Externen Speicher konfigurieren

Überwachungskonsole verwenden

FAQ

Bildschirm- und Audioaufzeichnungen können lokal gespeichert oder von jedem Agenten direkt in ein benanntes externes Speicherprofil hochgeladen werden. Konfigurieren Sie Profile unter File / Configuration / External Storage.

Die Verschlüsselung ist vom Speicherort unabhängig und schützt auch lokale Aufzeichnungen. Siehe Ende-zu-Ende-Verschlüsselung von Aufzeichnungen.

Unterstützung für ChromeOS (Chromebook)

ChromeOS-Agenten speichern Bildschirmaufzeichnungen nicht lokal auf dem Chromebook. Sie laden sie direkt auf externen Speicher hoch und unterstützen nur folgende Profiltypen:

  • Amazon S3 und S3-kompatible Dienste
  • Google Cloud Storage
  • Azure Blob Storage
  • WebDAV

SMB-2/3-, SMB-1.0-, FTP- und SFTP-Profile können nicht für ChromeOS-Aufzeichnungen verwendet werden. Der Speicherendpunkt muss direkt vom Chromebook erreichbar sein. Siehe Mitarbeiterüberwachung unter ChromeOS und auf Chromebooks.

Allgemeine Profilfelder

  • Provider: Protokoll oder Speicherdienst auswählen.
  • Profile name: vorgeschlagenen Namen übernehmen oder einen eindeutigen, aussagekräftigen Namen eingeben.
  • Folder: außer bei SFTP optional. Agent-Name und Aufzeichnungstyp-Ordner nicht hinzufügen; dies übernimmt die Anwendung.
  • Recording quota: Null bedeutet unbegrenzt. Wählen Sie, ob bei Überschreitung die Aufzeichnung stoppt oder die ältesten Aufzeichnungen gelöscht werden.

SMB 2/3

  1. Erstellen Sie auf dem NAS oder Dateiserver eine SMB-Freigabe und ein eigenes Konto. Erlauben Sie Auflisten, Erstellen, Lesen, Schreiben und Löschen.
  2. SMB server: DNS-Name oder IP-Adresse ohne \\, Freigabename oder Laufwerksbuchstaben eingeben.
  3. Share: nur den Namen der SMB-Freigabe eingeben.
  4. User name / Password: Zugangsdaten des vom NAS- oder Serveradministrator bereitgestellten Kontos eingeben.
  5. Domain: für ein Domänenkonto die Active-Directory-/NT-Domäne eingeben. Bei einem lokalen Server- oder NAS-Konto leer lassen.
  6. Folder: optional einen relativen Unterordner der Freigabe angeben.

Der Agent verbindet sich über einen SMB2/SMB3-Protokollclient.

Freigegebenen Windows-Ordner verwenden

  1. Erstellen Sie auf dem speichernden Windows-Computer einen Ordner, beispielsweise D:\Recordings.
  2. Erstellen Sie ein eigenes lokales oder Domänenkonto mit starkem Passwort. Verwenden Sie keinen Gastzugriff.
  3. Klicken Sie rechts auf den Ordner und öffnen Sie Properties / Sharing / Advanced Sharing.
  4. Aktivieren Sie Share this folder, vergeben Sie einen Namen wie Recordings und öffnen Sie Permissions.
  5. Fügen Sie das vorgesehene Konto hinzu und erlauben Sie Change und Read. Entfernen Sie unnötige allgemeine Zugriffsrechte.
  6. Fügen Sie auf der Registerkarte Security dasselbe Konto mit Modify hinzu. Sowohl Freigabe- als auch NTFS-Berechtigungen müssen den Zugriff erlauben.
  7. Verwenden Sie im vertrauenswürdigen Netzwerk das Windows-Profil Private und aktivieren Sie Network discovery sowie File and printer sharing unter Settings / Network & internet / Advanced network settings / Advanced sharing settings.
  8. Aktivieren Sie die Firewall-Regel File and Printer Sharing (SMB-In) für das vertrauenswürdige Profil. Die Agenten müssen TCP-Port 445 erreichen können.
  9. Tragen Sie unter SMB server den Windows-Computernamen oder die IP-Adresse und unter Share den Namen aus Advanced Sharing ein.
  10. Geben Sie bei Active Directory die AD-Domäne an. Bei lokalen Konten bleibt Domain normalerweise leer; falls die Authentifizierung es verlangt, verwenden Sie den Windows-Computernamen als Domäne.
  11. Führen Sie Test connection aus. Prüfen Sie bei Fehlern beide Berechtigungssätze und testen Sie \\server\share von einem anderen Computer mit demselben Konto.

