Attualmente ZimaOS documenta le autorizzazioni di archiviazione per utente, ma non la visibilità delle app nella dashboard per utente. Ciò significa che gli account dei membri possono essere limitati a file o condivisioni specifici, mentre i riquadri delle app installate restano una questione distinta, valida per l’intera dashboard.
La discussione originale ha individuato correttamente un limite del prodotto: non era possibile nascondere le icone di Cloudflared, Jellyfin o altre app agli utenti standard selezionati. Poiché la documentazione attuale descrive ancora un’unica pagina delle app installate, senza un controllo della visibilità delle app basato sui ruoli, consideralo un problema di progettazione degli accessi, non un’impostazione nascosta.
Le autorizzazioni per i file e la visibilità delle app sono due cose diverse
L’attuale guida alle autorizzazioni multiutente di ZimaOS supporta gli account dei membri con autorizzazioni a livello di condivisione. Questo non significa che ogni membro abbia una dashboard delle app diversa.
Non fare affidamento sul nascondere un’icona per garantire la sicurezza
Anche se in futuro l’interfaccia permetterà di nascondere il riquadro di un’app, l’app stessa dovrà comunque avere un sistema di autenticazione e controlli di accesso alla rete. La sicurezza dovrebbe essere garantita a livello di applicazione o di proxy.
Proteggi le app di amministrazione con un sistema di autenticazione dedicato
Cloudflared, proxy inversi, database, client di download e strumenti di monitoraggio devono richiedere credenziali specifiche per l’applicazione oppure essere accessibili solo da una LAN/VPN amministrativa. Un utente standard non dovrebbe poter ottenere il controllo amministrativo solo perché conosce la porta.
Usa utenti a livello di applicazione per Jellyfin e servizi simili
Jellyfin, Nextcloud, Immich e molte altre applicazioni self-hosted hanno già i propri sistemi di utenti e ruoli. Crea account per i familiari all’interno del servizio invece di condividere le credenziali di amministratore.
Usa Cloudflare Access o un proxy inverso per gli URL pubblici
Se rendi disponibile un'app tramite il tuo dominio, usa, ove opportuno, le regole di autenticazione e accesso del proxy inverso. La scorciatoia nella dashboard di ZimaOS può rimandare all'URL pubblico, ma non sostituisce l'autorizzazione dell'app.
Se possibile, evita i riquadri delle app duplicati
Se un riquadro interno e uno con link esterno rimandano allo stesso servizio, tieni quello adatto al pubblico previsto e rimuovi le scorciatoie ridondanti, se ZimaOS lo consente. Non rimuovere il container effettivo solo per riordinare la dashboard.
Mantieni private le app di gestione
Strumenti come Cloudflared vanno considerati infrastruttura, non normali app per la famiglia. Se ZimaOS non può nasconderli ai singoli membri, limita l'accesso al loro endpoint di rete effettivo, così che la visibilità non equivalga al controllo.
La guida all'accesso alle app illustra l'architettura più sicura.
Limiti attuali del prodotto
La pagina delle funzionalità attuali di ZimaOS afferma che le app installate si gestiscono da un'unica pagina, mentre le autorizzazioni degli account utente sono descritte in relazione all'accesso allo spazio di archiviazione. Nessuna documentazione ufficiale attuale prevede la visibilità dei riquadri delle app in base ai ruoli.
FAQ
ZimaOS può nascondere le app a un account membro?
Al momento non è documentata alcuna funzione ufficiale per controllare la visibilità delle app per singolo utente.
Un utente base può arrestare Cloudflared?
Se l'interfaccia dell'app consente l'accesso senza autenticazione o l'accesso amministrativo, proteggi quel servizio separatamente; non fare affidamento sul riquadro nella dashboard.
Come dovrei condividere Jellyfin?
Usa gli account utente e le autorizzazioni di Jellyfin, eventualmente dietro un proxy inverso sicuro per l'accesso remoto.
La visibilità di un'app equivale alle autorizzazioni dell'app?
No. Un'icona nascosta è una comodità dell'interfaccia; l'autenticazione dell'applicazione e i criteri di rete garantiscono un vero controllo degli accessi.
