NAS Access Для чего это приложение
ЧАСТЬ 1
Две системы, которые сами не найдут общего языка
Ваша учётная запись живёт в облаке. Это та же запись, с которой вы читаете почту и входите на рабочие сайты. Там ею и управляет ваша организация.
Ваши файлы живут у вас в здании. Они лежат на файловом сервере — той самой машине, откуда берутся ваши сетевые диски и общие папки. В вопросах безопасности этот сервер нарочито старомоден и про облако никогда не слышал.
Предоставленные сами себе, эти двое не могут сойтись на том, что вы — это вы.
NAS Access — посредник между ними
NAS Access превращает ваш облачный вход в пропуск, который файловый сервер понимает и принимает.
Три вещи, которые стоит знать
У пропуска есть срок действия. Обычно его хватает почти на весь рабочий день. Это нормально и так задумано — именно это позволяет вашей организации отозвать доступ, когда потребуется.
Примерно на середине срока NAS Access незаметно получает свежий пропуск — задолго до того, как истечёт старый. В обычный день вы этого даже не увидите.
Продлить то, чего у него нет, он не может. Если получить свежий пропуск самостоятельно не удаётся, приложение скажет об этом до того, как истечёт текущий, — чтобы вы один раз щёлкнули и продолжили работать.
▶ Технически точные термины — для тех, кому они нужны
Ваша облачная учётная запись — это OIDC-идентичность у поставщика удостоверений (в большинстве развёртываний — Entra ID). Доказательством служит токен доступа OIDC, полученный в системном браузере по потоку authorization code с PKCE.
Брокер — служба KerBridge, которую поддерживает ваша ИТ-команда. Он проверяет токен и просит KDC выдать настоящий Kerberos TGT (ticket-granting ticket) для вашей учётной записи в локальной области (realm).
«Карман для пропусков» — это кэш билетов вашего сеанса входа: сеанс входа LSA в Windows, кэш Heimdal API: в macOS. Помещение билета туда называется внедрением (injection). Дальше штатный SMB-клиент делает обычный Kerberos: по TGT получает служебный билет к файловому серверу. Путь доступа к файлам не изменён ни в одной точке.
«Свежий пропуск на середине срока» — это повторное внедрение, а не продление на уровне Kerberos. По нашим измерениям Windows просит KDC продлить внедрённый KerBridge TGT, но никогда не устанавливает результат — поэтому агент заново проходит весь обмен и внедряет новый билет.
Чего он не делает
- Он не хранит ваш пароль. Он его даже не видит.
- Он не читает и не меняет ваши файлы, диски и буквы дисков.
- Он не заменяет вход вашей организации. Он им пользуется.
- Ему не обязательно работать, чтобы вы могли пользоваться компьютером, — он нужен только для того, чтобы сетевые диски оставались доступными.
▶ Технически что хранится и где
На диске не остаётся секретов. Токен доступа отбрасывается сразу после завершения обмена на билет. Токен обновления живёт только в памяти процесса и умирает вместе с ним — на диск и в журнал он не попадает. На диске хранятся URL брокера, кэшированная копия обнаруженной конфигурации и состояние авторизации этого устройства. О вашем NAS и других службах Kerberos приложение, по сути, даже не знает — оно имеет дело только с Kerberos TGT.
Значок
ЧАСТЬ 2NAS Access живёт в области уведомлений. Значок — всё состояние с одного взгляда.
NAS Access живёт в строке меню. Значок — всё состояние с одного взгляда.
Приглушённый не значит сломанный. Полная яркость приберегается для случая смотреть не на что — чтобы, когда посмотреть есть на что, этому хватило контраста.
Формы значат не меньше цветов: треугольник и круг остаются разными и для того, кто не отличает жёлтое от красного.
На Mac те же четыре формы рисуются единственным цветом строки меню — потому что строка меню так рисует всё.
Панель состояния
ЧАСТЬ 3Щелчок по значку открывает небольшую панель. Она показывает, что требуется от вас, затем кто вы, затем сколько осталось — и почему, если что-то не так.
Щелчок по значку открывает меню. Оно показывает, что требуется от вас, кто вы, сколько осталось — и почему нужно действовать, если что-то не так.
