Mandantenfähigkeit

Jede Restow-Installation ist intern mandantenfähig, auch die Community-Edition: Sie läuft einfach als ein einzelner Mandant. Was sich zwischen den Editionen ändert, ist, für wie viele Organisationen (Mandanten) die Lizenz gilt und ob Sie die Verwaltung mehrerer Mandanten, das Provider-Team und die Übersicht über alle Mandanten bekommen.

Rollen

• Provider-Administrationen verwalten Mandanten auf Installationsebene und laden Mandanten-Administrationen ein. Seit 0.3.1 hat jede Edition, auch Community, das Provider-Team: mehrere Provider-Administrationen mit Rollen (Inhaber, Administrator, Techniker, Nur lesen). Ein Mitglied auf ausgewählte Mandanten zu beschränken ist Service Provider.
• Mandanten-Administrationen verwalten Quellen, Zeitpläne, Speicher, Restores und Nutzer innerhalb ihres eigenen Mandanten und sehen keinen anderen Mandanten. Sie lassen sich in jeder Edition einladen, durch den Provider oder durch eine andere Mandanten-Administration.
• Restore-Operatoren (ab 0.3.5) sehen und stellen jedes Backup ihres Mandanten wieder her, ohne ihn zu verwalten: keine Jobs, kein Speicher, keine Nutzer. Seit 0.4.0 erreichen sie auch die Dateien von Servern und Clients, von Proxmox-VE-Gästen und SharePoint-Websites, siehe was ein Restore-Operator erreicht. Für jeden neuen Nutzer und jede Einladung muss eine Rolle gewählt werden.
• Mandanten-Nutzer (Endnutzer) sehen und bearbeiten ausschließlich ihre eigenen Postfach-/OneDrive-Daten.

Datentrennung

Die Daten jedes Mandanten sind durch PostgreSQL Row Level Security auf einer eigenen Anwendungs-Datenbankrolle getrennt (die Trennung wird von der Datenbank erzwungen, nicht nur von der Anwendungslogik), und jeder Mandant hat einen eigenen Datenverschlüsselungsschlüssel, der mit dem Master-Schlüssel der Installation umschlossen ist.

Wer den Server betreibt (Sie), hält diesen Master-Schlüssel und kann damit technisch die Daten jedes Mandanten entschlüsseln. Die obige Trennung verhindert, dass ein Mandant die Daten eines anderen erreicht, nicht, dass der Betreiber beide erreicht. Die Anwendung entschlüsselt den Schlüssel eines Mandanten nur über protokollierte Vorgänge (einen Restore, einen Export), nie stillschweigend; eine darüber hinausgehende Garantie „der Betreiber kann keine Mandantendaten sehen“ gibt es nicht.

Editionen

• Community und Business: eine Organisation (ein Mandant); Business ist für eine Organisation lizenziert. Die Verwaltung mehrerer Mandanten gehört zu Service Provider. Eine Postfach-Obergrenze gibt es in keiner Edition.
• Service Provider: beliebig viele Mandanten (Ihre eigenen Kunden) in einer Installation, mit delegierten Mandanten-Administrationen (jeder Mandant hat eigene Administrationen, die nur diesen Mandanten sehen und verwalten), der Beschränkung von Provider-Teammitgliedern auf ausgewählte Mandanten, der Provider-Übersicht über alle Mandanten (Mandantenberichte: Status, Kennzahlen, veraltete Sicherungen, Fehler, Speicherprobleme und Alarme jedes Mandanten; seit 0.4.0 zählt sie auch Freigaben und Freigaben ohne Job und zeigt Warnungen zur Unveränderbarkeit), der Ansicht Alle Mandanten unter Jobs (seit 0.4.0, Service Provider), die jeden Mandanten mit seinen Jobs je Art, was läuft und wartet und wie die neuesten Sicherungen endeten auflistet, mit Filtern und Sortierung, und der Integrations-API, mandantenübergreifend über einen Provider-Key verfügbar. Die Zahl der Mandanten ist technisch nicht begrenzt. Zeitgesteuerte Zusammenfassungsberichte je Mandant gibt es ab Business. White-Label-Branding für diese Edition ist in Entwicklung, noch nicht verfügbar.

