NAS Access A che cosa serve questa app
PARTE 1
Due sistemi che da soli non si incontrano
Il tuo account vive nel cloud. È lo stesso con cui leggi la posta e accedi ai siti di lavoro. La tua organizzazione lo gestisce lì.
I tuoi file vivono nel tuo edificio. Stanno su un file server — la macchina da cui arrivano le unità di rete e le cartelle condivise. Sulla sicurezza quel server è all'antica di proposito, e del cloud non ha mai sentito parlare.
Lasciati a se stessi, i due non riescono a mettersi d'accordo sul fatto che tu sia tu.
NAS Access fa da tramite
NAS Access trasforma il tuo accesso cloud in un lasciapassare che il file server capisce e accetta.
Tre cose che vale la pena sapere
Il lasciapassare ha una scadenza. In genere buona parte di una giornata di lavoro. È normale e voluto — è ciò che permette alla tua organizzazione di togliere l'accesso quando serve.
NAS Access ne ottiene uno nuovo in silenzio verso metà strada, molto prima che il vecchio scada. In una giornata normale non te ne accorgerai mai.
Non può rinnovare ciò che non ha. Se l'app non riesce a ottenere un lasciapassare nuovo da sola, te lo dice prima che quello attuale scada, così basta un clic e continui a lavorare.
▶ Tecnicamente i termini precisi, per chi li vuole
Il tuo account cloud è un'identità OIDC presso un identity provider (Entra ID nella maggior parte delle installazioni). La prova è un access token OIDC, ottenuto con un flusso authorization code con PKCE nel browser di sistema.
Il broker è il servizio KerBridge gestito dal tuo team IT. Convalida il token e chiede al KDC di emettere un autentico Kerberos TGT (ticket-granting ticket) per il tuo account nel realm in sede.
La "tasca del lasciapassare" è la cache dei ticket della tua sessione di accesso — la sessione di logon LSA su Windows, la cache API: di Heimdal su macOS. Mettere lì il ticket si chiama iniezione. Da lì in poi il normale client SMB fa Kerberos ordinario: usa il TGT per ottenere un ticket di servizio per il file server. Nessuna parte del percorso di accesso ai file viene modificata.
Il "lasciapassare nuovo a metà strada" è una re-iniezione, non un rinnovo a livello Kerberos. Secondo i nostri test Windows chiede sì al KDC di rinnovare un TGT iniettato da KerBridge, ma poi non installa mai il risultato — quindi l'agente ripete l'intero scambio e inietta un ticket nuovo.
Che cosa non fa
- Non memorizza la tua password. Non la vede mai.
- Non legge né modifica i tuoi file, le tue unità o le lettere delle unità.
- Non sostituisce l'accesso della tua organizzazione. Lo usa.
- Non deve essere in esecuzione perché tu possa usare il computer — solo perché le unità di rete restino raggiungibili.
▶ Tecnicamente che cosa viene conservato, e dove
Nessun segreto su disco. L'access token viene scartato nell'istante in cui lo scambio del ticket si completa. Il refresh token vive solo nella memoria del processo e muore con esso — non viene mai scritto su disco né nel registro. Su disco restano l'URL del broker, una copia in cache della configurazione scoperta e lo stato di autorizzazione di questo dispositivo. In realtà non sa nemmeno del tuo NAS o degli altri servizi Kerberos; tratta soltanto Kerberos TGT.
L'icona
PARTE 2NAS Access vive nell'area di notifica. L'icona è tutto lo stato, a colpo d'occhio.
NAS Access vive nella barra dei menu. L'icona è tutto lo stato, a colpo d'occhio.
Sbiadita non vuol dire guasta. La piena intensità è riservata a niente da vedere, così quando c'è qualcosa da vedere ha il contrasto per farsi notare.
Le forme contano quanto i colori — un triangolo e un cerchio restano diversi anche per chi non distingue facilmente l'ambra dal rosso.
Su Mac le stesse quattro forme compaiono nell'unico colore della barra dei menu, perché è così che la barra dei menu disegna ogni cosa.
