Mandantenbindung und Dokumentenisolation

MobilityManager ist mandantenfähig: Mehrere Unternehmen nutzen eine gemeinsame Plattform, ohne die Daten der jeweils anderen zu sehen. Dieser Artikel erläutert, wie Dokumente auf Ihr Unternehmen beschränkt werden und was diese Grenze durchsetzt.

Was „Mandant" hier bedeutet

Ein Mandant ist ein Unternehmen (Kunde) auf der Plattform. Jeder Mandant hat seine eigene Datenbank, und Dokumentdatensätze – ihre Metadaten und ihr Versionsverlauf – liegen in der Datenbank dieses Mandanten. Es gibt keinen gemeinsamen Pool von Dokumenten über Unternehmen hinweg; ein Dokument gehört genau einem Mandanten.

Jeder Dokumentvorgang erfordert einen Mandantenkontext

Bevor ein Upload, Download, eine Metadatenauflistung oder eine Löschung ausgeführt wird, überprüft die Plattform, ob Ihre Sitzung einen aktiven Mandantenkontext besitzt und ob die Datenbank des Mandanten erreichbar ist. Schlägt eine der beiden Prüfungen fehl, wird der Vorgang sofort mit „Tenant context is required for document operations." abgebrochen. Ohne aufgelösten Mandanten wird keine Datei gelesen oder geschrieben.

Hinweis: Diese Prüfung ist verpflichtend und gilt für alle Dokumentaktionen. Sie wird auf dem Server durchgesetzt und kann daher nicht über die Oberfläche umgangen werden.

Zwei Schutzebenen

Ebene	Was sie durchsetzt
Berechtigungen	documents:view zum Auflisten und Herunterladen, documents:manage zum Hochladen und Löschen. Wird bei jeder Anfrage serverseitig geprüft.
Mandantenbindung	Anfragen werden ausschließlich gegen die Datenbank Ihres Mandanten ausgeführt. Abfragen berücksichtigen außerdem den übergeordneten Datensatz (dessen Typ und ID), sodass ein Dokument nur über den zugehörigen Datensatz erreichbar ist.

Zusammengenommen bedeutet das, dass eine Berechtigung allein nicht ausreicht, um an die Dateien eines anderen Unternehmens zu gelangen – der Mandantenkontext und die Datenbankgrenze halten Vorgänge innerhalb Ihres eigenen Unternehmens.

Wie Speicher-Backends undurchsichtig bleiben

Dateiinhalte werden unter servergenerierten zufälligen Namen gespeichert, nicht unter den ursprünglichen Dateinamen oder einem kundenidentifizierenden Text. Selbst wenn mehrere Mandanten dasselbe Speicher-Backend nutzen (zum Beispiel einen Bucket), sind gespeicherte Objekte undurchsichtige Bezeichner, und die Zuordnung von einem Dokument zu seiner gespeicherten Datei existiert nur innerhalb der Datenbank des besitzenden Mandanten. In Kombination mit der Verschlüsselung im Ruhezustand enthält die Speicherebene keine lesbaren, zuordenbaren Inhalte.

Was geteilt wird und was nicht

Plattformweit geteilt	Pro Mandant isoliert
Dokumentkategorien (die systemweite Bezeichnungsliste)	Die Dokumente selbst und ihre Versionen
Die aktive Speicheranbieter-Konfiguration	An welchen Datensatz jedes Dokument angehängt ist
Die Verschlüsselungseinstellung und der Schlüssel	Identität des Hochladenden und Prüfdetails

Mit anderen Worten: Administratoren definieren einen einzigen Satz von Kategorien und eine einzige Speicherkonfiguration für alle, doch die Dateien und ihre Metadaten überschreiten niemals die Mandantengrenze.

Tipp: Wenn ein Benutzer plötzlich Dokumente nicht mehr sehen kann, die er zuvor sehen konnte, prüfen Sie, ob sich sein aktives Unternehmen geändert hat. Dokumente sind nur sichtbar, solange der passende Mandantenkontext in der Sitzung aktiv ist.