Заголовок
Одна цветная строка, называющая ситуацию.
| Заголовок | Что это значит | Что делать |
|---|---|---|
| Доступ в порядке | Диски работают, и приложение само сможет поддерживать их в рабочем состоянии. | Ничего. |
| Продление под вопросом | Диски сейчас работают. Приложению трудно достучаться до сервера вашей ИТ-команды. | Обычно ничего — часто проходит само. Если затянулось, скажите ИТ-команде. |
| Доступ истекает | Диски работают, но в известный момент доступ прекратится, и сам по себе он не продлится. | Когда вам будет удобно — но до этого момента — нажмите кнопку, предлагающую продлить доступ. |
| Нет доступа | Диски не откроются. | Прочитайте объяснение под заголовком: там сказано почему, и предложена кнопка, которая это исправит. |
| Выключено | Приложение здесь не работает, и это ожидаемо — например, после того как вы вышли. | Ничего — если только вы не хотите вернуть доступ. |
Предупреждение об истечении — не поломка. Оно означает, что у приложения закончились тихие способы продления — часто просто потому, что вы закрыли сеанс браузера, или потому, что подходит срок продления авторизации устройства. Ваш доступ сохраняется до показанного времени. Один щелчок — и тихие продления возвращаются.
▶ Технически из чего вычисляется заголовок
Заголовок отображает Condition — одно из значений Working, Flaky, WillStop, Stopped и NotStarted. Это чистая функция трёх локальных фактов: есть ли пригодный билет, ожидается ли, что эта машина здесь работает, и существует ли тихий источник для следующего продления.
Сетевые факты в неё не входят — недоступность брокера никогда не меняет состояние сама по себе. Она появляется как препятствие, а в Flaky превращается лишь тогда, когда держится долго.
Строка учётной записи
| Строка | Что это значит |
|---|---|
Выполнен вход как you@example.site | Учётная запись, которой принадлежит ваш доступ — и всё, что вы сохраняете. |
Работает как svc-builder | Этот компьютер настроен работать от имени другой учётной записи. |
Второй вариант стоит прочитать дважды. На таком компьютере файлы, которые вы сохраняете на сетевые диски, записываются под именем той (часто общей) учётной записи, а не под вашим. Входя здесь, вы ручаетесь за машину — собственного доступа вы не получаете. Это обычное дело на сборочных машинах, киосках и общих рабочих станциях, и ваша ИТ-команда настроила это намеренно.
▶ Технически авторизации устройств
Машине делегировано получение TGT для конкретной учётной записи: настроена цель grant_for, поэтому билет может получить только авторизация устройства, и билеты несут принципал цели. Делегированный вход авторизует доступ от имени указанного пользователя, а не от имени входящего: вход доказывает, кто сидит за клавиатурой, — а не то, под какой учётной записью машина обращается к вашим службам Kerberos.
Счётчики истечения
| Строка | Что это значит |
|---|---|
Доступ закончится через 4h 12m | Когда закончится текущий пропуск. В обычных условиях свежий приходит примерно на середине срока, так что это число, а не крайний срок. |
Авторизация истекает через 6 дней | Разрешение этого устройства обходиться без браузера подходит к концу. Войдите один раз через браузер до этого момента — и оно продлится. |
Эти два счётчика никогда не превращаются в противоречащие друг другу предупреждения: если доступ действительно истекает, беспокоиться нужно не о счётчике авторизации.
Объяснение
Когда есть что сказать, это появляется отдельным блоком под фактами. Вот что вы можете увидеть:
| Что написано | Простыми словами | Что делать |
|---|---|---|
| Нужен вход через браузер | Пора снова доказать, что это вы. | Войдите через браузер. Это занимает несколько секунд. |
Не удаётся связаться с сервером |
Приложение не может добраться до сервера вашей ИТ-команды. | Проверьте, что вы в сети или в VPN. Уже открытые диски обычно продолжают работать. |
Нет настроек от сервера |
Приложение достучалось до сервера, но ещё не получило его конфигурацию. | Подождите. Оно повторяет попытки само. |
Windows не настроена для EXAMPLE.SITE |
Разовый шаг настройки этого компьютера ещё не выполнен. | Нажмите кнопку настройки. Она попросит права администратора и перезагрузку. |
| Сетевые диски перестали работать (NTLM) | Известный сбой Windows после истечения пропуска. Диски застряли. | Сохраните работу, затем нажмите кнопку восстановления. |
| Вашей учётной записи отказано | Сервер вашей организации не принял вашу учётную запись для этих дисков. | С этого компьютера это не исправить — свяжитесь с ИТ-командой. |
Это устройство не авторизовано для работы как учётная запись |
Машина с общей учётной записью, которую ещё не авторизовали. | Здесь должен войти тот, кому разрешено её авторизовать. |
| Ваша организация отклонила эту авторизацию | Политика не разрешает этому устройству обходиться без браузера. | Повторные попытки не помогут. Свяжитесь с ИТ-командой. |
| URL брокера не настроен | Первый запуск — приложение не знает, к какому серверу обращаться. | Введите в Параметрах адрес, который вам дала ИТ-команда. |
▶ Технически препятствия против действий
Это препятствия: то, чего не хватает прямо сейчас, — непосредственно и без далеко идущих выводов. Это список, а не рейтинг: истинными могут быть сразу несколько, и модель сообщает их все, а не только самое громкое.