Aktuelle Windows-Versionen verwenden hierfür SMB 2/3. Aktivieren Sie SMB 1.0 nicht. Siehe Microsofts Anleitung zur Dateifreigabe im Windows-Netzwerk.

SMB 1.0

Sicherheitshinweis: SMB 1.0 ist veraltet und unsicher. Verwenden Sie es nur für isolierte Altsysteme ohne SMB-2/3-Unterstützung.

Verwenden Sie dieselben Felder und Berechtigungen wie für SMB 2/3. SMB 1.0 muss bereits auf dem Server aktiviert sein; Net Monitor for Employees Pro installiert oder aktiviert es nicht.

FTP

Sicherheitshinweis: FTP überträgt Zugangsdaten und Aufzeichnungen unverschlüsselt. Bevorzugen Sie SFTP oder WebDAV über HTTPS.

  1. Fordern Sie beim Server- oder Hostingadministrator ein FTP-Konto mit Rechten zum Auflisten, Erstellen von Ordnern, Hochladen, Herunterladen und Löschen an.
  2. FTP server: DNS-Name oder IP-Adresse eingeben. Auch eine ftp://-URL ist möglich.
  3. Port: Standardport 21 beibehalten oder den vom FTP-Administrator genannten Port eintragen.
  4. User name / Password: Zugangsdaten vom FTP-Server oder aus dem Hosting-Kontrollbereich eingeben.
  5. Folder: optional einen Unterordner des Anmeldeverzeichnisses angeben. Für einen absoluten Pfad mit / beginnen, sofern der Server dies erlaubt.

Die Server-Firewall muss passive FTP-Datenverbindungen erlauben.

WebDAV

  1. Fordern Sie ein Konto und die URL einer vorhandenen WebDAV-Sammlung beim Anbieter oder Administrator an. Eine typische Nextcloud-URL lautet https://server.example.com/remote.php/dav/files/user.
  2. WebDAV URL: vollständige HTTPS-URL der Sammlung eingeben.
  3. User name / Password: WebDAV-Zugangsdaten eingeben. Bei aktivierter Mehrfaktorauthentifizierung verwenden Sie ein Anwendungspasswort, sofern der Anbieter dies unterstützt.
  4. Folder: optional einen Unterordner unterhalb dieser URL angeben.

Das Konto muss PROPFIND, MKCOL, PUT, GET und DELETE erlauben. Die Basissammlung muss bereits existieren.

SFTP

  1. Erfragen Sie Server, Port, Konto, beschreibbaren Ordner und erlaubte Authentifizierung beim SSH-/SFTP-Administrator. Der Server muss SFTP sowie Passwort- oder Public-Key-Authentifizierung erlauben.
  2. SSH server: Hostname oder IP-Adresse eingeben.
  3. Port: Standardport 22 beibehalten oder den vom Administrator genannten Port eintragen.
  4. Folder: relativen Pfad zum Anmeldeverzeichnis eingeben, etwa recordings. Für einen absoluten POSIX-Pfad mit / beginnen, sofern erlaubt.
  5. User name: SFTP-Konto eingeben.
  6. Für Passwortauthentifizierung lassen Sie Private key leer und geben unter Password das Kontopasswort ein.
  7. Für Public-Key-Authentifizierung hinterlegen Sie den öffentlichen Schlüssel in authorized_keys des Kontos. Klicken Sie auf Load... und wählen Sie den privaten OpenSSH- oder PEM-Schlüssel. Geben Sie bei verschlüsseltem Schlüssel die Passphrase ein. Mit Clear wechseln Sie zurück zur Passwortauthentifizierung.
  8. Klicken Sie auf Get key..., vergleichen Sie den SHA-256-Fingerabdruck mit dem des Serveradministrators und bestätigen Sie nur bei Übereinstimmung.

