ZimaOS のドキュメントでは現在、ユーザーごとのストレージ権限は説明されていますが、ユーザーごとのダッシュボードアプリ表示設定は記載されていません。つまり、メンバーアカウントのアクセスを特定のファイルや共有に制限することはできますが、インストール済みアプリのタイルは別途、ダッシュボード全体に関わる設定となります。
元のスレッドでは、Cloudflared、Jellyfin などのアプリアイコンを特定の一般ユーザーに非表示にできないという製品上の制限が正しく指摘されていました。現在のドキュメントでも、ロールに応じてアプリの表示を制御する機能は記載されず、インストール済みアプリのページは共通となっています。そのため、これは隠れた設定の問題ではなく、アクセス設計の問題として捉えてください。
ファイル権限とアプリの表示設定は別のもの
現在の ZimaOS のマルチユーザー権限ガイドでは、共有レベルの権限を持つメンバーアカウントがサポートされています。ただし、メンバーごとに異なるアプリダッシュボードが提供されるわけではありません。
アイコンを非表示にするだけのセキュリティ対策に頼らない
将来の UI でアプリタイルを非表示にできるようになったとしても、アプリ自体に認証とネットワークアクセス制御が必要です。セキュリティ対策はアプリケーション層またはプロキシ層で行いましょう。
管理アプリはそれぞれ独自の認証で保護する
Cloudflared、リバースプロキシ、データベース、ダウンロードクライアント、監視ツールには、アプリの認証情報を設定するか、管理者用 LAN／VPN からのみアクセスできるようにしてください。一般ユーザーがポート番号を知っているだけで管理権限を得ることがないようにしましょう。
Jellyfin などのサービスではアプリ内ユーザーを使用する
Jellyfin、Nextcloud、Immich をはじめ、多くのセルフホスト型アプリには独自のユーザー／ロール管理機能があります。管理者認証情報を共有するのではなく、家族には各サービス内でアカウントを作成しましょう。
公開 URL には Cloudflare Access またはリバースプロキシを使用する
独自ドメイン経由でアプリを公開する場合は、必要に応じてリバースプロキシの認証・アクセス制御ポリシーを使用してください。ZimaOSのダッシュボードのショートカットから公開URLを開けますが、それでアプリの認可が不要になるわけではありません。
可能な限りアプリタイルの重複を避ける
内部向けのタイルと外部リンクのタイルが同じサービスを指している場合は、利用対象者に適した方を残し、ZimaOSで可能であれば重複するショートカットを削除してください。ダッシュボードを整理するためだけに、実際のコンテナを削除してはいけません。
管理用アプリは非公開にする
Cloudflaredなどのツールは、通常の家族向けアプリではなく、インフラとして扱ってください。ZimaOSでメンバーごとに非表示にできない場合は、実際のネットワーク接続先を制限し、表示できることと操作できることが同じにならないようにしてください。
アプリへのアクセスガイドで、より安全な構成を紹介しています。
現在の製品仕様
現在のZimaOSの機能ページでは、インストール済みアプリは1つのページから管理すると説明されています。一方、ユーザーアカウントの権限については、ストレージへのアクセスを中心に説明されています。現在、アプリタイルの表示をロールベースで制御できる公式ドキュメントはありません。
よくある質問
ZimaOSでは、メンバーアカウントごとにアプリを非表示にできますか？
現在、アプリの表示をユーザーごとに制御する公式機能のドキュメントはありません。
一般ユーザーはCloudflaredを停止できますか？
アプリのUIから認証なしで管理者アクセスできる場合は、そのサービスを別途保護してください。ダッシュボードのタイルに頼ってはいけません。
Jellyfinを共有するにはどうすればよいですか？
Jellyfin独自のユーザーアカウントと権限を使用し、リモートから利用する場合は、安全なリバースプロキシを介して接続する方法もあります。
アプリの表示設定は、アプリの権限設定と同じですか？
いいえ。アイコンを隠すのはUI上の利便性にすぎません。実際のアクセス制御は、アプリの認証とネットワークポリシーで行います。