Препятствия объясняют; действия устраняют. Это не параллельные списки, и между ними ничего не сопоставлено. Препятствие «сервер недоступен» объединяет недоступность, отказ TLS, ограничение частоты запросов и ошибки 5xx: эти четыре различаются причиной, но не тем, что вам с ними делать; точная формулировка сохраняется в подробном сообщении.
Сведения о Kerberos
Свёрнутый раздел на случай, когда вам кто-то помогает. В нём — область, время окончания пропуска, чем воспользуется следующее продление и когда приложение попробует в следующий раз.
Самая полезная строка — та, что называет источник следующего продления:
| Значение | Что это значит |
|---|---|
| авторизацию этого устройства | Тихо. Этому устройству доверяют на заданное число дней. |
| вашу учётную запись Windows | Тихо. Работу выполняет собственный вход Windows. |
| ваш вход через браузер | Тихо — до тех пор, пока приложение продолжает работать. |
| ничего — нужны вы | Вот почему заголовок предупреждает, что доступ истекает. |
Кнопки
ЧАСТЬ 4Две условности, которые стоит запомнить
Надпись, оканчивающаяся на «…», означает, что впереди ещё один шаг — окно браузера или вопрос, на который нужно ответить. Кнопка без многоточия просто делает то, что на ней написано. Это единственная разница между двумя кнопками продления: обещают они одно и то же, но одна из них откроет браузер.
Щит на кнопке означает, что Windows спросит права администратора. Он есть на таких кнопках всегда — независимо от того, администратор вы или нет.
Как получить доступ
| Кнопка | Что делает |
|---|---|
| Войти… | Открывает браузер, выполняет вход, получает пропуск. Обычный способ начать. |
| Продлить доступ… | То же самое, но сформулировано для случая, когда доступ у вас уже есть. Получает свежий пропуск и возвращает тихие продления. |
| Продлить сейчас | Получает свежий пропуск без браузера — из того, что у приложения уже есть. Предлагается только тогда, когда это действительно сработает. |
| Отмена | Появляется, только пока ожидается вход через браузер. Прекращает ожидание. |
Если продление без браузера предлагается — выбирайте его: это дешёвый вариант, и предлагается он лишь тогда, когда сработает.
Как уйти — три отдельные двери
Звучат они похоже, а действуют по-разному. Это единственная таблица на странице, которую стоит взять на заметку.
| Кнопка | Прекращает ваш доступ к дискам | Прекращает авторизацию этого устройства | Завершает ваш вход в браузере |
|---|---|---|---|
Выйти из Entra |
Нет | Нет | Да |
| Удалить авторизацию… | Нет | Да | Нет |
| Завершить доступ | Да | Нет | Нет |
Выйти из Entra
Закрывает сеанс входа, который это приложение оставило в вашем браузере. На общем компьютере это хорошая гигиена. Дисков это не касается.
Удалить авторизацию…
Отказывается от разрешения этого устройства добираться до дисков без браузера. Ваш текущий доступ не затронут — вы просто снова будете каждый раз входить через браузер. Отменить это нельзя: повторная авторизация создаёт новое разрешение, а не возвращает старое.
На машине с общей учётной записью — той, чья панель говорит, что она работает от имени другой учётной записи, — никакого «возврата к браузеру» нет. Авторизация — единственный способ, которым такая машина получает доступ, поэтому её удаление означает, что доступ истечёт и прекратится. Окно подтверждения точно скажет, сколько времени у вас остаётся.
Завершить доступ
Выбрасывает пропуск этого компьютера. Это повседневная дверь — то, что стоит сделать, закончив рабочий день или больше не нуждаясь в доступе к общим дискам.
