ou partages, tandis que les tuiles des applications installées restent un élément distinct du tableau de bord global.
Le fil de discussion d’origine a correctement signalé une limitation du produit : il n’était pas possible d’y masquer les icônes de Cloudflared, Jellyfin ou d’autres applications pour certains utilisateurs standard. Comme la documentation actuelle décrit toujours une page unique pour les applications installées, sans contrôle de visibilité des applications par rôle, considérez cela comme un problème de conception des accès plutôt que comme un paramètre caché.
Les autorisations sur les fichiers et la visibilité des applications sont deux choses différentes
Le guide actuel des autorisations multi-utilisateurs de ZimaOS prend en charge les comptes membres avec des autorisations au niveau des partages. Cela ne signifie pas que chaque membre dispose d’un tableau de bord Apps différent.
Ne comptez pas sur le masquage d’une icône pour assurer la sécurité
Même si une future interface permet de masquer une tuile d’application, l’application elle-même doit toujours disposer d’une authentification et d’un contrôle d’accès réseau. La sécurité doit être assurée au niveau de l’application ou du proxy.
Protégez les applications d’administration avec leur propre authentification
Cloudflared, les proxys inverses, les bases de données, les clients de téléchargement et les outils de surveillance doivent exiger des identifiants propres à l’application ou être accessibles uniquement depuis un réseau local ou un VPN administrateur. Un utilisateur standard ne doit pas obtenir de contrôle administratif simplement parce qu’il connaît le port.
Utilisez des comptes utilisateur propres aux applications pour Jellyfin et les services similaires
Jellyfin, Nextcloud, Immich et de nombreuses autres applications auto-hébergées disposent déjà de leurs propres systèmes d’utilisateurs et de rôles. Créez des comptes pour les membres de votre famille dans le service au lieu de partager les identifiants administrateur.
Utilisez Cloudflare Access ou un proxy inverse pour les URL publiques
Si vous publiez une application via votre domaine, utilisez, le cas échéant, les règles d’authentification et d’accès du proxy inverse. Le raccourci du tableau de bord ZimaOS peut pointer vers l’URL publique, mais cela ne remplace pas l’autorisation au niveau de l’application.
Évitez autant que possible les vignettes d’applications en double
Si une vignette interne et une vignette de lien externe pointent vers le même service, gardez celle qui convient au public visé et supprimez les raccourcis redondants lorsque ZimaOS le permet. Ne supprimez pas le conteneur lui-même simplement pour épurer le tableau de bord.
Gardez les applications de gestion privées
Les outils tels que Cloudflared doivent être considérés comme des éléments d’infrastructure, et non comme des applications familiales ordinaires. Si ZimaOS ne permet pas de les masquer pour chaque membre, limitez l’accès à leur point de terminaison réseau réel afin que leur visibilité n’implique pas qu’ils puissent les contrôler.
Le guide d’accès aux applications présente une architecture plus sûre.
Limites actuelles du produit
La page des fonctionnalités actuelles de ZimaOS indique que les applications installées sont gérées depuis une seule page, tandis que les autorisations des comptes utilisateurs sont décrites en lien avec l’accès au stockage. Aucune documentation officielle actuelle ne fait état d’une visibilité des vignettes d’applications basée sur les rôles.
FAQ
ZimaOS peut-il masquer des applications pour le compte d’un membre ?
Aucun contrôle de visibilité des applications par utilisateur, fourni par l’éditeur, n’est actuellement documenté.
Un utilisateur standard peut-il arrêter Cloudflared ?
Si l’interface de l’application permet elle-même un accès sans authentification ou administrateur, protégez ce service séparément ; ne vous fiez pas à la vignette du tableau de bord.
Comment partager Jellyfin ?
Utilisez les comptes et les autorisations propres à Jellyfin, éventuellement derrière un proxy inverse sécurisé pour l’accès à distance.
La visibilité d’une application équivaut-elle à une autorisation d’accès ?
Non. Une icône masquée est une simple commodité de l’interface ; l’authentification de l’application et les règles réseau assurent un véritable contrôle d’accès.
