Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- systeme:samba:entwurf-v1 [04/11/2026 01:57] – OMNISRV-SAMBA GAZETTE-001: geprüfter HPMS-Entwurf Holger Wehrs
+++ systeme:samba:entwurf-v1 [05/11/2026 03:23] (aktuell) – [Teil 3 · Verschlüsselung und Datenschutz] Holger Wehrs
@@ Zeile 1: / Zeile 1: @@
 ====== Der gläserne Tresor · Samba-Entwurf V1 ======
-**Stand:** 2026-11-04 · **Geltung:** OMNISRV-Samba · **Status:** Entwurf im HPMS-Wiki. [[systeme:samba:datenschutz|Datenschutz]] · [[systeme:samba:berechtigungen|Berechtigungen]] · [[systeme:samba:backup-recovery|Backup und Wiederherstellung]]
+**Stand:** 2026-11-05 · **Geltung:** OMNISRV-Samba · **Status:** Entwurf im HPMS-Wiki. [[systeme:samba:datenschutz|Datenschutz]] · [[systeme:samba:berechtigungen|Berechtigungen]] · [[systeme:samba:backup-recovery|Backup und Wiederherstellung]]
 <WRAP info round 90% justify>
@@ Zeile 10: / Zeile 10: @@
 ====== Teil 1 · Die Aktenablage einfach erklärt ======
 <WRAP tip round 90% justify>
-Ein Mitarbeiter öffnet eine Freigabe im Windows-Explorer. Samba prüft seine Anmeldung und die Rechte am gewünschten Objekt. Eine entschlüsselte Arbeitsansicht liefert die Dateien an Samba. Auf dem dauerhaften Datenträger liegen die zugehörigen Inhalte und Dateinamen verschlüsselt.
+Ein Mitarbeiter öffnet eine Freigabe im Windows-Explorer. Samba prüft seine Anmeldung und die Rechte am gewünschten Objekt. Die entschlüsselte Arbeitsansicht entsteht innerhalb des Samba-Containers und liefert dort die Dateien an den Dienst. Außerhalb des Containers bleibt der dauerhafte Dateibestand verschlüsselt.
 </WRAP>
@@ Zeile 22: / Zeile 22: @@
 **Warum gocryptfs?** Die dateibasierte Verschlüsselung wächst mit dem Datenbestand im gemeinsamen Btrfs-Speicher. Ein festes Image mit vorgegebener Größe entfällt. Btrfs kann die verschlüsselte Seite als Momentaufnahme festhalten; für die Sicherung wird sie vorübergehend lesend entschlüsselt. Die Wahl ist ein Architekturentscheid für diesen Tresor, kein allgemeines Urteil über LUKS. [[systeme:samba:datenschutz|Wo Klartext sichtbar wird und welche Grenzen bleiben]].
+<WRAP important round 90% justify>
+===== Kein dauerhafter Klartext außerhalb des Containers =====
+**Im normalen Samba-Betrieb ist die entschlüsselte Arbeitsansicht ausschließlich im Container eingehängt.** Der OMNISRV-Host hält keinen dauerhaften Klartext-Mount für Samba vor. Beim Stoppen des Containers endet auch dessen interne Mount-Ansicht. Nur während eines Borg-Backups wird auf dem Host eine **separate, schreibgeschützte Momentaufnahme vorübergehend** entschlüsselt und anschließend wieder ausgehängt.
+</WRAP>
 ----
@@ Zeile 41: / Zeile 46: @@
 ----
 ====== Teil 3 · Verschlüsselung und Datenschutz ======
-Im Speicher liegen verschlüsselte Inhalte und Namen. Die laufende Arbeitsansicht ist entschlüsselt und für Samba verfügbar. Ein privilegierter Hostprozess kann die Benutzergrenzen überschreiten. Bei der Sicherung wird eine schreibgeschützte Momentaufnahme nur für die Laufzeit des Backups zusätzlich entschlüsselt. [[systeme:samba:datenschutz|Sichtbarkeitsmatrix und Schlüsselgrenzen]].
+Im Btrfs-Speicher liegen verschlüsselte Inhalte und Namen. Nach dem Containerstart öffnet gocryptfs die Arbeitsansicht **innerhalb des Containers**; erst dann stellt Samba die Freigaben bereit. Beim Containerstopp endet diese Mount-Ansicht. Ein privilegierter Hostadministrator mit Zugang zum Schlüssel und zu Docker kann die Daten dennoch entschlüsseln. Für die Sicherung wird eine schreibgeschützte Momentaufnahme nur während des Backups zusätzlich auf dem Host entschlüsselt. [[systeme:samba:datenschutz|Sichtbarkeitsmatrix und Schlüsselgrenzen]].
