Externe Speicher #

owncloud.online kann fremde Speicherziele wie SMB-Freigaben, SFTP- und WebDAV-Server oder S3-Buckets als Ordner in den Dateibaum einhängen. Die Dateien bleiben dabei auf dem Quellsystem, owncloud.online hält nur die Metadaten und reicht Zugriffe durch. Zuständig ist die App files_external; weitere Backends kommen aus den Apps files_external_s3 und wnd. Installation und Einstellungen dieser beiden Apps stehen auf ihren Plugin-Seiten External Storage: S3 und Windows-Netzlaufwerk (Custom).

Funktion einschalten #

Die App files_external gehört zur Auslieferung und ist standardmäßig aktiv. Die Funktion selbst ist es nicht: Sie hängt am App-Wert enable_external_storage der App core, dessen Vorgabe no lautet.

Über die Oberfläche: Einstellungen → Administration → Speicher, Abschnitt Externer Speicher, Kästchen Externen Speicher aktivieren.

Über die Kommandozeile:

sudo -u www-data php8.4 occ config:app:set core enable_external_storage --value yes

Erst danach erscheint in der Dateiansicht der Navigationseintrag Externer Speicher. Wird die Funktion wieder abgeschaltet, verschwinden alle eingebundenen Speicher aus allen Konten; die Konfiguration bleibt in der Datenbank erhalten.

Speicher-Backends #

Ein Backend ist der Treiber für ein Protokoll. Der Bezeichner in der zweiten Spalte ist der Wert, den occ files_external:create erwartet. Er muss exakt passen, auch in der Groß- und Kleinschreibung.

Zu einzelnen Backends:

• SFTP mit dem Login über einen geheimen Schlüssel und SMB / CIFS mit OC-Login sind als veraltet markiert und verweisen auf sftp beziehungsweise smb. Unter Speicher hinzufügen bietet die Oberfläche sie nicht mehr an; neue Einbindungen gehören auf die Nachfolger.
• Lokal ist auf die Administration beschränkt und zusätzlich abgeschaltet, solange in config/config.php nicht 'files_external_allow_create_new_local' => true steht. Für Konten ist dieses Backend unabhängig von jeder Einstellung gesperrt.
• SMB Kollaborative und Windows-Netzlaufwerk (Kollaborativ) sind ebenfalls auf die Administration beschränkt.
• Nicht jeder Eintrag in der letzten Spalte ist ein Schema. smb-coll führt ausschließlich password::sessioncredentials, wnd_custom_collaborative führt es zusätzlich. Das ist der Bezeichner des Mechanismus Anmeldedaten in Sitzung speichern, dessen Schema password lautet. Die Oberfläche gleicht Backend und Mechanismus über Schema oder Bezeichner ab, deshalb wird an SMB Kollaborative genau dieser eine Mechanismus angeboten.
• wnd_userprovided_db und wnd_logincredentials_db laufen dagegen ins Leere: Die zugehörigen Mechanismen der App wnd (wnd::userprovided und wnd::logincredentials_db) tragen als Schema password, und kein Mechanismus trägt diese beiden Werte als Schema oder als Bezeichner. Sie ändern an der angebotenen Auswahl nichts.

Authentifizierungsverfahren #

Jeder Mechanismus gehört zu genau einem Schema. Die Oberfläche bietet an einem Backend die Mechanismen an, deren Schema oder deren Bezeichner in der Spalte oben steht. occ files_external:create vergleicht dagegen nur die Schemata. Deshalb lässt sich smb-coll über die Kommandozeile nicht anlegen: Der Befehl bricht mit „Authentication backend … not valid for storage backend …“ ab.

Daraus folgt für die Praxis:

• Die vier Passwort-Mechanismen der App wnd tragen das Schema password und stehen deshalb an jedem Backend mit Passwort-Schema zur Verfügung, nicht nur an den beiden Windows-Netzlaufwerken. Nur Kerberos hat ein eigenes Schema und erscheint ausschließlich dort. Fest in der Konfigurationsdatei hinterlegte Anmeldedaten ist zusätzlich auf die Administrationsansicht beschränkt und fehlt in den persönlichen Einstellungen.
• Für oauth1 und openstack bringt diese Auslieferung kein Backend mit. Die drei zugehörigen Mechanismen sind registriert, aber an keinem Backend auswählbar.
• Anmeldedaten in Sitzung speichern legt Benutzername und Passwort verschlüsselt in der Sitzung ab, sobald sich das Konto anmeldet. Ohne Anmeldung mit Passwort, etwa bei WebDAV-Zugriff mit App-Passwort, bei Single Sign-on oder im Cron-Lauf, sind die Daten nicht vorhanden, und der Speicher wird als nicht verfügbar eingehängt.

Einbinden über die Oberfläche #

Einstellungen → Administration → Speicher, Abschnitt Externer Speicher. Die Tabelle hat je Zeile die Spalten Ordnername, Externer Speicher, Authentifizierung, Konfiguration und Verfügbar für. Die letzte Spalte gibt es nur in der Administrationsansicht.

