NAS Access Para que serve este aplicativo
PARTE 1
Dois sistemas que não se encontram por conta própria
Sua conta vive na nuvem. É a mesma conta que você usa para o e-mail e para entrar nos sites do trabalho. Sua organização a administra lá.
Seus arquivos vivem no seu prédio. Eles ficam em um servidor de arquivos — a máquina de onde vêm suas unidades de rede e pastas compartilhadas. Esse servidor é antiquado em matéria de segurança, de propósito, e nunca ouviu falar da nuvem.
Deixados sozinhos, os dois não conseguem concordar que você é você.
O NAS Access é o intermediário
O NAS Access converte seu login na nuvem em um passe que o servidor de arquivos entende e aceita.
Três coisas que vale a pena saber
O passe tem prazo de validade. Normalmente, a maior parte de um dia de trabalho. Isso é normal e proposital — é o que permite à sua organização retirar o acesso quando precisa.
O NAS Access obtém discretamente um passe novo mais ou menos na metade do caminho, muito antes de o antigo vencer. Em um dia comum, você nunca vai ver isso acontecer.
Ele não pode renovar o que não tem. Se o aplicativo não conseguir um passe novo por conta própria, ele avisa antes de o atual vencer, para que você clique uma vez e siga em frente.
▶ Tecnicamente os termos precisos, para quem os quiser
Sua conta na nuvem é uma identidade OIDC em um provedor de identidade (Entra ID na maioria das implantações). A prova é um token de acesso OIDC, obtido por um fluxo authorization code com PKCE no navegador do sistema.
O broker é o serviço KerBridge que sua equipe de TI mantém. Ele valida o token e pede ao KDC que emita um Kerberos TGT genuíno (ticket-granting ticket) para a sua conta no reino local.
O "bolso de passes" é o cache de tickets da sua sessão de login — a sessão de logon do LSA no Windows, o cache API: do Heimdal no macOS. Colocar o ticket ali chama-se injeção. Depois disso, o cliente SMB comum faz Kerberos comum: usa o TGT para obter um ticket de serviço para o servidor de arquivos. Nenhuma parte do caminho de acesso aos arquivos é modificada.
O "passe novo na metade do caminho" é uma reinjeção, não uma renovação no nível do Kerberos. Segundo nossos testes, o Windows pede ao KDC que renove um TGT injetado pelo KerBridge e depois nunca instala o resultado, então o agente executa a troca inteira de novo e injeta um ticket novo no lugar.
O que ele não faz
- Ele não armazena sua senha. Ele nunca a vê.
- Ele não lê nem altera seus arquivos, suas unidades ou suas letras de unidade.
- Ele não substitui o login da sua organização. Ele o usa.
- Ele não precisa estar em execução para você usar o computador — só para manter suas unidades de rede acessíveis.
▶ Tecnicamente o que fica guardado, e onde
Nenhum segredo em disco. O token de acesso é descartado no momento em que a troca de tickets termina. O refresh token fica apenas na memória do processo e morre com ele — nunca é gravado em disco nem no registro. O que fica em disco são a URL do broker, uma cópia em cache da configuração descoberta e o estado de autorização deste dispositivo. Ele nem sequer sabe de fato do seu NAS ou de outros serviços Kerberos; ele lida apenas com TGTs Kerberos.
O ícone
PARTE 2O NAS Access mora na área de notificação. O ícone é o status inteiro, num relance.
O NAS Access mora na barra de menus. O ícone é o status inteiro, num relance.
Esmaecido não significa quebrado. A força total é reservada para nada a ver aqui, para que, quando houver algo a ver, tenha o contraste para ser visto.
As formas importam tanto quanto as cores — um triângulo e um círculo continuam diferentes para quem não distingue com facilidade o âmbar do vermelho.
Em um Mac, as mesmas quatro formas aparecem na cor única da barra de menus, porque é assim que a barra de menus desenha tudo.
A tela de status
PARTE 3Clicar no ícone abre uma pequena tela. Ela mostra o que precisa de você, depois quem você é, depois por quanto tempo e, por fim, por quê, se algo estiver errado.
Clicar no ícone abre o menu. Ele mostra o que precisa de você, quem você é, por quanto tempo e por que você precisa agir, se algo estiver errado.
