Anmeldeinformationsverwaltung

Der MCP-Server bietet verschlüsselte Anmeldeinformationsverwaltung für Cloud-Speicheranbieter. Anmeldeinformationen werden lokal mit AES-256-GCM-authentifizierter Verschlüsselung gespeichert.

Sicherheit

Aspekt	Implementierung
Verschlüsselung	AES-256-GCM (authentifiziert)
Schlüsselableitung	scrypt mit OWASP-empfohlenen Parametern
Speicherung	Lokale verschlüsselte Datei (`./data/credentials.enc`)
Dateiberechtigungen	`0600` (nur Lese-/Schreibzugriff für Eigentümer)
Speicher	Entschlüsselte Schlüssel werden mit Timeout + Nullsetzung zwischengespeichert

Konfiguration

Variable	Erforderlich	Beschreibung
`CREDENTIAL_MASTER_PASSWORD`	Ja	Master-Passwort für Ver-/Entschlüsselung
`CREDENTIAL_STORE_PATH`	Nein	Pfad zum Anmeldeinformationsspeicher (Standard: `./data/credentials.enc`)

Tools

onlyoffice_credential_store

Neue Anmeldeinformationen mit AES-256-GCM-Verschlüsselung speichern.

Parameter	Typ	Erforderlich	Beschreibung
`id`	string	Ja	Eindeutiger Bezeichner
`name`	string	Ja	Menschenlesbarer Name
`credentials`	object	Ja	Anbieter spezifische Anmeldeinformationen (siehe unten)
`description`	string	Nein	Optionale Beschreibung
`tags`	string[]	Nein	Optionale Tags

Beispiel

{
  "id": "company-gdrive",
  "name": "Company Google Drive",
  "credentials": {
    "type": "googledrive",
    "clientId": "xxx.apps.googleusercontent.com",
    "clientSecret": "GOCSPX-xxx",
    "refreshToken": "1//xxx"
  },
  "tags": ["production", "google"]
}

onlyoffice_credential_get

Vollständige Anmeldeinformationen nach ID abrufen (einschließlich Secrets).

onlyoffice_credential_update

Bestehende Anmeldeinformationen aktualisieren. Die id muss bereits existieren. Der Anbieter typ ist nach der Erstellung unveränderlich.

onlyoffice_credential_delete

Anmeldeinformationen nach ID löschen. Kann nicht rückgängig gemacht werden.

onlyoffice_credential_list

Alle gespeicherten Anmeldeinformations-Metadaten auflisten (keine Secrets zurückgegeben).

Anbieter-Anmeldeinformationsschemata

{
  "type": "googledrive",
  "clientId": "xxx.apps.googleusercontent.com",
  "clientSecret": "GOCSPX-xxx",
  "refreshToken": "1//xxx",
  "rootFolderId": "optional-folder-id"
}

Feld	Erforderlich	Beschreibung
`type`	Ja	Muss `"googledrive"` sein
`clientId`	Ja	OAuth2-Client-ID
`clientSecret`	Ja	OAuth2-Client-Secret
`refreshToken`	Ja	OAuth2-Refresh-Token
`rootFolderId`	Nein	Standardordner für Operationen

{
  "type": "onedrive",
  "tenantId": "your-tenant-id",
  "clientId": "your-client-id",
  "clientSecret": "your-client-secret",
  "refreshToken": "refresh-token",
  "authType": "delegated",
  "userId": "user-id",
  "driveId": "drive-id"
}

Feld	Erforderlich	Beschreibung
`type`	Ja	Muss `"onedrive"` sein
`tenantId`	Ja	Azure AD-Tenant-ID
`clientId`	Ja	Application (Client)-ID
`clientSecret`	Nein	Client-Secret (für App-Auth)
`refreshToken`	Nein	Refresh-Token (für delegierte Auth)
`authType`	Nein	`"delegated"` oder `"application"`
`userId`	Nein	Benutzer-ID (für ausschließlichen App-Zugriff)
`driveId`	Nein	Spezifische Drive-ID

{
  "type": "s3",
  "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
  "secretAccessKey": "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
  "region": "eu-central-1",
  "bucket": "my-bucket",
  "pathPrefix": "documents/"
}

Feld	Erforderlich	Beschreibung
`type`	Ja	Muss `"s3"` sein
`accessKeyId`	Ja	AWS-Access-Key-ID
`secretAccessKey`	Ja	AWS-Secret-Access-Key
`region`	Nein	AWS-Region (Standard: us-east-1)
`bucket`	Ja	S3-Bucket-Name
`pathPrefix`	Nein	Pfadpräfix für alle Operationen

{
  "type": "minio",
  "accessKeyId": "minioadmin",
  "secretAccessKey": "minioadmin",
  "endpoint": "http://minio.example.com:9000",
  "bucket": "documents",
  "pathPrefix": "generated/"
}

Feld	Erforderlich	Beschreibung
`type`	Ja	Muss `"minio"` sein
`accessKeyId`	Ja	MinIO-Access-Key
`secretAccessKey`	Ja	MinIO-Secret-Key
`endpoint`	Nein	MinIO-Server-URL
`bucket`	Ja	Bucket-Name
`pathPrefix`	Nein	Pfadpräfix

{
  "type": "webdav",
  "url": "https://webdav.example.com/remote.php/dav/files/user/",
  "authType": "password",
  "username": "user@example.com",
  "password": "app-password",
  "basePath": "/Documents/"
}

Feld	Erforderlich	Beschreibung
`type`	Ja	Muss `"webdav"` sein
`url`	Ja	WebDAV-Server-URL
`authType`	Nein	`"none"`, `"password"`, `"digest"` oder `"token"`
`username`	Nein	Benutzername
`password`	Nein	Passwort
`token`	Nein	Token für tokenbasierte Authentifizierung
`basePath`	Nein	Basispfad

{
  "type": "smb",
  "host": "fileserver.example.com",
  "share": "Documents",
  "username": "domain\\user",
  "password": "password",
  "domain": "CORP",
  "port": 445,
  "basePath": "/Generated/"
}

Feld	Erforderlich	Beschreibung
`type`	Ja	Muss `"smb"` sein
`host`	Ja	SMB-Server-Hostname oder IP
`share`	Ja	Freigabename
`username`	Nein	Benutzername
`password`	Nein	Passwort
`domain`	Nein	Windows-Domain
`port`	Nein	Port (Standard: 445)
`basePath`	Nein	Basispfad innerhalb der Freigabe