Im Profil wird der Inhalt des privaten Schlüssels für den Agenten gespeichert, nicht der lokale Dateiname auf der Konsole. Schützen Sie das Profil und verwenden Sie möglichst einen eigenen Schlüssel mit Passphrase. Das Konto benötigt Rechte zum Auflisten, Erstellen, Lesen, Schreiben und Löschen.

Der private Clientschlüssel authentifiziert das Konto; der separate Server-Hostschlüssel identifiziert den Server. Ohne Hostschlüssel entfällt die Prüfung der Serveridentität, was unsicher ist.

Amazon S3

Verwenden Sie einen eigenen Amazon-S3-Bucket vom Typ General purpose und einen IAM-Benutzer. Verwenden Sie niemals Root-Zugangsdaten und machen Sie den Bucket nicht öffentlich.

1. Bucket erstellen

  1. Melden Sie sich mit Administratorrechten in der AWS Management Console an und öffnen Sie Amazon S3.
  2. Wählen Sie die AWS-Region für die Aufzeichnungen, etwa eu-central-1.
  3. Öffnen Sie Buckets / Create bucket und behalten Sie den Typ General purpose bei.
  4. Vergeben Sie einen weltweit eindeutigen Namen in Kleinbuchstaben, etwa organization-recordings-12345, und notieren Sie ihn genau.
  5. Behalten Sie für Object Ownership die Einstellung Bucket owner enforced bei und aktivieren Sie alle Optionen unter Block Public Access.
  6. Lassen Sie Bucket Versioning für eine vorhersehbare Kontingentbereinigung deaktiviert. Ist Versionierung erforderlich, richten Sie eine Lifecycle-Regel zum Löschen älterer Versionen ein. Standardmäßige SSE-S3-Verschlüsselung benötigt keine zusätzlichen Rechte, ein kundeneigener KMS-Schlüssel dagegen schon. Aktivieren Sie Object Lock nicht, wenn die Anwendung Aufzeichnungen löschen soll.
  7. Erstellen Sie den Bucket und notieren Sie seinen genauen AWS-Regionscode aus den Eigenschaften oder der Bucket-Liste.

2. IAM-Richtlinie erstellen

  1. Öffnen Sie IAM / Policies / Create policy und wählen Sie den JSON-Editor.
  2. Fügen Sie die folgende Richtlinie ein und ersetzen Sie beide Vorkommen von YOUR_BUCKET_NAME durch den genauen Bucket-Namen.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ListRecordings", "Effect": "Allow", "Action": "s3:ListBucket", "Resource": "arn:aws:s3:::YOUR_BUCKET_NAME" }, { "Sid": "ManageRecordings", "Effect": "Allow", "Action": [ "s3:PutObject", "s3:GetObject", "s3:DeleteObject" ], "Resource": "arn:aws:s3:::YOUR_BUCKET_NAME/*" } ] }
  1. Klicken Sie auf Next, beheben Sie Validierungsfehler und erstellen Sie die Richtlinie mit dem Namen RecordingStorageS3.

Die Richtlinie erlaubt ausschließlich das Auflisten dieses Buckets sowie Hochladen, Herunterladen, Wiedergeben und Löschen seiner Objekte.

3. IAM-Benutzer und Zugriffsschlüssel erstellen

  1. Öffnen Sie IAM / Users / Create user und erstellen Sie recording-storage-agent ohne Konsolenzugriff.
  2. Öffnen Sie den Benutzer, wählen Sie Permissions / Add permissions / Attach policies directly und fügen Sie RecordingStorageS3 hinzu.
  3. Öffnen Sie Security credentials / Access keys / Create access key.
  4. Wählen Sie eine außerhalb von AWS laufende Anwendung oder, falls angezeigt, Other und erstellen Sie den Schlüssel.
  5. Kopieren Sie Access key ID und Secret access key oder laden Sie die CSV-Datei herunter. AWS zeigt den geheimen Schlüssel nur einmal an.

4. Anwendungsfelder ausfüllen

  1. Öffnen Sie File / Configuration / External Storage, klicken Sie auf New und wählen Sie S3-compatible storage (including Amazon S3).
  2. Profile name: eindeutigen Namen eingeben, etwa Amazon S3 Recordings.
  3. HTTPS endpoint: für Amazon S3 leer lassen.
  4. Bucket: genauen Bucket-Namen eingeben.
  5. Folder: optional ein Objektschlüssel-Präfix wie recordings angeben. Bucket- oder Computername gehören nicht hinein; der Ordner wird automatisch erstellt.
  6. Region: genauen Regionscode eingeben, etwa eu-central-1.
  7. Access key / Secret key: zusammengehörige IAM-Schlüssel einfügen.
  8. Klicken Sie auf Save und Test connection.