O título
Uma linha, colorida, dando nome à situação.
| Título | O que significa | O que fazer |
|---|---|---|
| Acesso OK | Suas unidades funcionam, e o aplicativo consegue mantê-las funcionando sozinho. | Nada. |
| Renovação incerta | Suas unidades funcionam agora. O aplicativo está com dificuldade para alcançar o servidor da sua equipe de TI. | Em geral, nada — costuma se resolver sozinho. Se persistir, mencione à TI. |
| Acesso a expirar | Suas unidades funcionam, mas o acesso vai parar em um horário conhecido, e nada vai renová-lo sozinho. | Use o botão que oferece estender o acesso, quando for conveniente, antes desse horário. |
| Sem acesso | Suas unidades não vão abrir. | Leia a explicação abaixo do título — ela diz o porquê e oferece o botão que resolve. |
| Desativado | O aplicativo não está funcionando aqui e não é para estar — por exemplo, depois que você encerrou o acesso. | Nada, a menos que você queira o acesso de volta. |
Um aviso de expiração não é um defeito. Significa que o aplicativo ficou sem maneiras silenciosas de renovar — muitas vezes só porque você fechou a sessão do navegador, ou porque está chegando a hora de renovar a autorização do dispositivo. Seu acesso permanece intacto até o horário mostrado. Um clique restaura as renovações silenciosas.
▶ Tecnicamente de onde o título é calculado
O título exibe Condition, um entre Working, Flaky, WillStop, Stopped e NotStarted. É uma função pura de três fatos locais: se há um ticket utilizável em mãos, se esta máquina deveria estar funcionando aqui, e se existe uma fonte silenciosa para a próxima renovação.
Nenhum fato de rede entra no cálculo — uma queda do broker nunca move a condição. Ela aparece como um bloqueio, e como Flaky apenas depois de persistir.
A linha de identidade
| Linha | O que significa |
|---|---|
Conectado como you@example.site | A conta à qual pertencem o seu acesso — e tudo o que você salvar. |
Funciona como svc-builder | Este computador foi configurado para funcionar como uma conta diferente. |
A segunda vale ler duas vezes. Em um computador assim, os arquivos que você salva nas unidades de rede ficam em nome dessa conta (muitas vezes compartilhada), não no seu. Se você entra ali, está respondendo pela máquina — não está obtendo o seu próprio acesso. Isso é normal em máquinas de build, quiosques e estações de trabalho compartilhadas, e sua equipe de TI configurou assim de propósito.
▶ Tecnicamente concessões de dispositivo
A máquina é delegada a obter TGTs para uma conta específica: um destino grant_for está configurado, então só uma concessão de dispositivo consegue obter um ticket, e os tickets carregam o principal do destino. Um login delegado autoriza o acesso como o usuário especificado, não como a pessoa que entra — o login prova quem está no teclado, não a conta com que a máquina alcança seus serviços Kerberos.
Os relógios de expiração
| Linha | O que significa |
|---|---|
O acesso termina em 4h 12m | Quando o passe atual vence. Em condições normais, um novo chega mais ou menos na metade, então isto é um número, não um prazo final. |
A autorização expira em 6 dias | A permissão deste dispositivo para dispensar o navegador está chegando ao fim. Entre uma vez pelo navegador antes disso e ela será estendida. |
Os dois nunca aparecem como avisos contraditórios — se o acesso está de fato expirando, o relógio da autorização não é o que merece preocupação.
A explicação
Quando há algo a dizer, aparece em um bloco próprio, abaixo dos fatos. Estes são os que você pode ver:
| O que diz | Em termos simples | O que fazer |
|---|---|---|
| Precisa de um login pelo navegador | Hora de provar de novo que é você. | Entre pelo navegador. Leva poucos segundos. |
Não é possível alcançar servidor |
O aplicativo não consegue chegar ao servidor da sua equipe de TI. | Verifique se você está na rede ou na VPN. As unidades que você já tem abertas costumam continuar funcionando. |
Sem configurações de servidor |
O aplicativo alcançou o servidor, mas ainda não recebeu a configuração dele. | Aguarde. Ele tenta de novo sozinho. |
O Windows não está configurado para EXAMPLE.SITE |
Uma etapa única de configuração deste computador ainda não foi feita. | Use o botão de configuração. Ele pede permissão de administrador e uma reinicialização. |
| As unidades de rede pararam de funcionar (NTLM) | Um soluço conhecido do Windows depois que um passe vence. Suas unidades ficaram travadas. | Salve seu trabalho e então use o botão de reparo. |
| Sua conta foi recusada | O servidor da sua organização não aceitou sua conta para estas unidades. | Não é algo que este computador possa resolver — fale com a TI. |
Este dispositivo não está autorizado a funcionar como conta |
Uma máquina de conta compartilhada que ainda não foi autorizada. | Alguém com permissão para autorizá-la precisa entrar aqui. |
| Sua organização recusou esta autorização | A política não permite que este dispositivo dispense o navegador. | Tentar de novo não vai ajudar. Fale com a TI. |
| URL do broker não configurada | Primeira execução — o aplicativo não sabe com qual servidor falar. | Digite nas Configurações o endereço que sua equipe de TI deu a você. |
▶ Tecnicamente bloqueios versus ações
Estes são bloqueios: o que falta agora, imediato e sem inferências. São uma lista, não um ranking, porque vários podem ser verdadeiros ao mesmo tempo, e o modelo relata todos, não apenas o mais barulhento.