Ein zweiter Mandant braucht die vollständigen Images mit einem Lizenzschlüssel Service Provider. Ohne ihn lehnen die vollständigen Images ihn mit 403 urn:restow:problem:edition-required ab und verweisen auf den Lizenzbereich (Installation → Lizenz); die Community-Images lehnen ihn mit 403 urn:restow:problem:feature-unavailable ab. Siehe Lizenz und Editionen.

Monatspreise und die Schätzung je Mandant (seit 0.4.7)

Wenn Sie Ihren Kunden monatlich etwas berechnen, kann Restow zeigen, was jeder Mandant zu Ihren Preisen ausmacht. Es ist eine Übersicht für Sie: Restow rechnet nichts ab und begrenzt nichts, keine Postfach- oder Speicherzahl wird durchgesetzt, und nichts geht an einen Kunden.

• Wo Sie die Preise eintragen. Installation → Preise: ein Monatspreis je Postfach und ein Preis für Speicher je GB oder je TB der gespeicherten Sicherungen des Mandanten, in EUR, CHF, USD oder GBP. Ein Preis nimmt höchstens vier Nachkommastellen; ein leer gelassener Preis wird nicht angezeigt.
• Was gezählt wird. Postfächer werden wie in der Postfach-Nutzung auf der Übersicht gezählt (ein OneDrive zählt nicht doppelt; importierte Postfächer, SharePoint-Websites und Microsoft-365-Gruppenpostfächer zählen nicht, siehe API-Referenz). Speicher sind die gespeicherten Sicherungen des Mandanten, dedupliziert und komprimiert, in dezimalen Einheiten (1 GB sind 10^9 Byte, 1 TB sind 10^12 Byte).
• Wer darf. Provider-Administratoren mit allen Mandanten lesen die Preise, und nur der Inhaber der Installation ändert sie. Jede Änderung wird als settings.pricing.updated mit den Werten davor und danach auditiert. Mandanten-Benutzer sehen die Preise nie.
• Was es zeigt. In der Übersicht jedes Mandanten sehen Provider-Administratoren mit allen Mandanten eine Kachel Preis je Monat: was der Mandant zu diesen Preisen ausmacht, eine Zeile für die Postfächer und eine für den Speicher, mit dem Link Preise anpassen. Die Kachel erscheint, sobald ein Preis gesetzt ist; nach dem Update auf 0.4.7 sind die Preise leer, sodass keine Kachel erscheint, bis der Inhaber einen einträgt.

Import-Ordner und Endpoints

Mail-Dateien für den Import können aus einem Ordner auf dem Server kommen. Es gibt einen Import-Ordner für die Installation, und jeder Mandant bekommt darin seinen eigenen Unterordner, <Ordner>/<Mandanten-Slug>/, den Sie anlegen. Die Administration eines Mandanten kann die Dateien im Unterordner eines anderen Mandanten weder auflisten noch importieren: API und Worker prüfen beide, dass ein Pfad im eigenen Unterordner des Mandanten liegt. Server und Clients, die mit dem Agent gesichert werden, gehören je einem Mandanten, mit einem eigenen restic-Repository im Speicherziel dieses Mandanten, dessen Passwort mit dem Schlüssel dieses Mandanten versiegelt ist (Endpoint-Backup).

Impersonation

Wenn eine Administration im Namen eines Nutzers Daten wiederherstellt oder darauf zugreift (statt dass der Nutzer es selbst tut), ist das Impersonation, und sie wird immer im Audit-Log erfasst: wer gehandelt hat, wann, auf wessen Daten, was getan wurde und von welcher IP.