In de huidige documentatie van ZimaOS worden opslagmachtigingen per gebruiker beschreven, maar niet de zichtbaarheid van dashboardapps per gebruiker. Dit betekent dat lidaccounts kunnen worden beperkt tot specifieke bestanden/gedeelde mappen, terwijl de tegels van geïnstalleerde apps een afzonderlijke, algemene dashboardkwestie blijven.
In de brondiscussie werd terecht een productbeperking vastgesteld: het was daar niet mogelijk om Cloudflared-, Jellyfin- of andere app-pictogrammen te verbergen voor bepaalde standaardgebruikers. Omdat de huidige documentatie nog steeds één pagina met geïnstalleerde apps beschrijft, zonder instelling voor app-zichtbaarheid op basis van rollen, moet je dit beschouwen als een toegangsbeheerprobleem en niet als een verborgen instelling.
Bestandsmachtigingen en de zichtbaarheid van apps zijn verschillend
De huidige gids voor ZimaOS-machtigingen voor meerdere gebruikers biedt ondersteuning voor lidaccounts met machtigingen op gedeeld-niveau. Dat betekent niet dat elk lid een ander app-dashboard krijgt.
Vertrouw voor beveiliging niet op het verbergen van een pictogram
Zelfs als je in een toekomstige gebruikersinterface een app-tegel kunt verbergen, moet de app zelf nog steeds authenticatie en netwerktoegangsbeheer hebben. Beveiliging hoort op de applicatie- of proxyniveau te worden geregeld.
Beveilig beheerapps met hun eigen authenticatie
Voor Cloudflared, reverseproxy's, databases, downloadclients en monitoringtools zijn app-inloggegevens vereist, of ze mogen alleen bereikbaar zijn via een beheerders-LAN/VPN. Een standaardgebruiker mag niet alleen door het kennen van de poort beheerdersrechten krijgen.
Gebruik gebruikersaccounts op appniveau voor Jellyfin en vergelijkbare services
Jellyfin, Nextcloud, Immich en veel andere zelfgehoste toepassingen hebben al een eigen gebruikers- en rollensysteem. Maak accounts voor gezinsleden aan binnen de service in plaats van gedeelde beheerdersgegevens te gebruiken.
Gebruik Cloudflare Access of een reverseproxy voor openbare URL's
Als je een app via je domein beschikbaar stelt, gebruik dan waar van toepassing het authenticatie-/toegangsbeleid van de reverseproxy. De snelkoppeling in het ZimaOS-dashboard kan naar de openbare URL verwijzen, maar vervangt de autorisatie binnen de app niet.
Voorkom waar mogelijk dubbele apptegels
Als een interne tegel en een tegel met een externe link naar dezelfde dienst verwijzen, behoud dan de tegel die geschikt is voor je beoogde doelgroep en verwijder overbodige snelkoppelingen waar ZimaOS dat toestaat. Verwijder niet de daadwerkelijke container alleen om het dashboard op te schonen.
Houd beheerapps privé
Hulpmiddelen zoals Cloudflared moeten worden beschouwd als infrastructuur, niet als gewone gezinsapps. Als ZimaOS ze niet per gezinslid kan verbergen, beperk dan het daadwerkelijke netwerkeindpunt ervan, zodat zichtbaarheid niet gelijkstaat aan controle.
De handleiding voor app-toegang beschrijft een veiligere architectuur.
Huidige productgrenzen
Op de huidige pagina met ZimaOS-functies staat dat geïnstalleerde apps vanaf één pagina worden beheerd, terwijl machtigingen voor gebruikersaccounts worden beschreven in relatie tot toegang tot opslag. In de huidige documentatie van de eerste partij is geen zichtbaarheid van apptegels op basis van rollen beschreven.
Veelgestelde vragen
Kan ZimaOS apps verbergen voor één account van een gezinslid?
Er is geen actuele documentatie over bediening per gebruiker om de zichtbaarheid van apps door de eerste partij te beheren.
Kan een standaardgebruiker Cloudflared stoppen?
Als de gebruikersinterface van de app zelf toegang zonder authenticatie of met beheerdersrechten toestaat, beveilig die dienst dan apart; vertrouw niet op de tegel in het dashboard.
Hoe deel ik Jellyfin?
Gebruik de eigen gebruikersaccounts en machtigingen van Jellyfin, eventueel achter een beveiligde reverseproxy voor toegang op afstand.
Is de zichtbaarheid van een app hetzelfde als app-machtigingen?
Nee. Een verborgen pictogram is handig voor de gebruikersinterface; de authenticatie van de toepassing en het netwerkbeleid zorgen voor echte toegangscontrole.