Bloqueios explicam; ações resolvem. Não são listas paralelas e nada se alinha entre elas. O bloqueio de servidor inalcançável funde inalcançável, TLS recusado, limite de requisições e 5xx, porque os quatro diferem na causa mas não no que você faz a respeito; a frase exata permanece na mensagem detalhada.
Detalhes do Kerberos
Uma seção recolhida para quando alguém estiver ajudando você. Ela traz o reino, o horário de término do passe, o que a próxima renovação vai usar e quando o aplicativo vai tentar de novo.
A linha mais útil é a que diz o que a próxima renovação vai usar:
| Valor | O que significa |
|---|---|
| a autorização deste dispositivo | Silenciosa. Este dispositivo é confiável por um número definido de dias. |
| sua conta do Windows | Silenciosa. O próprio login do Windows faz o trabalho. |
| seu login pelo navegador | Silenciosa, enquanto o aplicativo continuar em execução. |
| nada — precisa de você | É por isso que o título avisa que o acesso está expirando. |
Os botões
PARTE 4Duas convenções que vale a pena aprender
Um rótulo terminando em "…" significa que vem mais uma etapa — uma janela do navegador, ou uma pergunta que você terá de responder. Um botão sem as reticências apenas faz o que diz. Essa é a única diferença entre os dois botões de renovação: eles prometem o mesmo resultado, mas um deles vai abrir um navegador.
Um escudo em um botão significa que o Windows vai pedir permissão de administrador. Ele está sempre lá nesses botões, seja você administrador ou não.
Obter acesso
| Botão | O que faz |
|---|---|
| Entrar… | Abre o navegador, conecta você e obtém um passe. A maneira comum de começar. |
| Estender o acesso… | A mesma coisa, com outras palavras para quando você já tem acesso. Obtém um passe novo e restaura as renovações silenciosas. |
| Renovar agora | Obtém um passe novo sem navegador, usando o que o aplicativo já tem. Oferecido apenas quando pode realmente funcionar. |
| Cancelar | Aparece apenas enquanto um login pelo navegador está sendo aguardado. Para de esperar por ele. |
Se a renovação sem navegador for oferecida, prefira-a — é a mais barata, e só é oferecida quando vai funcionar.
Ir embora — as três portas separadas
Elas soam parecidas, mas têm efeitos diferentes. Esta é a única tabela desta página que vale a pena marcar.
| Botão | Encerra seu acesso às unidades | Encerra a autorização deste dispositivo | Encerra seu login no navegador |
|---|---|---|---|
Sair de Entra |
Não | Não | Sim |
| Remover a autorização… | Não | Sim | Não |
| Encerrar o acesso | Sim | Não | Não |
Sair de Entra
Fecha a sessão de login que este aplicativo deixou no seu navegador. É boa higiene em um computador compartilhado. Não toca nas suas unidades.
Remover a autorização…
Abre mão da permissão deste dispositivo de alcançar suas unidades sem navegador. Seu acesso de agora fica intacto — você só volta a entrar pelo navegador a cada vez. Não pode ser desfeito: autorizar de novo cria uma permissão nova em vez de restaurar a antiga.
Em uma máquina de conta compartilhada — uma cuja tela diz que ela funciona como outra conta — não existe "voltar ao navegador". A autorização é a única maneira de uma máquina dessas obter acesso, então removê-la significa que o acesso vence e para. A confirmação diz exatamente quanto tempo você tem.
Encerrar o acesso
Joga fora o passe deste computador. É a porta do dia a dia — o que fazer quando você terminou por hoje, ou quando não precisa mais do acesso às unidades compartilhadas.