Fehlerbehebung

  • AccessDenied (403): Prüfen Sie Richtlinienzuordnung, genaue Bucket-ARNs sowie mögliche Sperren durch Bucket-Richtlinien, Berechtigungsgrenzen oder Organisationsrichtlinien.
  • Wrong Region oder AuthorizationHeaderMalformed: Korrigieren Sie den Regionscode.
  • SignatureDoesNotMatch: Geben Sie das passende Schlüsselpaar erneut ein und korrigieren Sie die Uhrzeit des Agent-Computers.
  • NoSuchBucket (404): Korrigieren Sie Bucket-Name oder AWS-Konto.
  • KMS-Fehler: Verwenden Sie standardmäßiges SSE-S3 oder erteilen Sie dem IAM-Benutzer die erforderlichen KMS-Schlüsselrechte.

AWS: Bucket erstellen · AWS: Richtlinie erstellen · AWS: Benutzer erstellen · AWS: Zugriffsschlüssel erstellen

S3-kompatible Dienste verwenden

Die folgenden Dienste verwenden S3-compatible storage (including Amazon S3). Erstellen Sie zuerst Bucket und Zugangsdaten beim Anbieter. Geben Sie den HTTPS-Basisendpunkt ohne Bucket-Namen oder angehängten Bucket-Pfad ein; der Name gehört separat in Bucket. Die Zugangsdaten müssen Auflisten sowie Erstellen, Lesen und Löschen von Objekten erlauben. Folder ist optional.

Klicken Sie nach dem Ausfüllen auf Save und Test connection. Erforderlich sind Bucket-URLs im Path-Style-Format, AWS Signature Version 4 und S3-kompatible XML-Listenantworten.

Cloudflare R2 als externen Speicher verwenden

  1. Melden Sie sich im Cloudflare-Dashboard an, öffnen Sie Storage & databases / R2 / Overview, klicken Sie auf Create bucket und notieren Sie den genauen Namen.
  2. Öffnen Sie auf der R2-Übersicht Manage R2 API Tokens und erstellen Sie ein Account-API-Token. Erteilen Sie Object Read & Write und beschränken Sie das Token möglichst auf den Aufzeichnungs-Bucket.
  3. Kopieren Sie Access Key ID, Secret Access Key und den S3-Endpunkt, solange sie angezeigt werden. Bewahren Sie den geheimen Schlüssel sicher auf.
  4. Erstellen Sie ein S3-kompatibles Profil. Setzen Sie HTTPS endpoint auf https://<ACCOUNT_ID>.r2.cloudflarestorage.com, Bucket auf den Bucket-Namen und Region auf auto.
  5. Tragen Sie R2 Access Key ID und Secret Access Key sowie optional Folder ein. Speichern und testen Sie das Profil.

Hängen Sie den Bucket-Namen nicht an den Endpunkt an. Vermeiden Sie Aufbewahrungsregeln, die das konfigurierte Löschen alter Aufzeichnungen verhindern. Siehe Cloudflares S3-API-Anleitung und Dokumentation zum Objektlebenszyklus.

Backblaze B2 als externen Speicher verwenden

  1. Öffnen Sie in der Backblaze-Webkonsole B2 Cloud Storage / Buckets, klicken Sie auf Create a Bucket, wählen Sie Private und notieren Sie Name und Region.
  2. Öffnen Sie Application Keys / Add a New Application Key. Beschränken Sie den Schlüssel auf den Aufzeichnungs-Bucket, aktivieren Sie Allow List All Bucket Names und erlauben Sie Lese- und Schreibzugriff. Benötigt werden listFiles, readFiles, writeFiles und deleteFiles.
  3. Kopieren Sie keyID und applicationKey; Letzterer wird nur einmal angezeigt. Verwenden Sie nicht den Master-Anwendungsschlüssel des Kontos.
  4. Erstellen Sie ein S3-kompatibles Profil. Verwenden Sie https://s3.<REGION>.backblazeb2.com als HTTPS endpoint, etwa https://s3.us-west-004.backblazeb2.com. Tragen Sie denselben Regionscode, etwa us-west-004, unter Region ein.
  5. Tragen Sie Bucket-Namen, optionalen Ordner, keyID als Access key und applicationKey als Secret key ein. Speichern und testen Sie.

