外观
管理员账户与最小权限
完成后，你清楚 OMV 里每类账号能做什么，每个需要管理 OMV 的人有自己的账号，而不是共用 admin；账户被锁定时，你知道怎么解。
OMV 里有哪几类账号
| 账号 | 是什么 | 能做什么 |
|---|---|---|
admin | Web 界面的内置管理员，安装时创建，默认密码 openmediavault | 管理 Web 界面的全部功能。它是系统用户，登录 shell 是 nologin，不能 SSH 或控制台登录，也不会出现在 用户 → 用户（Users → Users）的列表里 |
root | Linux 超级用户，密码是安装时设的 | 控制台和 SSH。默认允许用密码 SSH 登录，见 SSH 加固 |
openmediavault-admin 组的成员 | 普通用户加入这个组，就成为 Web 管理员 | 和 admin 一样管理 Web 界面 |
| 普通用户 | 在 用户 → 用户 里创建，默认属于 users 组 | 访问共享文件夹；登录 Web 界面后只能看到仪表盘和账户菜单，改自己的密码和 Email |
两个要点：
admin不能被授予共享文件夹权限，也不能用来访问 SMB 共享（源码里把它列为无效用户）。访问共享要给每个人建普通用户。- Web 界面的权限只看「是否在
openmediavault-admin组」。身份在登录时确定，所以改了组之后要重新登录才生效。
第一件事：改掉 admin 的默认密码
admin / openmediavault 是公开的默认凭据，装好后立刻改：
- 点右上角的用户设置（Profile Settings）图标，选账户（Account）。
- 进入密码（Password），输入新密码两遍并保存。
用一个长而独特的口令，不要复用其他网站的密码。忘了密码时，用 omv-firstaid 重置，见忘记管理员密码。第一次登录的完整流程见第一次登录：修改默认密码。
给每个人单独的账号
共用 admin 的问题是：出了事分不清是谁操作的，有人离开时又得改所有人都在用的密码。
- 进入
用户 → 用户，点创建（Create）。 - 填写：
| 字段 | 怎么填 |
|---|---|
| 名称（Name） | 只用小写字母和数字 |
| 填上。通知邮件、邮件验证码、新浏览器登录提醒都靠它 | |
| 密码、确认密码 | 同上，用长口令 |
| Shell | 只用 Web 界面和共享的账号选带 nologin 的那一项；确实要 SSH 登录才选真正的 shell |
| 用户组（Groups） | 要当 Web 管理员，加 openmediavault-admin；要 SSH 登录，加 _ssh；要用 sudo，加 sudo。普通用户保持默认的 users |
- 保存，点黄色提示条上的应用。
权限越小越好
只让需要管理 OMV 的人进 openmediavault-admin。其他人建普通用户，只在共享文件夹上授权。_ssh 和 sudo 同理，不需要就不加。
普通用户登录 Web 能做什么
只能看到仪表盘（管理类的小部件对他们不显示）和账户菜单：
- 账户 → 设置（Settings）：改自己的 Email 和标签。
- 账户 → 密码：改自己的密码。
- 装了两步验证插件时，这里还会多出 2FA 菜单，见两步验证。
管理员勾选 用户 → 用户 → 编辑（Users → Users → Edit）里的不允许修改账户（Disallow account modification）后，该用户的账户 → 设置页面变成只读。按源码，改密码走另一个接口，这个开关拦不住它；所以它不是「禁止用户改密码」的开关。
离职、借用、不再使用的账号
保留账号但不让他再进来：
- 从
_ssh、sudo、openmediavault-admin组里移出，Shell改成nologin，删除 SSH 公钥。 - 改掉密码。Web 登录和 SMB 访问靠的就是这个密码。
不再需要这个账号：用户 → 用户 里选中，删除。OMV 执行的是 userdel --force，不带 --remove，用户在共享文件夹里的文件通常还留着，属主会变成纯数字的 UID。删除前先确认这些文件要转移还是保留。
密码输错被锁定
Web 界面的登录走 PAM 服务 openmediavault-webgui，配置里启用了 pam_faillock：deny=3 fail_interval=300 unlock_time=0。意思是 5 分钟内连续失败 3 次，该账号被锁定；unlock_time=0 在 pam_faillock 里表示不会自动解锁。
- 锁的是账号，不看来源 IP。别人乱试
admin的密码，也会把你锁在门外。 - 症状：确认密码没错，仍提示
Incorrect username or password.（用户名或密码不正确）。 - 解锁：在 OMV 的控制台或 root 的 SSH 里运行
omv-firstaid，选 Reset failed login attempt counter，再选被锁的账号。重启也会清掉记录（记录在/run下）。 - 每天一次的检查会在发现被锁账号时发邮件，标题是
Locked users overview，正文提示用omv-firstaid重置。前提是已启用邮件通知，且系统 → 通知 → 事件（System → Notification → Events）里的验证事件是开的，见配置邮件通知。
OMV 自带的告警邮件文案写着「3 分钟后可再次登录」，与 unlock_time=0 的配置不一致。遇到锁定时以实际表现为准，不要干等。
登录提醒与日志
- 某个账号第一次从一个新浏览器登录时（浏览器里没有对应的 Cookie，Cookie 有效期 60 天），OMV 会给这个账号的邮箱发一封邮件，写明时间、来源地址和浏览器标识。前提同上：通知已启用，验证事件已开启。收到了自己没做过的登录提醒，立刻改密码。
- 每次登录成功或失败都会记入系统日志，失败的行形如
Unauthorized login attempt from <来源地址> (username=...)。在诊断 → 系统日志（Diagnostics → System Logs）里选 auth 日志可以查看，见查看系统日志。Fail2ban 的omv-webgui规则读的就是这条日志。
检查结果
- 用无痕窗口试一次
admin/openmediavault，应该登录失败。 - 在 OMV 的 shell 里查看谁是 Web 管理员（只读）：
sh
# 在 OMV 的 shell 里，以 root 身份
getent group openmediavault-admin _ssh sudo每行最后一段是该组的成员。openmediavault-admin 里应只有你认可的人。
- 用一个普通用户登录 Web 界面，应只看到仪表盘和账户菜单。
常见问题
普通用户登录后什么都看不到。 这是预期行为。要管理权限，把他加入 openmediavault-admin 组，然后让他重新登录。
加了 _ssh 组还是 SSH 不上。 还要检查 服务 → SSH（Services → SSH）是否启用、密码或公钥认证是否可用，见 SSH 加固和 SSH 与 SFTP 访问。
确认密码正确却一直登录失败。 先排除账户被锁定（上面）。官方故障排查还提到一种情况：根文件系统写满了，也会导致界面一直拒绝凭据，见登录失败与账户被锁。