1. Unter Externer Speicher das Backend über Speicher hinzufügen wählen.
2. Ordnername setzen. Das ist der Einhängepunkt im Dateibaum.
3. Unter Authentifizierung einen der zum Backend passenden Mechanismen wählen und die Felder unter Konfiguration ausfüllen.
4. Unter Verfügbar für Konten oder Gruppen eintragen. Bleibt das Feld leer, gilt der Speicher für alle.

Über das Zahnrad einer Zeile öffnen sich die Erweiterten Einstellungen mit den Einhängeoptionen. Sie entsprechen diesen Schlüsseln, die auch occ files_external:option setzt:

Verschlüsselung aktivieren wird nur eingeblendet, wenn auf der Instanz Verschlüsselung aktiv ist. Freigaben einschalten erscheint in der Administrationsansicht immer, in den persönlichen Einstellungen nur, solange allow_user_mount_sharing auf yes steht. Bei Anmeldedaten in Sitzung speichern ist Freigaben einschalten gesperrt; der Hinweis dazu lautet „Freigabe kann aufgrund der gewählten Authentifizierungsmethode nicht aktiviert werden“.

Einbinden über occ #

Die Befehle gehören zur App files_external und stehen nur zur Verfügung, solange sie aktiv ist.

Sehen Sie sich zuerst die verfügbaren Bezeichner an. Der Befehl listet Backends, Mechanismen und deren Parameter:

sudo -u www-data php8.4 occ files_external:backends
sudo -u www-data php8.4 occ files_external:backends storage smb
sudo -u www-data php8.4 occ files_external:backends authentication

Dann legen Sie die Einbindung an. Ohne --user entsteht ein Speicher für das ganze System, mit --user ein persönlicher:

sudo -u www-data php8.4 occ files_external:create \
  /Projekte smb password::password \
  -c host=fileserver.example.com -c share=projekte -c domain=EXAMPLE \
  -c user=svc_cloud -c password=geheim

--dry legt nichts an, sondern zeigt nur, was entstehen würde. Bei Erfolg gibt der Befehl die Speicher-ID aus; alle folgenden Befehle arbeiten mit dieser ID. Ein Passwort, das Sie mit -c übergeben, steht danach in der Shell-Historie.

Zuständige Konten und Gruppen setzen, nur bei Systemspeichern möglich:

sudo -u www-data php8.4 occ files_external:applicable 3 --add-group projektteam
sudo -u www-data php8.4 occ files_external:applicable 3 --remove-user testkonto
sudo -u www-data php8.4 occ files_external:applicable 3 --remove-all

Backend-Konfiguration und Einhängeoptionen lesen und ändern. Ohne Wert wird der bestehende ausgegeben:

sudo -u www-data php8.4 occ files_external:config 3 host
sudo -u www-data php8.4 occ files_external:config 3 root /abteilung/projekte
sudo -u www-data php8.4 occ files_external:option 3 read_only true

Die Verbindung gegen das Ziel prüfen. -c reicht Werte nach, die in der gespeicherten Konfiguration fehlen. Bei Mechanismen, die Anmeldedaten aus der Sitzung ziehen, ist das zwingend, weil occ keine Sitzung hat:

sudo -u www-data php8.4 occ files_external:verify 3
sudo -u www-data php8.4 occ files_external:verify 3 -c user=svc -c password=geheim

Bestand ansehen, sichern, zurückspielen und löschen:

# Systemspeicher
sudo -u www-data php8.4 occ files_external:list
# persönliche Speicher eines Kontos
sudo -u www-data php8.4 occ files_external:list maxmuster
# alle, inklusive Passwörter
sudo -u www-data php8.4 occ files_external:list --all --show-password

sudo -u www-data php8.4 occ files_external:export > speicher.json
sudo -u www-data php8.4 occ files_external:import speicher.json
sudo -u www-data php8.4 occ files_external:delete 3 --yes

files_external:export ist files_external:list mit fest gesetzten Optionen (--show-password, --full, --importable-format, JSON) und enthält damit Zugangsdaten im Klartext. Behandeln Sie die Datei entsprechend. files_external:import liest wahlweise aus einer Datei oder mit - von der Standardeingabe; das alte mount.json-Format weist der Befehl ab.

Administrativ eingebunden oder persönlich #

Beide Arten benutzen dieselben Backends, verhalten sich aber unterschiedlich.

Damit Konten überhaupt selbst einbinden dürfen, sind zwei App-Werte nötig. Das Kästchen Benutzern erlauben, externen Speicher einzubinden schreibt allow_user_mounting in der App files_external. Die darunter unter Benutzern erlauben, den oder die folgenden externen Speicher einzubinden: angekreuzten Backends landen als Liste ihrer Bezeichner in user_mounting_backends. Ist die Liste leer, bleibt das Einbinden gesperrt, auch wenn allow_user_mounting auf yes steht.

sudo -u www-data php8.4 occ config:app:set files_external allow_user_mounting --value yes
sudo -u www-data php8.4 occ config:app:set files_external user_mounting_backends --value smb,sftp,dav
sudo -u www-data php8.4 occ config:app:get core allow_user_mount_sharing

Steht allow_user_mount_sharing auf no, setzt owncloud.online beim Einhängen jedes persönlichen Speichers enable_sharing auf false, unabhängig davon, was in den Einhängeoptionen steht.