B2 bewahrt standardmäßig alte Objektversionen auf. Richten Sie Lifecycle-Regeln zum Entfernen ausgeblendeter oder früherer Versionen ein, wenn gelöschte Aufzeichnungen sofort Speicher freigeben sollen. Siehe die Anleitung zur S3-kompatiblen API und die Anleitung zu Anwendungsschlüsseln von Backblaze.

Wasabi als externen Speicher verwenden

  1. Öffnen Sie in der Wasabi Console Buckets / Create Bucket, vergeben Sie einen eindeutigen Namen und wählen Sie eine Region nahe den Agenten.
  2. Lassen Sie den Bucket privat. Deaktivieren Sie für vorhersehbare Kontingentbereinigung Versionierung und Object Lock oder richten Sie Regeln zum Entfernen aufbewahrter Versionen ein.
  3. Erstellen Sie nach Möglichkeit einen eigenen Unterbenutzer mit einer Richtlinie, die nur das Auflisten dieses Buckets und Lesen, Schreiben sowie Löschen seiner Objekte erlaubt. Öffnen Sie für diesen Benutzer Access Keys / Create New Access Key und kopieren oder laden Sie das Schlüsselpaar herunter.
  4. Verwenden Sie in einem S3-kompatiblen Profil die regionale Service-URL als HTTPS endpoint. Für us-east-1 lautet sie https://s3.wasabisys.com. Andere regionale URLs finden Sie in der Wasabi-Dokumentation oder Konsole.
  5. Tragen Sie genauen Regionscode, Bucket-Namen, optionalen Ordner sowie Access Key und Secret Key ein. Speichern und testen Sie.

Endpunktregion und Feld Region müssen zum Bucket passen. Siehe Wasabis Bucket-Anleitung, Benutzer- und Schlüsselanleitung sowie Service-URLs.

DigitalOcean Spaces als externen Speicher verwenden

  1. Öffnen Sie im DigitalOcean Control Panel Spaces Object Storage und klicken Sie auf Create Bucket.
  2. Wählen Sie die Rechenzentrumsregion und für regelmäßig aufgelistete und abgespielte Aufzeichnungen die Speicherklasse Standard. Vergeben Sie einen eindeutigen Space-Namen und beschränken Sie die Dateiauflistung.
  3. Erstellen Sie auf der Spaces-Zugriffsschlüsselseite einen eigenen Schlüssel. Beschränken Sie ihn nach Möglichkeit auf den Space und erlauben Sie Lesen, Schreiben, Auflisten und Löschen. Kopieren Sie Access Key und Secret Key bei der Anzeige.
  4. Setzen Sie im S3-kompatiblen Profil HTTPS endpoint auf den Ursprungsendpunkt der Region: https://<REGION>.digitaloceanspaces.com, etwa https://nyc3.digitaloceanspaces.com. Verwenden Sie keinen CDN- oder Website-Endpunkt.
  5. Tragen Sie unter Bucket den Space-Namen und unter Region dessen Code, etwa nyc3, ein. Ergänzen Sie Schlüssel und optionalen Ordner, speichern und testen Sie.

Siehe DigitalOceans Spaces-Kurzanleitung, Zugriffsschlüssel-Anleitung und Referenz zur S3-Kompatibilität.

MinIO als externen Speicher verwenden

  1. Öffnen Sie die vom Administrator bereitgestellte MinIO Console und erstellen Sie einen privaten Bucket für Aufzeichnungen.
  2. Erstellen Sie einen eigenen Benutzer oder ein Dienstkonto mit Zugriffsschlüssel. Die Richtlinie muss s3:ListBucket auf arn:aws:s3:::YOUR_BUCKET sowie s3:GetObject, s3:PutObject und s3:DeleteObject auf arn:aws:s3:::YOUR_BUCKET/* erlauben.
  3. Erfragen Sie die extern erreichbare S3 API-URL und Signaturregion. Die API-URL, etwa https://storage.example.com:9000, kann von der MinIO-Console-URL abweichen.
  4. Tragen Sie im S3-kompatiblen Profil die API-URL als HTTPS endpoint, den Bucket-Namen, optionalen Ordner und die konfigurierte Region ein. Verwenden Sie us-east-1 nur, wenn der Administrator die Standardregion bestätigt.
  5. Tragen Sie Access Key und Secret Key ein, speichern und testen Sie vom Konsolencomputer sowie aus den Netzwerken der Agenten.

