Mandantenfähiges Backup für Service Provider
Von Lucas Flores, IT Systeme Flores UG. Zuletzt aktualisiert am
Eine Restow-Installation kann viele isolierte Mandanten bedienen: eine Organisation ist ein Mandant, PostgreSQL Row-Level-Security hält die Daten jedes Mandanten auf Datenbankebene getrennt, und die Service-Provider-Edition fügt darauf aufbauend mehrere Mandanten, delegierte Mandanten-Administratoren und eine Provider-Übersicht über alle Mandanten hinzu, sodass ein Provider Backup für viele Kunden aus einer Konsole betreibt, ohne dass ein Kunde je die Daten eines anderen sieht.
Wie Mandanten befüllt werden
Für einen Microsoft-365-Mandanten kommen Nutzer, Postfächer und OneDrives automatisch per Entra-ID-Verzeichnis-Sync herein, der Schutzumfang wird je Mandant gesteuert: alle, eine bestimmte Gruppe, oder eine Ausschlussliste. Reine IMAP-Mandanten werden stattdessen per manueller Postfachliste oder CSV-Import angelegt. Mail-Dateien werden je Mandant importiert, per Upload im Browser oder aus einem Import-Ordner auf dem Server mit einem eigenen Unterordner je Mandant (siehe Mail-Import und -Export), und ein Server oder Client wird über den Agent einem Mandanten zugeordnet, mit eigenem Repository (siehe Server- und Client-Backup).
Administratoren, Rollen und verlorener Zugang
Mehrere Administratoren, jeweils Inhaber, Administrator, Techniker oder Nur lesen, arbeiten in jeder Edition, auch in Community. Ein Mitglied auf ausgewählte Mandanten zu beschränken gehört zu Service Provider. Inhaber laden Mitglieder ein und ändern sie, jede Änderung wird protokolliert, und ein Inhaber kann den Zugang eines Mitglieds zurücksetzen. Bevor eine Änderung der öffentlichen URL oder des Betriebsmodus Passkeys unbrauchbar machen würde, nennen die Einstellungen die betroffenen Konten und verweigern eine Selbstaussperrung. Unter Ihrem Konto können Sie Ihr Passwort ändern sowie Ihre Sitzungen sehen und beenden.
Seit 0.3.5 gibt es außerdem eine Rolle Restore-Operator je Mandant. Ein Restore-Operator sieht und stellt jedes Backup des Mandanten wieder her, ohne ihn zu verwalten (Jobs, Speicher, Benutzer). Beim Anlegen eines Benutzers oder einer Einladung muss jetzt immer eine Rolle gewählt werden; es ist keine mehr vorausgewählt.
Verliert jemand den Zugang, bietet die Anmeldeseite einen
Zurücksetzen-Link per Mail, wenn die Benachrichtigungs-Mail
eingerichtet ist (der zweite Faktor bleibt bestehen), und immer den
Weg über einen Inhaber oder über restow admin recover.
Im Kundenbetrieb
Seit 0.4.0 hat die Service-Provider-Edition „Alle Mandanten“ unter Jobs: Die Jobs von Mail & SaaS und von Server & Clients listen jeden Mandanten mit seinen Jobs je Art, was läuft und wartet, wie die neuesten Backups endeten und den nächsten Lauf, mit Filtern und Sortierung, und eine Zeile öffnet die Jobs dieses Mandanten nur lesend. Die Einstellungen, denen Agents folgen, lassen sich je Mandant auf der Mandantenseite unter Agents festlegen (die Richtlinie der Agenten, unterhalb der Richtlinie der Installation, mit dem Backup-Job als dritter Ebene), und die Benachrichtigungsempfänger eines Mandanten sind Spalten der Benachrichtigungsmatrix. Restore-Operatoren eines Mandanten können Dateien von Rechnern und Proxmox-VE-Gästen durchsuchen und herunterladen und Dateien auf einem Rechner wiederherstellen, ohne den Mandanten zu verwalten.
Seit 0.4.7 kann der Eigentümer der Installation unter Installation › Preise einen Monatspreis je Postfach und je GB oder TB gespeicherter Sicherungen eintragen, und die Übersicht jedes Mandanten zeigt Provider-Administratoren eine Kachel „Preis je Monat“ mit dem, was der Mandant zu diesen Preisen ausmacht, samt Link zu den Preisen. Das ist eine Schätzung für Sie: Restow rechnet nichts ab und begrenzt nichts, und Mandanten-Benutzer sehen die Preise nie.
Delegierte Mandanten-Administratoren sind enthalten: Jeder Mandant hat eigene Administratoren, die der Provider oder ein Mandanten-Administrator einlädt und die nur ihren Mandanten sehen und verwalten. Mitglieder des Provider-Teams lassen sich mit Service Provider auf ausgewählte Mandanten beschränken, und ein Provider Admin kann bei Bedarf mandantenübergreifend handeln, stets als protokollierte Impersonation. Für den Überblick zeigt die Übersicht in Service Provider jeden Mandanten in einer Matrix: Status, Kennzahlen, veraltete Backups, Fehler, Speicherprobleme und Warnungen. Ab Business gibt es zudem geplante Zusammenfassungsberichte je Mandant per E-Mail (täglich, wöchentlich, monatlich oder per Cron), und Warnregeln je Mandant gibt es in jeder Edition. Eine REST-API mit mandantenbezogenen API-Schlüsseln und Scopes (dazu, in der Service-Provider-Edition, ein mandantenübergreifender Schlüssel für Abfragen über mehrere Mandanten hinweg) lässt ein RMM, PSA oder Ticketsystem Backup-/Restore-/Verifizierungsstatus, Jobs, Speicher, Archiv-Nachweise und ein sauberes mandantenbezogenes Nutzer-/ Postfachverzeichnis für die Abrechnung abrufen, statt dass jemand von Hand ein Dashboard prüft. White-Labeling für die Service-Provider-Edition ist geplant, noch nicht verfügbar. Siehe die Roadmap.