Die occ-Befehle prüfen diese Einstellungen nicht. files_external:create --user legt eine persönliche Einbindung auch dann an, wenn allow_user_mounting auf no steht.

Externer Speicher oder primärer Objektspeicher #

Beides ist Speicher außerhalb des lokalen Dateisystems, aber die beiden Wege haben nichts miteinander zu tun.

Der primäre Objektspeicher ersetzt das Wurzel-Dateisystem der Instanz. Ist objectstore beziehungsweise objectstore_multibucket gesetzt, richtet owncloud.online beim Aufbau des Dateisystems statt des lokalen Wurzelspeichers den Objektspeicher ein, und jedes Konto bekommt sein Heimatverzeichnis im Objektspeicher.

Ein S3-Bucket lässt sich mit files_external_s3 zusätzlich als gewöhnlicher externer Speicher einbinden. Das ist der Unterschied zwischen „S3 ist ein Ordner“ und „S3 ist der Datenspeicher der Instanz“. Über die Oberfläche und über die Storages-API lässt sich ein Objektspeicher ausdrücklich nicht als externer Speicher konfigurieren; die Anfrage wird mit Objekt nicht erlaubt abgewiesen.

Zwei Befehle bringt files_primary_s3 mit:

sudo -u www-data php8.4 occ s3:list
sudo -u www-data php8.4 occ s3:list mein-bucket
sudo -u www-data php8.4 occ s3:create-bucket mein-bucket

s3:create-bucket ist für Tests gedacht. Für den Betrieb legen Sie den Bucket mit den Werkzeugen Ihres Anbieters an, damit Region, Verschlüsselung und Lebenszyklus-Regeln in Ihrer Hand bleiben. Die Einrichtung beschreibt S3 Primary Object Storage.

SMB im Besonderen #

Für SMB und für die Windows-Netzlaufwerke der App wnd gilt zusätzlich:

• Benötigt wird entweder die PHP-Erweiterung smbclient (libsmbclient-php) oder das Kommandozeilenprogramm smbclient im PATH. Fehlt beides, meldet die Speicherseite, dass smbclient nicht installiert ist, und das Backend verschwindet aus der Auswahl.
• Ist das Feld Domain gefüllt (bei wnd: Domäne), setzt owncloud.online den Benutzernamen vor dem Verbindungsaufbau zu DOMAIN\benutzer zusammen. Tragen Sie die Domäne deshalb nicht zusätzlich in den Benutzernamen ein.
• Debug-Ausgaben für SMB-Zugriffe schaltet 'smb.logging.enable' => true in config/config.php ein, für die App wnd ist es 'wnd.logging.enable' => true. Ins Protokoll gelangen die Meldungen nur, wenn loglevel auf 0 steht.

Zur Groß- und Kleinschreibung: SMB-Server behandeln Dateinamen in aller Regel ohne Unterscheidung von Groß- und Kleinschreibung, owncloud.online dagegen unterscheidet. Zwei Stellen sind davon betroffen.

Erstens die Bezeichner. files_external:create schlägt Backend und Mechanismus als exakte Zeichenketten nach. smb funktioniert, SMB nicht: Der Befehl bricht mit „Storage backend with identifier … not found“ ab. Dasselbe gilt für die Liste in user_mounting_backends.

Zweitens die Dateinamen. Liefert der Server auf eine Einzelabfrage keinen Treffer, liest owncloud.online ersatzweise das übergeordnete Verzeichnis und vergleicht die Namen exakt, also mit Unterscheidung von Groß- und Kleinschreibung. Weicht die abgefragte Schreibweise von der auf der Freigabe ab, findet dieser Ersatzweg die Datei nicht. Das gilt für die PHP-Erweiterung und das Programm smbclient gleichermaßen.

Die App wnd bringt neben ihren Betriebsbefehlen (wnd:listen, wnd:notifications, wnd:process-queue) einen Befehl mit, der eine SMB-Freigabe unabhängig von jeder Einbindung prüft:

sudo -u www-data php8.4 occ wnd:test fileserver.example.com projekte svc_cloud --domain EXAMPLE --list

Wird das Passwort weggelassen, fragt der Befehl es verdeckt ab.

Fehlersuche #

Verbindungsfehler stehen mit Ursache im Protokoll, siehe Serverprotokoll und Fehlermeldungen. Eine Übersicht aller occ-Befehle steht in der occ-Referenz, Hinweise zur Installation der Zusatz-Apps unter Apps und Marketplace.