Il pannello di stato
PARTE 3Un clic sull'icona apre un piccolo pannello. Ti mostra che cosa ha bisogno di te, poi chi sei, poi per quanto, e infine perché, se qualcosa non va.
Un clic sull'icona apre il menu. Mostra che cosa ha bisogno di te, chi sei, per quanto e perché devi intervenire, se qualcosa non va.
L'intestazione
Una sola riga, colorata, che dà un nome alla situazione.
| Intestazione | Che cosa significa | Che cosa fare |
|---|---|---|
| Accesso OK | Le tue unità funzionano, e l'app può tenerle in funzione da sola. | Niente. |
| Rinnovo incerto | Le tue unità funzionano, per ora. L'app fa fatica a raggiungere il server del tuo team IT. | Di solito niente — spesso si risolve da solo. Se persiste, segnalalo all'IT. |
| Accesso in scadenza | Le tue unità funzionano, ma l'accesso terminerà a un'ora nota e niente lo rinnoverà da solo. | Usa il pulsante che propone di estendere l'accesso, quando ti fa comodo, prima di quell'ora. |
| Nessun accesso | Le tue unità non si apriranno. | Leggi la spiegazione sotto l'intestazione — dice il perché e offre il pulsante che risolve. |
| Disattivato | L'app qui non è in funzione e non è previsto che lo sia — per esempio dopo che hai chiuso l'accesso. | Niente, a meno che tu non voglia riavere l'accesso. |
Un avviso di scadenza non è un guasto. Significa che all'app sono finiti i modi silenziosi di rinnovare — spesso semplicemente perché hai chiuso la sessione del browser, o perché l'autorizzazione del dispositivo si avvicina al rinnovo. Il tuo accesso resta intatto fino all'ora indicata. Un clic ripristina i rinnovi silenziosi.
▶ Tecnicamente da che cosa viene calcolata l'intestazione
L'intestazione mostra Condition, uno fra Working, Flaky, WillStop, Stopped e NotStarted. È una funzione pura di tre fatti locali: se è presente un ticket utilizzabile, se ci si aspetta che questa macchina sia operativa qui, e se esiste una fonte silenziosa per il prossimo rinnovo.
Nessun fatto di rete vi entra — un'interruzione del broker non sposta mai la condizione. Compare come ostacolo, e come Flaky solo quando persiste.
La riga dell'identità
| Riga | Che cosa significa |
|---|---|
Connesso come you@example.site | L'account a cui appartiene il tuo accesso — e tutto ciò che salvi. |
Funziona come svc-builder | Questo computer è stato configurato per funzionare come un altro account. |
La seconda merita una doppia lettura. Su un computer così, i file che salvi sulle unità di rete finiscono a nome di quell'account (spesso condiviso), non a nome tuo. Se accedi qui, stai garantendo per la macchina — non stai ottenendo un accesso tuo. È normale su macchine di build, chioschi e postazioni condivise, e il tuo team IT l'ha configurato apposta.
▶ Tecnicamente concessioni dispositivo
La macchina è delegata a ottenere TGT per un account specifico: è configurato un obiettivo grant_for, quindi solo una concessione dispositivo può ottenere un ticket, e i ticket portano il principal dell'obiettivo. Un accesso delegato autorizza l'accesso come l'utente specificato, non come la persona che accede — l'accesso dimostra chi è alla tastiera, non l'account con cui la macchina raggiunge i tuoi servizi Kerberos.
Gli orologi di scadenza
| Riga | Che cosa significa |
|---|---|
L'accesso termina tra 4h 12m | Quando scade il lasciapassare attuale. In condizioni normali uno nuovo arriva verso metà strada, quindi è un'informazione, non una scadenza da rincorrere. |
L'autorizzazione scade tra 6 giorni | Il permesso di questo dispositivo di saltare il browser sta per finire. Accedi una volta dal browser prima di allora e viene esteso. |
I due non compaiono mai come avvisi in contraddizione — se l'accesso sta davvero per scadere, l'orologio dell'autorizzazione non è quello di cui preoccuparsi.