Alle Agenten benötigen DNS- und Netzwerkzugriff auf den API-Endpunkt. Verwenden Sie HTTPS. Bei privater Zertifizierungsstelle muss deren CA auf jedem Agent-Computer als vertrauenswürdig installiert sein. Aktivieren Sie Object Lock nicht, wenn alte Aufzeichnungen gelöscht werden sollen. Siehe MinIO-Dokumentation und Zugriffsschlüssel-Dokumentation.

Hetzner Object Storage als externen Speicher verwenden

  1. Wählen Sie in der Hetzner Cloud Console ein Projekt, öffnen Sie Object Storage und erstellen Sie einen Bucket am gewünschten Standort.
  2. Notieren Sie den Standortcode fsn1, nbg1 oder hel1. Lassen Sie den Bucket privat.
  3. Öffnen Sie Security / S3 Credentials, klicken Sie auf Generate credentials, vergeben Sie einen aussagekräftigen Namen und sichern Sie Access Key und Secret Key. Der geheime Schlüssel wird nur einmal angezeigt.
  4. Setzen Sie im S3-kompatiblen Profil HTTPS endpoint auf https://<LOCATION>.your-objectstorage.com, etwa https://fsn1.your-objectstorage.com.
  5. Tragen Sie Bucket-Namen, optionalen Ordner, Standortcode unter Region und die erzeugten Zugangsdaten ein. Speichern und testen Sie.

Werden Zugangsdaten mit anderen Anwendungen geteilt, begrenzen Sie den Zugriff per Bucket-Richtlinie auf den Aufzeichnungs-Bucket. Siehe Hetzners Object-Storage-Übersicht und Anleitung zu S3-Zugangsdaten.

IBM Cloud Object Storage als externen Speicher verwenden

  1. Erstellen oder öffnen Sie in der IBM Cloud Console eine Cloud-Object-Storage-Instanz und erstellen Sie einen privaten Bucket. Wählen Sie Standort, Ausfallsicherheit und Speicherklasse. Notieren Sie genauen Bucket-Namen und Standortcode.
  2. Öffnen Sie Service credentials / New credential, wählen Sie eine Rolle zum Auflisten, Lesen, Schreiben und Löschen, etwa Writer, und aktivieren Sie Include HMAC Credential.
  3. Erstellen und öffnen Sie die Zugangsdaten. Kopieren Sie unter cos_hmac_keys die Werte access_key_id und secret_access_key. Die IBM-Cloud-apikey gehört nicht in die S3-Felder.
  4. Kopieren Sie auf der Seite Configuration des Buckets den öffentlichen S3-Endpunkt und Signaturstandort. Agenten außerhalb der IBM Cloud benötigen normalerweise den öffentlichen Endpunkt, etwa https://s3.us-south.cloud-object-storage.appdomain.cloud.
  5. Erstellen Sie ein S3-kompatibles Profil. Geben Sie den Endpunkt ohne Bucket-Namen, den genauen Bucket-Namen, optionalen Ordner und Signaturstandort unter Region ein. Ein US-Standard-Bucket über mehrere Regionen verwendet beispielsweise us-standard. Leiten Sie diesen Wert nicht allein aus dem Hostnamen ab.
  6. Tragen Sie HMAC Access Key ID und den geheimen Schlüssel ein, speichern und testen Sie.

Verwenden Sie öffentliche, private oder direkte Endpunkte nur, wenn alle Agenten die erforderliche Route und DNS-Auflösung haben. Siehe IBMs Anleitung zu Service-Zugangsdaten, HMAC-Anleitung und Endpunktreferenz.

Google Cloud Storage

Verwenden Sie einen eigenen Bucket, ein Dienstkonto und einen HMAC-Interoperabilitätsschlüssel. Das Profil akzeptiert keinen heruntergeladenen JSON-Dienstkontoschlüssel.