Uma ressalva honesta: as unidades de rede que você já tem abertas podem continuar funcionando até que você as feche ou reinicie. É o seu sistema operacional segurando uma conexão aberta, e nenhum aplicativo pode prometer o contrário. Mas nada de novo pode ser aberto.
▶ Tecnicamente o que cada porta realmente faz
Sair do provedor de identidade encerra a sessão SSO na autoridade e descarta o refresh token em memória. Não pode desconectar você do próprio Windows; um aplicativo só consegue liberar a própria sessão.
Remover a autorização exclui primeiro a chave ECDSA P-256 não exportável da concessão de dispositivo do TPM deste dispositivo, e só então a revoga no broker — essa ordem é o que a faz funcionar offline.
Encerrar o acesso é uma limpeza do cache de tickets restrita ao reino — o TGT e os tickets de serviço deste reino apenas. Tickets de outros reinos ficam intactos, e é isso que a torna segura em um tenant com cloud trust. Uma sessão SMB já estabelecida continua servindo arquivos sobre um cache vazio, sem tráfego Kerberos, então nenhuma ação restrita a tickets pode prometer honestamente que as conexões terminam.
Consertar as coisas
| Botão | O que faz |
|---|---|
| Configurar o Windows… | Uma vez só, por computador. Ensina ao Windows o reino da sua organização. Precisa de permissão de administrador e de uma reinicialização depois. |
| Reparar as unidades de rede… | Destrava um estado de unidade de rede emperrado. Salve seu trabalho primeiro — todas as unidades de rede do computador se desconectam, não só estas. |
| Configurar o Windows de novo… | A mesma configuração, aplicada por cima de uma parcial ou desatualizada. Em Configurações ▸ Avançado. |
| Esquecer {realm}… | Remove a configuração por completo. Em Configurações ▸ Avançado. |
Tudo o que não pode ser desfeito pergunta antes, diz exatamente o que vai fazer, e o padrão é cancelar. Você pode fechar essa janela e deixar o trabalho seguir — ele conta como foi.
O macOS não precisa de nada disto. Ele encontra o reino sozinho, então não há etapa de configuração, nenhum pedido de administrador em lugar algum do produto e nenhum reparo — uma conexão que caiu simplesmente reconecta.
Consertar as coisas
O macOS não precisa de nada disto. Ele encontra o reino sozinho, então não há etapa de configuração, nenhum pedido de administrador em lugar algum do produto e nenhum reparo — uma conexão que caiu simplesmente reconecta.
Autorizar este dispositivo
| Botão | O que faz |
|---|---|
| Autorizar o acesso… | Permite que este dispositivo obtenha passes sem login pelo navegador, por um número definido de dias. |
| Autorizar de novo… | O mesmo, quando a autorização já existe — a maneira de estendê-la. |
O que acontece de fato: uma chave é criada dentro do chip de segurança deste dispositivo. Ela não pode ser copiada para fora do dispositivo, cobre a sua conta apenas neste dispositivo, e sua equipe de TI pode revogá-la a qualquer momento.
Você vai receber um lembrete antes de ela expirar. Entrar uma vez pelo navegador a estende.
▶ Tecnicamente a concessão de dispositivo
Esta é uma concessão de dispositivo do KerBridge — uma chave ECDSA P-256 não exportável no TPM, criada pelo platform crypto provider do CNG no escopo do usuário, então não precisa de elevação e morre com o perfil. O broker guarda a chave pública correspondente e impõe seu próprio teto de dias, então baixar esse teto encurta todas as concessões em vigor.
Todo o resto
| Item | O que faz |
|---|---|
| Abrir status | Traz a tela de status para a frente. |
| Configurações… | Veja a seção de Configurações abaixo. |
| Ajuda | Esta página. |
| Abrir a pasta do registro | Um registro técnico do que o aplicativo fez, para quando alguém estiver ajudando você. Aparece quando algo deu errado, e sempre em Configurações ▸ Avançado ▸ Solução de problemas. |
| Fechar o NAS Access | Para o aplicativo. Seu passe atual continua válido até vencer, e nada o renova depois disso. |
Configurações
PARTE 5Básico
URL do broker — o servidor que sua equipe de TI deu a você. É a única coisa que o aplicativo precisa saber; todo o resto ele pergunta a esse servidor.