La spiegazione
Quando c'è qualcosa da dire, compare in un blocco tutto suo, sotto i fatti. Questi sono quelli che potresti vedere:
| Che cosa dice | In parole semplici | Che cosa fare |
|---|---|---|
| Richiede un accesso dal browser | È ora di dimostrare di nuovo che sei tu. | Accedi dal browser. Ci vogliono pochi secondi. |
Impossibile raggiungere server |
L'app non riesce a raggiungere il server del tuo team IT. | Controlla di essere in rete o sulla VPN. Le unità già aperte di solito continuano a funzionare. |
Nessuna impostazione da server |
L'app ha raggiunto il server ma non ne ha ancora ricevuto la configurazione. | Aspetta. Riprova da sola. |
Windows non è configurato per EXAMPLE.SITE |
Un passaggio di configurazione una tantum per questo computer non è stato fatto. | Usa il pulsante di configurazione. Chiede i diritti di amministratore e un riavvio. |
| Le unità di rete hanno smesso di funzionare (NTLM) | Un noto inciampo di Windows dopo la scadenza di un lasciapassare. Le tue unità sono bloccate. | Salva il tuo lavoro, poi usa il pulsante di riparazione. |
| Il tuo account è stato rifiutato | Il server della tua organizzazione non ha accettato il tuo account per queste unità. | Non è qualcosa che questo computer possa risolvere — contatta l'IT. |
Questo dispositivo non è autorizzato a funzionare come account |
Una macchina ad account condiviso che non è ancora stata autorizzata. | Deve accedere qui qualcuno con il permesso di autorizzarla. |
| La tua organizzazione ha rifiutato questa autorizzazione | Le regole non permettono a questo dispositivo di saltare il browser. | Riprovare non servirà. Contatta l'IT. |
| URL del broker non configurato | Primo avvio — l'app non sa a quale server rivolgersi. | Inserisci nelle Impostazioni l'indirizzo che ti ha dato il tuo team IT. |
▶ Tecnicamente ostacoli contro azioni
Questi sono ostacoli: ciò che manca in questo momento, immediato e senza deduzioni. Sono un elenco, non una classifica, perché più d'uno può essere vero allo stesso tempo, e il modello li riporta tutti anziché solo il più rumoroso.
Gli ostacoli spiegano; le azioni risolvono. Non sono elenchi paralleli e nulla combacia fra loro. L'ostacolo del server irraggiungibile fonde irraggiungibile, TLS rifiutato, limite di richieste e 5xx, perché i quattro differiscono nella causa ma non in ciò che puoi farci; la frase esatta resta nel messaggio dettagliato.
Dettagli Kerberos
Una sezione ripiegata per quando qualcuno ti sta aiutando. Contiene il realm, l'ora in cui termina il lasciapassare, che cosa userà il prossimo rinnovo e quando l'app riproverà.
La riga più utile è quella che dice che cosa userà il prossimo rinnovo:
| Valore | Che cosa significa |
|---|---|
| l'autorizzazione di questo dispositivo | Silenzioso. Questo dispositivo è ritenuto affidabile per un numero stabilito di giorni. |
| il tuo account Windows | Silenzioso. Se ne occupa l'accesso di Windows stesso. |
| il tuo accesso dal browser | Silenzioso, finché l'app resta in esecuzione. |
| niente: serve il tuo intervento | È per questo che l'intestazione avvisa che l'accesso sta per scadere. |
I pulsanti
PARTE 4Due convenzioni che vale la pena imparare
Un'etichetta che finisce con "…" significa che arriva ancora un passaggio — una finestra del browser, o una domanda a cui rispondere. Un pulsante senza puntini fa semplicemente quello che dice. È l'unica differenza fra i due pulsanti di rinnovo: promettono lo stesso risultato, ma uno dei due aprirà il browser.
