Zum Inhalt

Schlüsselserver für die Organisation einrichten

Problem: Team-Ordner brauchen einen Ort für ihre Schlüssel – ohne Lizenzgrenzen und ohne dass ein Anbieter Zugriff auf Daten bekommt.

Lösung: Krywerk Server im eigenen Haus: ein Docker-Compose-Stapel mit automatischem TLS, Anmeldung über Keycloak, das an Microsoft 365 (Entra ID) angebunden wird, und eine Web-Verwaltung.

Ergebnis: Ein Schlüsselserver, kompatibel zum Cryptomator Hub, der nie Dateien oder entschlüsselte Schlüssel sieht – mit Protokoll, täglicher Sicherung und Health-Check.

Voraussetzungen

  • Ein Linux-Server mit Docker und Docker Compose, erreichbar über zwei DNS-Namen, z. B. schluessel.example.org (Krywerk Server) und login.example.org (Keycloak); Ports 80 und 443 offen.
  • Für Microsoft 365: Rechte, in Entra ID eine App-Registrierung anzulegen.
  • Etwa 1 GB RAM, wenige GB Speicher (die Datenbank enthält nur Schlüssel und Metadaten).

Schritte

  1. Repository holen: 
    git clone https://github.com/mzilinski/krywerk /opt/krywerk
cd /opt/krywerk/crates/kw-server/deploy
  2. Einstellungen: krywerk.env aus krywerk.env.example anlegen und .env mit Domains und zufälligen Passwörtern füllen – genau wie in Betrieb › Mit eigenem Keycloak beschrieben.
  3. Starten und prüfen: 
    alias kc='docker compose -f compose.yaml -f compose.keycloak.yaml'
kc up -d
kc run --rm server check
curl https://schluessel.example.org/health      # → ok
  4. Microsoft 365 anbinden: App-Registrierung in Entra ID und Identity Provider entra in Keycloak – Betrieb › Konten aus Entra ID.
  5. Rollen vergeben: alle bekommen user; wer Team-Ordner anlegen darf, create-vaults; die IT-Administration admin.
  6. Web-Verwaltung einschalten: Client krywerk-verwaltung in Keycloak anlegen und KRYWERK_SERVER_WEB=1 setzen – Web-Verwaltung › Einrichten. Danach unter https://schluessel.example.org/verwaltung/ anmelden.
  7. Sicherung einrichten: täglicher Cron-Job mit backup.sh, Kopie außer Haus – Sicherung.
  8. Den Nutzenden mitteilen: die Adresse https://schluessel.example.org für Einstellungen › Organisationskonto in der App.

Übersicht der Web-Verwaltung von Krywerk Server

Datenschutz

Der Server speichert Namen, E-Mail-Adressen, Gruppen und Freigaben, aber keine Dateien. Was genau, wie lange und wer es sieht: Datenschutz und Datenflüsse – die Grundlage für das Verzeichnis von Verarbeitungstätigkeiten.

Weiter