Datenfluss
- Der PC lädt und speichert Dateien direkt bei SharePoint und OneDrive.
- Wer in SharePoint keinen Zugriff hat, bekommt ihn auch über ein Laufwerk nicht.
- Der Server liefert dem Agent nur, welche Laufwerke mit welchem Buchstaben und Modus zu verbinden sind.
Zwei Entra-Apps, offen gelegte Berechtigungen
CloudMount (Dienst)
App-Berechtigungen, nur lesen, ohne angemeldeten Benutzer. Anmeldung mit Zertifikat statt Kennwort.
- User.Read.All
- GroupMember.Read.All
- Team.ReadBasic.All
- Channel.ReadBasic.All
Damit liest der Server Benutzerprofile, Gruppenmitgliedschaften, die Liste der Teams und die Namen der Kanäle. App-Berechtigungen auf SharePoint hat diese App nicht.
Delegiert, nur beim Durchsuchen im Portal: wählt ein Admin im Assistenten «Laufwerk hinzufügen» eine Site aus der Liste, meldet er sich dafür bei Microsoft an.
- Sites.Read.All
- User.Read
- openid
- profile
Der Server sieht dabei nur, was das Konto des Admins sehen darf, und liest die Namen von Sites, Bibliotheken und Ordnern. Das Token liegt nur im Arbeitsspeicher, wird nicht gespeichert und verfällt mit der Portal-Sitzung.
CloudMount Client
Delegierte Berechtigungen im Namen der angemeldeten Person, mit deren eigenen Rechten.
- Laufwerk.Agent
- User.Read
- Files.ReadWrite.All
- Sites.Read.All
- offline_access
- openid
- profile
Files.ReadWrite.All gilt nur für Dateien, auf die die Person selbst Zugriff hat. Laufwerk.Agent ist der Zugang zur Schnittstelle des CloudMount-Servers.
Beide Zustimmungen erteilt ein Global-Admin des Kunden einmal. Im Portal stehen unter «Einrichtung» dieselben Listen.
Was der Server kennt
- Benutzer und Gruppenmitgliedschaften aus Entra ID, Namen von Teams und Kanälen
- die Laufwerksdefinitionen: Buchstabe, Bezeichnung, Adresse, Modus, Ziele
- Lizenzen und Abos
- den Zustand der Geräte: Gerätename, Benutzer, verbundene Laufwerke, Fehler, Versionen
- bei einem fehlgeschlagenen Upload Dateiname, Pfad und Grund, damit die IT helfen kann
- das Protokoll jeder Admin-Aktion mit Zeit, Person und IP-Adresse
Keine Dateiinhalte und keine Kennwörter. Die Tokens für SharePoint und OneDrive bleiben auf dem PC.
Anmeldung und Zugriff
Der Agent meldet sich über den Windows-Kontomanager (WAM) an. Mehrstufige Anmeldung und Richtlinien für bedingten Zugriff aus Ihrem Tenant gelten unverändert. Der Token-Cache auf dem PC ist mit DPAPI an das Windows-Konto gebunden.
Im Portal sind Global-Admins und SharePoint-Admins eines registrierten Kunden zugelassen, angemeldet mit ihrem Microsoft-Konto. Sie sehen nur den eigenen Tenant. Der Server prüft jedes Token des Agents gegen Microsoft (Signatur, Aussteller je Tenant, Zielgruppe, App).
Betrieb
Server in Deutschland
Der CloudMount-Server läuft bei Hetzner in Deutschland. Ihre Dateien bleiben in Ihrem Microsoft-365-Tenant.
Server weg, Laufwerke da
Ist der Server nicht erreichbar, arbeitet der Agent mit der zuletzt geholten Konfiguration weiter, mindestens 7 Tage. Die Dateien kommen ohnehin direkt von Microsoft.
Open-Source-Lizenz
Server und Portal AGPL-3.0, Agent MIT. Quelltext auf Anfrage. rclone liegt unverändert im Installer, den Treiber WinFsp lädt der Installer aus der offiziellen Quelle und prüft die Prüfsumme; beide unter ihren eigenen Lizenzen.
Wer steht dahinter
CloudMount wird von Kai Schnider (LAN-API) in der Schweiz entwickelt und betrieben. Support per Mail an hello@cloudmount.de.
CloudMount ist nicht mit Microsoft oder Thinkscape verbunden und wird von ihnen weder unterstützt noch zertifiziert.