1. Projekt und Bucket erstellen

  1. Wählen oder erstellen Sie in der Google Cloud Console ein Projekt mit aktivierter Abrechnung.
  2. Zum Erstellen des Schlüssels benötigt der Administrator Storage HMAC Key Admin (roles/storage.hmacKeyAdmin). Ist die Erstellung nicht verfügbar, prüfen Sie Organisationsrichtlinien zu Authentifizierungstypen oder Dienstkontoschlüsseln.
  3. Öffnen Sie Cloud Storage / Buckets / Create. Vergeben Sie einen weltweit eindeutigen Namen, wählen Sie einen passenden Standort und verwenden Sie Standard, sofern Sie nicht die Abruf- und Aufbewahrungskosten anderer Speicherklassen geprüft haben.
  4. Verwenden Sie Uniform für den Zugriff auf Bucket-Ebene und verhindern Sie öffentlichen Zugriff. Neue Buckets haben standardmäßig sieben Tage Soft Delete. Deaktivieren Sie dies für vorhersehbare Kontingentbereinigung oder berücksichtigen Sie weiterhin kostenpflichtige, gelöschte Objekte. Vermeiden Sie Aufbewahrungssperren, wenn alte Aufzeichnungen gelöscht werden müssen.
  5. Behalten Sie die von Google verwaltete Verschlüsselung bei, sofern Ihre Organisation keine kundenseitig verwalteten Schlüssel verlangt, und erstellen Sie den Bucket.

2. Dienstkonto erstellen und berechtigen

  1. Öffnen Sie IAM & Admin / Service Accounts / Create service account, vergeben Sie einen Namen wie recording-storage-agent und schließen Sie die Erstellung ohne projektweite Speicherrolle ab.
  2. Öffnen Sie Permissions des Buckets, klicken Sie auf Grant access und fügen Sie die Dienstkonto-E-Mail mit Storage Object User (roles/storage.objectUser) nur für diesen Bucket hinzu.
  3. Diese Rolle erlaubt das erforderliche Erstellen, Abrufen, Auflisten, Aktualisieren und Löschen von Objekten.

3. HMAC-Schlüssel erstellen und Profil ausfüllen

  1. Öffnen Sie Cloud Storage / Settings / Interoperability, klicken Sie auf Create a key for a service account und wählen Sie das Aufzeichnungs-Dienstkonto.
  2. Kopieren Sie HMAC-Access ID und Secret sofort; der geheime Wert erscheint nur einmal. Es kann bis zu 60 Sekunden dauern, bis der Schlüssel nutzbar ist.
  3. Erstellen Sie ein Google Cloud Storage-Profil. Lassen Sie HTTPS endpoint leer, tragen Sie den genauen Bucket und optional Folder ein und belassen Sie Region auf auto.
  4. Tragen Sie HMAC Access ID unter Access key und den passenden geheimen Wert unter Secret key ein. Legen Sie das Kontingent manuell fest oder lassen Sie es unbegrenzt. Klicken Sie auf Save und Test connection.

Fehlerbehebung

  • 403 AccessDenied: Prüfen Sie Bucket-Rolle, Dienstkonto-E-Mail und ablehnende Organisationsrichtlinien.
  • InvalidAccessKeyId: Verwenden Sie die HMAC Access ID, nicht Dienstkonto-E-Mail, OAuth-Client-ID oder JSON-Schlüssel.
  • SignatureDoesNotMatch: Geben Sie den passenden geheimen Schlüssel erneut ein und korrigieren Sie die Uhrzeit des Agent-Computers.
  • 404 NoSuchBucket: Prüfen Sie genauen Bucket-Namen und Projekt. Bleibt Speicher nach dem Löschen belegt, prüfen Sie Soft Delete, Object Versioning und Aufbewahrungsrichtlinien.

Google: Bucket erstellen · Google: Dienstkonto erstellen · Google: Storage-IAM-Rollen · Google: HMAC-Schlüssel verwalten · Google: Soft Delete

Azure Blob Storage

Verwenden Sie möglichst ein eigenes Speicherkonto für Aufzeichnungen. Das Profil verwendet Shared Key; Microsoft Entra ID und SAS-Token werden in diesen Feldern nicht akzeptiert.