Die Service-Provider-Edition im Überblick, mit den Kosten je Postfach für einen MSP und einem Margenbeispiel, steht unter Mandantenfähiges Microsoft-365-Backup für Systemhäuser.
Häufig gefragt
Kann eine Restow-Installation mehrere Kunden bedienen?
Ja, unter der Service-Provider-Edition. Business gilt für eine Organisation; mehrere Mandanten zu verwalten gehört zu Service Provider, das beliebig viele Mandanten (Ihre eigenen Kunden), eine Provider-Übersicht über alle Mandanten (Mandanten-Reporting) und eine mandantenübergreifende REST-API mit Provider-Schlüsseln hinzufügt. Ein Postfachlimit gibt es in keiner Edition.
Kann die Community-Edition mehrere Administratoren haben?
Ja. Mehrere Administratoren mit Rollen (Inhaber, Administrator, Techniker oder Nur lesen) gibt es in jeder Edition, auch in Community. Ein Mitglied auf ausgewählte Mandanten zu beschränken bleibt Teil von Service Provider, der Edition, die auch mehrere Mandanten verwaltet.
Kann jemand Backups wiederherstellen, ohne Jobs, Speicher oder Benutzer ändern zu können?
Ja, seit 0.3.5. Es gibt eine Rolle Restore-Operator je Mandant: Sie sieht und stellt jedes Backup des Mandanten wieder her, ohne ihn zu verwalten (Jobs, Speicher, Benutzer). Beim Anlegen eines Benutzers oder einer Einladung wählen Sie jetzt immer die Rolle; keine ist vorausgewählt.
Kann ein Provider die Jobs aller Mandanten an einem Ort sehen?
Ja, mit Service Provider, seit 0.4.0. Unter „Alle Mandanten“ listen die Jobs von Mail & SaaS und von Server & Clients jeden Mandanten mit seinen Jobs je Art, was läuft und was wartet, wie die neuesten Backups endeten und den nächsten Lauf, mit Filtern und Sortierung. Eine Zeile öffnet die Jobs dieses Mandanten nur lesend.
Rechnet Restow bei meinen Kunden ab oder zeigt es, was ein Mandant kostet?
Restow rechnet nichts ab und begrenzt nichts. Seit 0.4.7 kann der Eigentümer der Installation unter Installation › Preise einen Monatspreis je Postfach und je GB oder TB gespeicherter Sicherungen eintragen (in EUR, CHF, USD oder GBP); die Übersicht jedes Mandanten zeigt Provider-Administratoren dann eine Kachel „Preis je Monat“ mit dem, was der Mandant zu diesen Preisen ausmacht, eine Zeile für die Postfächer und eine für den Speicher. Das ist eine Übersicht für Sie, keine Rechnung: Mandanten-Benutzer sehen die Preise nie, Postfächer werden wie in der Postfach-Nutzung gezählt, und der Speicher sind die gespeicherten Sicherungen des Mandanten, dedupliziert und komprimiert.
Was, wenn ein Administrator den Zugang verliert?
Bei verlorenem Zugang bietet die Anmeldeseite einen Zurücksetzen-Link per Mail, wenn die Benachrichtigungs-Mail eingerichtet ist, wobei der zweite Faktor bestehen bleibt, und immer den Weg über einen Inhaber oder den Befehl restow admin recover. Inhaber können außerdem den Zugang eines Mitglieds zurücksetzen.
Sind Mandantendaten wirklich isoliert, oder nur in der Oberfläche gefiltert?
Die Isolation wird durch PostgreSQL Row-Level-Security auf Datenbankebene erzwungen, je Mandant, und nicht nur dadurch, dass die Anwendung Zeilen in der Oberfläche ausblendet. Auch die Verschlüsselungsschlüssel sind je Organisation getrennt, was die Auswirkung eines Fehlers in der Anwendungsschicht begrenzt, statt eine mandantenübergreifende Offenlegung strukturell unmöglich zu machen.
Wie stellen Provider-Techniker Daten für einen Kunden wieder her, ohne direkten Datenbankzugriff?
Über delegierte Administration: Jeder Mandant hat eigene Administratoren, die nur diesen Mandanten sehen und verwalten, und Mitglieder des Provider-Teams haben in jeder Edition Rollen, wobei sich ein Mitglied mit Service Provider auf ausgewählte Mandanten beschränken lässt. Ein Provider Admin kann im Namen eines Mandanten handeln, und jede solche Aktion ist Impersonation, festgehalten im änderungserkennenden, hashverketteten Audit-Log (wer, wann, für wen, von welcher IP; die Ansicht für dieses Log ist in Business und Service Provider enthalten, der Export als CSV und JSON seit 0.3.1), dieselbe Regel, die für jeden anderen Restore im Namen eines anderen gilt.