Одна честная оговорка: уже открытые сетевые диски могут продолжать работать, пока вы их не закроете или не перезагрузитесь. Это ваша операционная система держит уже открытое соединение, и ни одно приложение не может обещать иного. Но ничего нового открыть уже нельзя.
▶ Технически что на самом деле делает каждая дверь
Выход у поставщика удостоверений завершает SSO-сеанс у авторитета и отбрасывает токен обновления из памяти. Выйти из самой Windows он не может: приложение вправе освободить только собственный сеанс.
Удаление авторизации сначала удаляет неэкспортируемый ключ ECDSA P-256 авторизации устройства из TPM этого устройства и только потом отзывает её на брокере — именно благодаря этому порядку операция работает и без сети.
Выход — это очистка кэша билетов в пределах области: только TGT и служебные билеты этой области. Билеты других областей не трогаются — потому это безопасно в тенанте с cloud trust. Уже установленный SMB-сеанс продолжает отдавать файлы поверх пустого кэша без единого пакета Kerberos, так что ни одно действие, ограниченное билетами, не может честно обещать, что соединения завершатся.
Как чинить
| Кнопка | Что делает |
|---|---|
| Настроить Windows… | Один раз на компьютер. Знакомит Windows с областью вашей организации. Нужны права администратора, а после — перезагрузка. |
| Восстановить сетевые диски… | Сбрасывает застрявшее состояние сетевых дисков. Сначала сохраните работу — отключатся все сетевые диски на компьютере, а не только эти. |
| Настроить Windows заново… | Та же настройка, выполненная поверх частичной или устаревшей. В разделе Параметры ▸ Дополнительно. |
| Забыть {realm}… | Полностью удаляет настройку. В разделе Параметры ▸ Дополнительно. |
Всё необратимое сначала спрашивает, точно говорит, что собирается сделать, и по умолчанию предлагает отмену. Окно можно закрыть, не прерывая работу, — потом оно сообщит, чем всё закончилось.
macOS ничего из этого не нужно. Область она находит сама, поэтому нет ни шага настройки, ни единого запроса прав администратора во всём продукте, ни починки — оборвавшееся соединение там просто восстанавливается.
Как чинить
macOS ничего из этого не нужно. Область она находит сама, поэтому нет ни шага настройки, ни единого запроса прав администратора во всём продукте, ни починки — оборвавшееся соединение там просто восстанавливается.
Авторизация этого устройства
| Кнопка | Что делает |
|---|---|
| Авторизовать доступ… | Позволяет этому устройству получать пропуска без входа через браузер — на заданное число дней. |
| Авторизовать снова… | То же самое, когда авторизация уже есть, — так её продлевают. |
Что происходит на самом деле: внутри защищённого чипа этого устройства создаётся ключ. Скопировать его с устройства нельзя, действует он только для вашей учётной записи на этом устройстве, и ваша ИТ-команда может отозвать его в любой момент.
Перед истечением вы получите напоминание. Один вход через браузер продлевает авторизацию.
▶ Технически авторизация устройства
Это авторизация устройства KerBridge — неэкспортируемый ключ ECDSA P-256 в TPM, созданный через platform crypto provider CNG в пользовательской области видимости: ему не нужно повышение прав, и он умирает вместе с профилем. Брокер хранит парный открытый ключ и применяет собственный потолок в днях, поэтому снижение потолка укорачивает все действующие авторизации.
Всё остальное
| Пункт | Что делает |
|---|---|
| Открыть состояние | Выводит панель состояния на экран. |
| Параметры… | См. раздел «Параметры» ниже. |
| Справка | Эта страница. |
| Открыть папку журнала | Техническая запись того, что делало приложение, — на случай, когда вам кто-то помогает. Появляется, когда что-то пошло не так, и всегда доступна в разделе Параметры ▸ Дополнительно ▸ Диагностика. |
| Закрыть NAS Access | Останавливает приложение. Текущий пропуск действует до истечения срока, и после этого его ничто не продлит. |
Параметры
ЧАСТЬ 5Основные
URL брокера — сервер, который вам дала ИТ-команда. Это единственное, что приложению нужно знать; всё остальное оно спрашивает у этого сервера.
Если написано, что URL задан вашей ИТ-командой и здесь его изменить нельзя, значит, он настроен централизованно — на управляемом компьютере это нормально.