1. Speicherkonto erstellen

  1. Öffnen Sie im Azure Portal Storage accounts / Create und wählen Sie Abonnement und Ressourcengruppe.
  2. Vergeben Sie einen weltweit eindeutigen Namen mit 3–24 Kleinbuchstaben und Ziffern. Wählen Sie eine nahe Region, Blob storage, die Leistung Standard und die erforderliche Redundanz.
  3. Nutzen Sie für regelmäßig abgespielte Aufzeichnungen Hot. Erlauben Sie unter Networking die öffentlichen IP-Adressen der Agenten oder stellen Sie Route und DNS für einen privaten Endpunkt bereit.
  4. Verlangen Sie unter Security sichere Übertragung und TLS 1.2, deaktivieren Sie anonymen Zugriff und lassen Sie Enable storage account key access aktiviert.
  5. Soft Delete und Versionierung erleichtern Wiederherstellung, können aber Speicher belegen. Deaktivieren Sie sie für vorhersehbare Kontingentbereinigung oder richten Sie geeignete Lifecycle-Regeln ein. Vermeiden Sie Unveränderlichkeitsrichtlinien, wenn alte Aufzeichnungen gelöscht werden sollen.
  6. Klicken Sie auf Review + create und anschließend auf Create.

2. Container erstellen und Schlüssel abrufen

  1. Öffnen Sie Data storage / Containers / + Container. Geben Sie einen Namen mit 3–63 Kleinbuchstaben ein und wählen Sie Private (no anonymous access).
  2. Öffnen Sie Security + networking / Access keys / Show keys. Kopieren Sie nur Key unter key1 oder key2, nicht die Verbindungszeichenfolge. Schützen und wechseln Sie diese Zugangsdaten mit weitreichenden Berechtigungen regelmäßig.

3. Profil ausfüllen

  1. Erstellen Sie ein Azure Blob Storage-Profil. Lassen Sie HTTPS endpoint für https://<account>.blob.core.windows.net leer. Einen eigenen Endpunkt verwenden Sie nur für kompatible private Endpunkte oder Azure Stack.
  2. Tragen Sie den genauen vorhandenen Container, optional Folder, den Namen unter Storage account und ausschließlich den kopierten Schlüssel unter Account key (Base64) ein.
  3. Legen Sie das Kontingent manuell fest oder lassen Sie es unbegrenzt. Klicken Sie auf Save und Test connection.

Fehlerbehebung

  • 403 AuthenticationFailed: Prüfen Sie Konto und Schlüssel, aktivieren Sie den Kontoschlüsselzugriff und korrigieren Sie die Uhrzeit des Agenten.
  • 403 AuthorizationFailure: Prüfen Sie Firewall-Regeln, IP-Bereiche, virtuelle Netzwerke und die Route zum privaten Endpunkt.
  • 404 ContainerNotFound: Erstellen Sie den Container zuerst und tragen Sie seinen genauen Namen in Kleinbuchstaben ein.
  • Bleibt die Speichernutzung nach dem Löschen hoch, prüfen Sie Soft Delete, Versionierung, Snapshots, Lifecycle-Regeln und Unveränderlichkeit. Aktualisieren Sie nach einem Schlüsselwechsel das Profil und übernehmen Sie die Rekordereinstellungen erneut.

Microsoft: Speicherkonto erstellen · Microsoft: Blob-Container erstellen · Microsoft: Kontoschlüssel verwalten · Microsoft: Shared-Key-Einstellung

Profil speichern, testen und zuweisen

  1. Klicken Sie auf Save und dann auf Test connection. Der Test lädt ein temporäres Objekt hoch, listet es auf, lädt es herunter und löscht es anschließend vollständig.
  2. Öffnen Sie Desktop Recorder oder Audio Recorder.
  3. Wählen Sie das benannte Profil unter Recording storage und klicken Sie für die ausgewählten Agenten auf Apply settings.

Die Speicherpfade lauten Ordner / Agent-Hostname / desktop-recordings und Ordner / Agent-Hostname / audio-recordings.

Bereit, mit der Mitarbeiterüberwachung zu beginnen?

Kaufen Sie die Anwendung jetzt. Sie werden Ihre Entscheidung nicht bereuen.

Jetzt kaufen