 <mermaid>
-flowchart LR
+flowchart TB
-  A([Btrfs: verschlüsselt]) --> B([gocryptfs]) --> C([Arbeitsansicht: Klartext]) --> D([Samba])
+  A([<strong>Server-Platte:</strong><br/>verschlüsselte Dateien])
+  subgraph RUN [<strong>Im Samba-Container</strong>]
+    direction LR
+    B([Container startet]) --> C([gocryptfs entschlüsselt Nutzdaten])
+    C --> D([Samba stellt klarschrift Freigaben bereit])
+    D --> E([Container stoppt oder wird neu gestartet])
+  end
+  F([Interner Klartext-Mount endet])
+  A --> RUN
+  RUN --> F
   classDef quiet fill:#f2f2f2,stroke:#929292,color:#222,stroke-width:1px;
-  class A,B,C,D quiet;
+  class A,B,C,D,E,F quiet;
+  style RUN fill:#fafafa,stroke:#b0b0b0,stroke-width:1px;
   linkStyle default stroke:#929292,stroke-width:1px;
 </mermaid>
@@ Zeile 53: / Zeile 68: @@
 ----
 ====== Teil 4 · BorgBackup und Wiederherstellung ======
-Stündlich wird die verschlüsselte Btrfs-Seite schreibgeschützt fotografiert. Ein zweiter gocryptfs-Mount zeigt sie dem Backup-Prozess kurz im Klartext. Borg liest diese Ansicht, dedupliziert und verschlüsselt das Archiv für das entfernte Repository. Der Transport erfolgt nach dem aktuellen Betriebsbefund über SSH. Anschließend werden der temporäre Mount und die Momentaufnahme entfernt. [[systeme:samba:backup-recovery|Nachweise, Fehlerbehandlung und Restore]].
+Stündlich wird die verschlüsselte Btrfs-Seite schreibgeschützt fotografiert. Ein vom Samba-Container unabhängiger gocryptfs-Mount zeigt sie dem Backup-Prozess kurz auf dem Host im Klartext. Borg liest diese Ansicht, dedupliziert und verschlüsselt das Archiv für das entfernte Repository. Der Transport erfolgt nach dem aktuellen Betriebsbefund über SSH. Anschließend werden der temporäre Mount und die Momentaufnahme entfernt. [[systeme:samba:backup-recovery|Nachweise, Fehlerbehandlung und Restore]].
 <mermaid>
@@ Zeile 65: / Zeile 80: @@
 ----
 ====== Teil 5 · Technische Referenz ======
-Der Dienst läuft im Container ''int-samba'' im internen Docker-Netz ''int-net''. Der technische DNS-Name ist ''samba.int.omnisrv.de''; ''samba.omnisrv.de'' ist der interne Komfortname. Die aktuell belegte Adresse ist ''10.0.50.30''. Es gibt keinen veröffentlichten SMB-Hostport. Der Dateibestand liegt im Btrfs-Subvolume ''@omnisrv-samba''; die produktive gocryptfs-Ansicht nutzt ''-acl -allow_other''. Die Samba-Konfiguration regelt SMB3, Anmeldung, Abteilungs- und Home-Freigaben. systemd startet gocryptfs, Container und Firewall-Regeln; ein eigener Timer startet das Borg-Skript stündlich. Diese Werte sind der lesend geprüfte Stand vom 4. November 2026 und können sich ändern. Betriebsdetails und Prüfnachweise stehen in der versionierten [[systeme:samba:backup-recovery|Backup-Referenz]] und im OMNISRV-Projekt.
+Der Dienst läuft im Container ''int-samba'' im internen Docker-Netz ''int-net''. Der technische DNS-Name ist ''samba.int.omnisrv.de''; ''samba.omnisrv.de'' ist der interne Komfortname. Die aktuell belegte Adresse ist ''10.0.50.30''. Es gibt keinen veröffentlichten SMB-Hostport. Der Dateibestand liegt im Btrfs-Subvolume ''@omnisrv-samba''; die produktive gocryptfs-Ansicht nutzt ''-acl -allow_other''. Die Samba-Konfiguration regelt SMB3, Anmeldung, Abteilungs- und Home-Freigaben. systemd startet den Container nach Docker, AppArmor, Firewall, Btrfs und Secret-Bereitstellung; gocryptfs wird **im Container** gestartet und überwacht. Ein eigener Timer startet das Borg-Skript stündlich. Der frühere Host-gocryptfs-Dienst ist gestoppt und deaktiviert. Dieser Betriebsstand wurde am 5. November 2026 geprüft; ein vollständiger Host-Neustart als Abnahme steht noch aus. Betriebsdetails und Prüfnachweise stehen in der versionierten [[systeme:samba:backup-recovery|Backup-Referenz]] und im OMNISRV-Projekt.
 **Grenze:** SMB bleibt auf HOME0 und autorisierte WireGuard-Wege beschränkt. Die Dokumentation erteilt keine zusätzliche Netzfreigabe.