实习生也能点开邮件后台？群晖应用程序权限按人开关套件
引言
NAS 上的套件越装越多，账号也越开越多：邮件系统、监控平台、下载工具都在同一个 DSM 里。默认情况下，能登录 DSM 的用户面对的服务面是一样的——MailPlus Server 这种后台管理入口，不该人人可进。DSM 控制面板的「应用程序权限」提供灵活的设置来控制用户和群组对不同应用程序的访问权限：按人、按组，部分服务还能按 IP 收口。这篇按官方帮助把编辑方法、权限查看器、默认权限与优先级规则讲清。
什么场景用它最值
一是后台类套件收口：MailPlus Server、DNS Server 这类管理面套件，只给 IT 组开放，全员一律拒绝。二是网络位置差异化：办公网段放开某服务、访客网段一律拒绝，按 IP 收口比按人管理更省事。三是权限审计：有人反馈「他为什么能打开这个套件」，用权限查看器按用户加 IP 直接查实际生效结果，不用翻多张配置表。
操作步骤
-
找到入口，按套件逐个配置。为什么：进入「控制面板 > 应用程序权限」，页面按服务与套件列出可管条目——权限是按套件维度配置的，不存在「一次关掉所有套件」的总开关，逐套件过一遍本身就是一次权限盘点。
-
编辑时用户、群组两个页签分头看。为什么：选中套件单击「编辑」后，单击「用户」查看个人权限，或单击「群组」查看群组权限，再勾选「允许/拒绝」来控制访问，最后「确定」保存——用户页签看个案、群组页签定基线，先组后人的顺序改起来最省事。
-
支持按 IP 的套件用地址再收一道口。为什么：官方说明根据应用程序不同，还可以选择「按 IP」基于 IP 地址来允许或拒绝访问——同一账号从办公网能进、从来宾网进不来，就是这一层在起作用。注意并非所有套件和服务都支持按 IP 设置，套件编辑页里没有这一项就说明它不支持。
-
用权限查看器核对「用户加 IP」的实际结果。为什么：进入「控制面板 > 应用程序权限」后单击「权限查看器」，从「用户名」选择用户，再在「IP 地址」中输入要查看权限的地址——直接回答「这个人从这个网络到底能不能用」的问题。多层规则叠在一起时，查生效结果永远比逐条推算可靠。
-
先设默认权限再打补丁。为什么：编辑套件时单击「默认权限」并勾选「默认将权限授予所有用户」，就为所有用户设好了基线——新开账号自动落进这个口径。基线选「全员允许」再拉黑少数人，还是基线选拒绝再白名单少数人，取决于套件的敏感等级：后台类选后者，工具类选前者。
-
记住冲突裁决规则：拒绝优先。为什么：官方明确——遇到权限冲突时，优先顺序为「拒绝 > 允许」。用户在个人页签被拒、在群组页签被允许，最终是拒绝生效。排障时先找拒绝项，改允许项往往白忙。
-
三类账户与能力边界先知道。为什么：官方注明 admin 和 guest 帐户的权限无法在此修改；且并非所有套件和服务都支持按 IP 访问权限设置。给 admin 提权、给 guest 收口都要走别的路径，别在这页死磕。
三条边界先知道
- 拒绝压倒允许：冲突时拒绝生效，白名单逻辑必须建立在「没有拒绝项」的前提下。
- admin 与 guest 例外：这两个内置帐户的权限不归本页管。
- 按 IP 支持面有限：只有部分套件支持基于 IP 的允许/拒绝，规划前先逐套件确认。
结语
应用程序权限解决的是「谁能碰哪个后台」的问题，按组定基线、按人做例外、按 IP 收网络，三层叠起来才叫收口。贵州诚鑫致达科技在做企业 NAS 权限落地时，会把每个后台套件的允许名单、拒绝名单与支持按 IP 与否整理成一张权限矩阵，随交付文档一起移交。