Запускать при входе в систему — выполняет вход автоматически после входа в систему, чтобы диски были готовы вместе с вами. Рекомендуется.
Использовать вход Windows, когда это возможно — пропускает браузер, когда собственный вход Windows может тихо за вас поручиться. Оставьте включённым: если он не поможет, приложение вернётся к браузеру, и ничего не потеряется.
Дополнительно
Авторизация — показывает, как авторизовано это устройство, и содержит кнопки для создания и удаления авторизации. Поле для авторизации устройства от имени другой учётной записи — для машин с общей учётной записью: для собственной оставьте его пустым.
Изменение этого поля решает, для кого будет следующая авторизация. Уже существующую оно никак не меняет.
Настройка Windows — знает ли этот компьютер область вашей организации, плюс кнопки, чтобы повторить настройку или убрать её.
Диагностика — открывает папку журнала.
В macOS
Параметры — это один лист с URL брокера и переключателем запуска при входе, а также кнопками «ОК» и «Отмена»; остальные разделы описывают то, чего в macOS нет.
О программе
Версия и лицензия.
Уведомления
ЧАСТЬ 6Приложение говорит редко и только о том, что имеет значение.
| Уведомление будет | Уведомления не будет |
|---|---|
| Восстановление доступа после сбоя | Штатные продления, которые удались |
| Скорое прекращение доступа — примерно за двадцать минут | Обычный ход счётчика пропуска |
| Прекращение доступа | Короткий сетевой сбой, прошедший сам собой |
| Приближение срока продления авторизации устройства | Машина, которая просто выключена |
Пропущенное уведомление ничего не стоит. Уведомление — это прерывание, а не запись: актуальная правда всегда в панели состояния, и ничто не пропадает со временем. Нет ни значка непрочитанного, ни списка того, что вы пропустили.
Напоминание о продлении ждёт, пока вы действительно окажетесь за клавиатурой, а не срабатывает в три часа ночи.
Когда что-то не работает
ЧАСТЬ 7Начните со значка, затем откройте панель. Почти всегда она называет проблему и кладёт решение на кнопку.
| Симптом | Вероятная причина | Что делать |
|---|---|---|
| Диск спрашивает пароль | Пропуск истёк или его никогда не было | Откройте панель. Она скажет, что доступа нет или что он истекает. |
| Диски работали и остановились посреди работы | Сбой NTLM в Windows | Нажмите кнопку восстановления — сначала сохранив работу |
| Панель говорит, что сервер недоступен | Вне сети, или VPN отключён | Подключитесь снова. Приложение само повторяет попытки и восстанавливается. |
| ИТ только что дали вам доступ к папке, а она всё равно не открывается | Пропуск был выдан до этого изменения | Продлите доступ — пропуск несёт снимок ваших групп, поэтому нужен свежий |
| Всё выглядит нормально, но одна папка недоступна | Права на саму папку | Это не про NAS Access — спросите владельца папки |
| Панель говорит, что это должен исправить администратор | Так и есть | Отправьте ИТ-команде это сообщение — слово в слово |
Как читать сообщение об ошибке
Каждое подробное сообщение написано из двух половин:
Сообщая о проблеме, приводите строку целиком — метки часто оказывается достаточно вашей ИТ-команде.
Короткие ответы
ЧАСТЬ 8Слова, которыми говорит это приложение
СЛОВАРЬ| Слово | Здесь означает |
|---|---|
| Доступ | Возможность пройти проверку подлинности на сетевом файловом сервере |
| Вход | Доказательство того, кто вы, — в вашем браузере |
| Завершить доступ | Отказ от текущего пропуска к сетевым дискам |
| Авторизация | Разрешение этому устройству какое-то время обходиться без браузера — при необходимости от имени другого пользователя |
| Продление | Получение свежего пропуска, не беспокоя вас |
| Область | Имя локальной системы, которой принадлежат ваши диски, например EXAMPLE.SITE |
| Брокер | Сервер вашей ИТ-команды — тот, у которого NAS Access просит пропуск |
| Билет | Сам пропуск. Технический термин; встречается только в сведениях о Kerberos |
| Это устройство | Компьютер, за которым вы сидите |
Как просить о помощи
НАПОСЛЕДОКПодготовьте вот это — приложение показывает всё перечисленное:
Обычно этого достаточно, чтобы решить вопрос, не трогая ваш компьютер.