Uno scudo su un pulsante significa che Windows chiederà i diritti di amministratore. C'è sempre su quei pulsanti, che tu sia amministratore o no.
Ottenere l'accesso
| Pulsante | Che cosa fa |
|---|---|
| Accedi… | Apre il browser, ti fa accedere, ottiene un lasciapassare. Il modo normale di cominciare. |
| Estendi l'accesso… | La stessa cosa, formulata per quando l'accesso ce l'hai già. Ottiene un lasciapassare nuovo e ripristina i rinnovi silenziosi. |
| Rinnova ora | Ottiene un lasciapassare nuovo senza browser, con ciò che l'app ha già. Proposto solo quando può davvero funzionare. |
| Annulla | Compare solo mentre si attende un accesso dal browser. Smette di attenderlo. |
Se il rinnovo senza browser è disponibile, preferiscilo — è quello leggero, e viene proposto solo quando funzionerà.
Uscire — le tre porte, ben distinte
Sembrano simili ma hanno effetti diversi. È l'unica tabella di questa pagina che vale la pena segnarsi.
| Pulsante | Termina il tuo accesso alle unità | Termina l'autorizzazione di questo dispositivo | Termina la tua sessione nel browser |
|---|---|---|---|
Disconnetti da Entra |
No | No | Sì |
| Rimuovi l'autorizzazione… | No | Sì | No |
| Chiudi l'accesso | Sì | No | No |
Disconnetti da Entra
Chiude la sessione di accesso che questa app ha lasciato nel tuo browser. È buona igiene su un computer condiviso. Non tocca le tue unità.
Rimuovi l'autorizzazione…
Rinuncia al permesso di questo dispositivo di raggiungere le tue unità senza browser. Il tuo accesso di adesso resta intatto — semplicemente torni ad accedere dal browser ogni volta. Non si può annullare: autorizzare di nuovo crea un permesso nuovo, non ripristina il vecchio.
Su una macchina ad account condiviso — una il cui pannello dice che funziona come un altro account — non esiste alcun "tornare al browser". L'autorizzazione è l'unico modo in cui una macchina così ottiene l'accesso, quindi rimuoverla significa che l'accesso scade e si ferma. La conferma ti dice esattamente quanto tempo hai.
Chiudi l'accesso
Butta via il lasciapassare di questo computer. È la porta di tutti i giorni — quella da usare quando hai finito per oggi, o non ti serve più l'accesso alle unità condivise.
Un'avvertenza onesta: le unità di rete che hai già aperte possono continuare a funzionare finché non le chiudi o non riavvii. È il tuo sistema operativo che tiene aperta una connessione, e nessuna app può promettere il contrario. Ma non si può aprire nulla di nuovo.
▶ Tecnicamente che cosa fa davvero ciascuna porta
Disconnettersi dall'identity provider termina la sessione SSO presso l'authority e scarta il refresh token in memoria. Non può disconnetterti da Windows stesso; un'applicazione può rilasciare solo la propria sessione.
Rimuovere l'autorizzazione elimina prima la chiave ECDSA P-256 non esportabile della concessione dispositivo dal TPM di questo dispositivo, e solo dopo la revoca sul broker — è quell'ordine a farla funzionare anche offline.
Chiudere l'accesso è uno svuotamento della cache dei ticket limitato al realm — il TGT e i ticket di servizio di questo realm soltanto. I ticket degli altri realm restano intatti, ed è questo a renderlo sicuro su un tenant con cloud trust. Una sessione SMB già stabilita continua a servire file sopra una cache vuota, senza alcun traffico Kerberos, quindi nessuna operazione limitata ai ticket può promettere onestamente che le connessioni terminino.