Se ele disser que a URL foi definida pela sua equipe de TI e não pode ser alterado aqui, foi definido centralmente, o que é normal em um computador gerenciado.
Abrir ao iniciar sessão — conecta você automaticamente depois do login, para que suas unidades estejam prontas quando você estiver. Recomendado.
Usar o login do Windows quando possível pula o navegador quando o próprio login do Windows pode responder por você em silêncio. Deixe ligado; se não puder ajudar, o aplicativo recorre ao navegador e nada se perde.
Avançado
Autorização — mostra como este dispositivo está autorizado e traz os botões que criam e removem a autorização. O campo para autorizar este dispositivo em nome de outra conta é para máquinas de conta compartilhada: deixe-o vazio para a sua própria conta.
Alterar esse campo decide para quem é a próxima autorização. Não muda nada na que já existe.
Configuração do Windows — se este computador conhece o reino da sua organização, mais os botões para refazer ou remover a configuração.
Solução de problemas — abre a pasta do registro.
No macOS
Configurações é uma única folha com a URL do broker e a opção de abrir ao iniciar sessão, mais o par OK / Cancelar — as outras seções descrevem coisas que o macOS não tem.
Sobre
Versão e licença.
Notificações
PARTE 6O aplicativo fala raramente, e só sobre o que importa.
| Avisa sobre | Não avisa sobre |
|---|---|
| A restauração do acesso depois de um problema | Renovações de rotina que funcionaram |
| O acesso prestes a parar, com cerca de vinte minutos de antecedência | O relógio do passe correndo normalmente |
| O acesso ter parado | Um problema breve de rede que se resolveu sozinho |
| A autorização do seu dispositivo perto da hora de renovar | Uma máquina que está simplesmente desligada |
Nada se perde se um aviso passar despercebido. Uma notificação é uma interrupção, nunca um histórico — a tela de status sempre tem a verdade atual, e nada se degrada. Não há selo de não lidos nem lista do que você perdeu.
O lembrete de renovação espera até você estar de fato no teclado, em vez de disparar às três da manhã.
Quando algo não funciona
PARTE 7Comece pelo ícone, depois pela tela. Ela quase sempre dá nome ao problema e põe a solução em um botão.
| Sintoma | Causa provável | O que fazer |
|---|---|---|
| Uma unidade pede senha | O passe venceu ou nunca foi obtido | Abra a tela de status. Ela vai dizer que não há acesso, ou que o acesso está expirando. |
| As unidades funcionavam e pararam no meio da sessão | O soluço de NTLM do Windows | Use o botão de reparo, depois de salvar seu trabalho |
| A tela diz que não consegue alcançar o servidor | Fora da rede, ou VPN caída | Reconecte. Ele tenta de novo sozinho e se recupera. |
| A TI acabou de dar acesso a uma pasta, e ela ainda não abre | Seu passe foi emitido antes da mudança | Renove — um passe carrega um retrato dos seus grupos, então é preciso um novo |
| Tudo parece bem, mas uma pasta é negada | As permissões daquela pasta | Não é problema do NAS Access — pergunte a quem é dono da pasta |
| A tela diz que um administrador precisa resolver | E precisa mesmo | Envie a mensagem à TI, exatamente como está escrita |
Como ler uma mensagem de erro
Toda mensagem detalhada é escrita em duas metades:
Ao relatar um problema, cite a linha inteira — o identificador costuma ser tudo de que sua equipe de TI precisa.
Respostas rápidas
PARTE 8As palavras que este aplicativo usa
GLOSSÁRIO| Palavra | Significa aqui |
|---|---|
| Acesso | Conseguir se autenticar no seu servidor de arquivos da rede |
| Entrar | Provar quem você é, no navegador |
| Encerrar o acesso | Jogar fora o passe atual das unidades de rede |
| Autorização | A permissão deste dispositivo para dispensar o navegador por um tempo, opcionalmente como outro usuário |
| Renovar | Obter um passe novo sem incomodar você |
| Reino | O nome do sistema local ao qual suas unidades pertencem, como EXAMPLE.SITE |
| Broker | O servidor da sua equipe de TI — aquele a quem o NAS Access pede um passe |
| Ticket | O próprio passe. Um termo técnico; só aparece nos detalhes do Kerberos |
| Este dispositivo | O computador à sua frente |
Pedir ajuda
POR FIMTenha isto em mãos — o aplicativo mostra tudo:
Isso costuma bastar para resolver sem que ninguém toque no seu computador.