Riparare
| Pulsante | Che cosa fa |
|---|---|
| Configura Windows… | Una tantum, per computer. Insegna a Windows il realm della tua organizzazione. Richiede i diritti di amministratore e, dopo, un riavvio. |
| Ripara le unità di rete… | Sblocca uno stato inceppato delle unità di rete. Salva prima il tuo lavoro — si disconnette ogni unità di rete del computer, non solo queste. |
| Configura di nuovo Windows… | La stessa configurazione, applicata sopra una parziale o invecchiata. In Impostazioni ▸ Avanzate. |
| Dimentica {realm}… | Rimuove del tutto la configurazione. In Impostazioni ▸ Avanzate. |
Tutto ciò che non si può annullare prima ti chiede conferma, ti dice esattamente che cosa farà e propone di annullare come scelta predefinita. Puoi chiudere quella finestra e lasciare che il lavoro proceda — ti dirà com'è andata.
macOS non ha bisogno di niente di tutto questo. Trova il realm da solo, quindi non c'è passaggio di configurazione, nessuna richiesta di amministratore in nessun punto del prodotto e nessuna riparazione — una connessione caduta, lì, si limita a riconnettersi.
Riparare
macOS non ha bisogno di niente di tutto questo. Trova il realm da solo, quindi non c'è passaggio di configurazione, nessuna richiesta di amministratore in nessun punto del prodotto e nessuna riparazione — una connessione caduta, lì, si limita a riconnettersi.
Autorizzare questo dispositivo
| Pulsante | Che cosa fa |
|---|---|
| Autorizza l'accesso… | Permette a questo dispositivo di ottenere lasciapassare senza accesso dal browser, per un numero stabilito di giorni. |
| Autorizza di nuovo… | Lo stesso, quando l'autorizzazione c'è già — è il modo per estenderla. |
Che cosa succede davvero: dentro il chip di sicurezza di questo dispositivo viene creata una chiave. Non può essere copiata fuori dal dispositivo, vale solo per il tuo account su questo dispositivo, e il tuo team IT può revocarla in qualsiasi momento.
Riceverai un promemoria prima della scadenza. Un accesso dal browser la estende.
▶ Tecnicamente la concessione dispositivo
È una concessione dispositivo di KerBridge — una chiave ECDSA P-256 non esportabile nel TPM, creata tramite il platform crypto provider di CNG con ambito utente, quindi non richiede elevazione e muore con il profilo. Il broker conserva la chiave pubblica corrispondente e applica il proprio tetto di giorni, quindi abbassare quel tetto accorcia ogni concessione in essere.
Tutto il resto
| Voce | Che cosa fa |
|---|---|
| Apri stato | Porta in primo piano il pannello di stato. |
| Impostazioni… | Vedi la sezione Impostazioni qui sotto. |
| Guida | Questa pagina. |
| Apri la cartella del registro | Una registrazione tecnica di ciò che l'app ha fatto, per quando qualcuno ti aiuta. Compare quando qualcosa è andato storto, e sempre in Impostazioni ▸ Avanzate ▸ Risoluzione dei problemi. |
| Esci da NAS Access | Ferma l'app. Il lasciapassare attuale resta valido fino alla scadenza, e dopo niente lo rinnova. |
Impostazioni
PARTE 5Base
URL del broker — il server che ti ha dato il tuo team IT. È l'unica cosa che l'app deve sapere; tutto il resto lo chiede a quel server.
Se dice che l'URL è stato impostato dal tuo team IT e non si può cambiare qui, è stato impostato centralmente: normale su un computer gestito.
Avvia all'accesso — ti fa accedere automaticamente dopo il login, così le unità sono pronte quando lo sei tu. Consigliato.
Usare l'accesso di Windows quando è possibile salta il browser quando l'accesso di Windows stesso può garantire per te in silenzio. Lascialo attivo; se non può aiutare, l'app ripiega sul browser e non si perde nulla.
Avanzate
Autorizzazione — mostra come è autorizzato questo dispositivo e contiene i pulsanti che la creano e la rimuovono. Il campo per autorizzare questo dispositivo per conto di un altro account serve alle macchine ad account condiviso: lascialo vuoto per il tuo account.
Cambiare quel campo decide per chi sarà la prossima autorizzazione. Non cambia nulla in quella già in essere.
Configurazione di Windows — se questo computer conosce il realm della tua organizzazione, più i pulsanti per rifarla o rimuoverla.
Risoluzione dei problemi — apre la cartella del registro.
Su macOS
Le Impostazioni sono un unico foglio con l'URL del broker e l'interruttore di avvio all'accesso, più la coppia OK / Annulla — le altre sezioni descrivono cose che macOS non ha.
Informazioni
Versione e licenza.
Notifiche
PARTE 6L'app parla di rado e solo di cose che contano.
| Ti avvisa di | Non ti avvisa di |
|---|---|
| L'accesso che torna dopo un problema | I rinnovi di routine andati a buon fine |
| L'accesso che sta per terminare, con circa venti minuti di anticipo | Il normale scorrere dell'orologio del lasciapassare |
| L'accesso che è terminato | Un breve problema di rete risoltosi da solo |
| L'autorizzazione del tuo dispositivo che si avvicina al rinnovo | Una macchina semplicemente spenta |
Se ne perdi una, non perdi niente. Una notifica è un'interruzione, mai un archivio — il pannello di stato ha sempre la verità del momento, e nulla si deteriora. Non c'è un contatore di non lette né un elenco di ciò che ti sei perso.
Il promemoria del rinnovo aspetta che tu sia davvero alla tastiera, invece di scattare alle tre di notte.
Quando qualcosa non funziona
PARTE 7Parti dall'icona, poi dal pannello. Quasi sempre il problema ha lì il suo nome, e il rimedio è su un pulsante.
| Sintomo | Causa probabile | Che cosa fare |
|---|---|---|
| Un'unità chiede una password | Il lasciapassare è scaduto o non è mai stato ottenuto | Apri il pannello. Dirà che non c'è accesso, o che sta per scadere. |
| Le unità funzionavano, poi si sono fermate a metà sessione | L'inciampo NTLM di Windows | Usa il pulsante di riparazione, dopo aver salvato il lavoro |
| Il pannello dice che non riesce a raggiungere il server | Fuori rete, o VPN giù | Riconnettiti. Riprova da sola e si riprende. |
| L'IT ti ha appena dato accesso a una cartella, e ancora non si apre | Il tuo lasciapassare è stato emesso prima del cambiamento | Rinnova — un lasciapassare porta con sé un'istantanea dei tuoi gruppi, quindi ne serve uno fresco |
| Sembra tutto a posto, ma una cartella è negata | I permessi di quella cartella | Non è un problema di NAS Access — chiedi a chi possiede la cartella |
| Il pannello dice che deve risolverlo un amministratore | È così | Manda all'IT il messaggio, esattamente com'è scritto |
Leggere un messaggio di errore
Ogni messaggio dettagliato è scritto in due metà:
Quando segnali un problema, cita la riga intera — spesso l'etichetta è tutto ciò che serve al tuo team IT.
Risposte rapide
PARTE 8Le parole di questa app
GLOSSARIO| Parola | Qui significa |
|---|---|
| Accesso | La possibilità di autenticarti sul file server della tua rete |
| Accedere | Dimostrare chi sei, nel tuo browser |
| Chiudi l'accesso | Buttare via il lasciapassare attuale per le unità di rete |
| Autorizzazione | Il permesso di questo dispositivo di saltare il browser per un certo tempo, eventualmente come un altro utente |
| Rinnovo | Ottenere un lasciapassare nuovo senza disturbarti |
| Realm | Il nome del sistema in sede a cui appartengono le tue unità, come EXAMPLE.SITE |
| Broker | Il server del tuo team IT — quello a cui NAS Access chiede il lasciapassare |
| Ticket | Il lasciapassare vero e proprio. Termine tecnico; compare solo nei dettagli Kerberos |
| Questo dispositivo | Il computer davanti a cui sei seduto |
Chiedere aiuto
INFINETieni pronte queste cose — l'app le mostra tutte:
Di solito basta questo per risolvere senza che nessuno tocchi il tuo computer.