beck2oldschool
Goto Top

Keepass Vaultwarden Migration (Frage zu Sammlungen Gruppen Ordner)

Hallo zusammen,
ich würde gerne meine Keepass2 Datenbank nach Vaultwarden migrieren. Ich habe dafür eine Keepass DB mit einer Hauptgruppe, darunter liegen 4 weitere Gruppen und darunter wiederum einzelne Gruppen (>300) mit den jeweiligen Passwörter als Inhalt.
  1. Gruppe 1
    • Gruppe 2
        • Gruppe 3
        • -> Passwörter

Nun mache ich einen DB Export mit Keepass 2 in das Keepass XML (2.x) Format. Ich hab das ganze auch schon mit KeepassXC probiert.
Nun habe ich in Vaultwarden eine neue Organisation erstellt. Darin ist eine Standardsammlung und darunter eine Sammlung für meine Abteilung.

Ich möchte alle exportierten Daten in die Sammlung meiner Abteilung importieren.
Das Problem ist jetzt aber, dass mir aus allen Keepass Gruppen einzelne Vaultwarden Sammlungen erstellt werden und keine Ordner. Um jetzt die Daten an meinen Kollegen freizugeben, muss ich alle Sammlungen einzeln die Berechtigungen vergeben.
Wenn ich die Daten in meinen eigenen Tresor importieren wollen würde, hätte ich die Option einen Ordner auszuwählen. Das fehlt aber beim Import in den Tresor einer Organistation.
Wie bekomme ich denn jetzt meine Gruppen so importiert, dass ich keine >300 Sammlungen habe, sondern die Gruppen zu Ordnern werden?

Danke für jeden Hinweis schonmal im Voraus!

Content-ID: 671339

Url: https://administrator.de/forum/keepass-vaultwarden-migration-frage-zu-sammlungen-gruppen-ordner-671339.html

Ausgedruckt am: 01.04.2025 um 06:04 Uhr

NordicMike
NordicMike 13.02.2025 um 09:34:06 Uhr
Goto Top
Importiere doch Ordner für Ordner und verschiebe dann einen Batch in eine Sammlung.
Wie viel Sammlungen wirst du haben? 20?
beck2oldschool
beck2oldschool 13.02.2025 um 09:41:17 Uhr
Goto Top
Wie geschrieben, ich habe 300 Gruppen die unterhalb einer Sammlung zu Ordner werden sollen. Egal wie ich es importiere, es werden auf Vaultwarden Seite jedesmal 300 Sammlungen und eben keine Ordner.
151512
151512 13.02.2025 aktualisiert um 10:08:39 Uhr
Goto Top
Nun mache ich einen DB Export mit Keepass 2 in das Keepass XML (2.x) Format
Achtung, der XML Export aus KeePass inkludiert keine vorhandenen Attachments aus den Einträgen. Ich habe das selbe vor ein paar Wochen mit einem Python Skript migriert das supported unter anderem auch Attachments und auch die Angabe von Organisations als Ziel und weitere Optionen für Ordner-Ebenen
Python based KeePass 2.x database to Bitwarden converter
Hat perfekt geklappt inkl. sämtlicher Attachments.
Der Quell-Code wurde bei so etwas sensiblem vorher natürlich eingehend geprüft, da geht nichts in fremde Hände!

Gruß m.
beck2oldschool
beck2oldschool 13.02.2025 um 10:22:48 Uhr
Goto Top
Anhänge habe ich keine. Insofern besteht da auch kein Problem für mich. Was macht denn das Script mit Gruppen und Ordner innerhalb von Sammlungen? Das ist ja mein Problem.
In der Github Beschreibung steht zwar:

Nested folders supported: If you have nested folder in KeePass, kp2bw will recreate the same folder structure in Bitwarden for you.


Die Struktur hat er mir nach dem Import schon auch beibehalten. Nur halt eben Gruppen nicht zu Ordnern, sondern Gruppen zu Sammlungen gemacht.
151512
Lösung 151512 13.02.2025 aktualisiert um 11:08:15 Uhr
Goto Top
Glaube du verstehst das System von Bitwarden noch nicht ganz. Einträge in Organisationen müssen zwingend einer Collection zugeordnet werden, Ordner gibt es dort nicht. Ordner gibt es quasi nur im persönlichen Vault für deine persönliche Organisation auch von Items aus einer Collection deiner Org.
Lies dir dazu mal diese Seite aufmerksam durch
https://bitwarden.com/help/folders/
beck2oldschool
beck2oldschool 13.02.2025 um 11:14:41 Uhr
Goto Top
Ja, das kann sein, dass ich das nicht kapiere.
Also ich lege eine Organisation an, darunter erstelle ich Sammlungen (wie z.B. Abteilungen EDV, Buchhaltung, Einkauf) und innerhalb der Sammlungen erstelle ich Ordner um die Kennwörter zu strukturieren. Eine Sammlung wiederum gebe ich den Mitarbeitern frei in dem ich die Berechtigung bearbeite. Das war so mein Gedanke.
OK, ich hab erkannt, dass ich innerhalb einer Organisation (!) keine Ordner anlegen kann. Neue Ordner werden immer in meinem eigenen Tresor erstellt. Ich habe über 800 Einträge insgesamt. Wie soll ich die denn in Ordner strukturieren!? Wenn ich das richtig sehe, sind dann 800 Einträge unstrukturiert z.B. in der Sammlung "EDV" und jeder EDV Mitarbeiter strukturiert die Daten für sich selbst in seinen Ordnern!? Das ist doch Kacke!

D.h. für mich dann im Umkehrschluss, dass ich keinen sinnvollen Import machen kann. Oder ich bearbeite die Berechtigungen jeder einzelne Sammlung, die er mir beim Import erstellt hat. Wie gesagt, ich habe über 300 Sammlungen erstellt bekommen.
151512
151512 13.02.2025 aktualisiert um 11:27:16 Uhr
Goto Top
Zitat von @beck2oldschool:

Also ich lege eine Organisation an, darunter erstelle ich Sammlungen (wie z.B. Abteilungen EDV, Buchhaltung, Einkauf)
Korrekt.
und innerhalb der Sammlungen erstelle ich Ordner um die Kennwörter zu strukturieren.
Nein, das geht nicht, Collections haben keine Ordner
OK, ich hab erkannt, dass ich innerhalb einer Organisation (!) keine Ordner anlegen kann.
👍
Neue Ordner werden immer in meinem eigenen Tresor erstellt.
👍
Ich habe über 800 Einträge insgesamt. Wie soll ich die denn in Ordner strukturieren!?
Entweder separate Organisationen für die Abteilungen erstellen oder Suchfunktion nutzen und Items entsprechend benennen. .
Wenn ich das richtig sehe, sind dann 800 Einträge unstrukturiert z.B. in der Sammlung "EDV" und jeder EDV Mitarbeiter strukturiert die Daten für sich selbst in seinen Ordnern!?
Entweder so oder separate collections mit passendem Berechtigungen sieht ja jeder nur das worauf er Zugriff hat..

D.h. für mich dann im Umkehrschluss, dass ich keinen sinnvollen Import machen kann. Oder ich bearbeite die Berechtigungen jeder einzelne Sammlung, die er mir beim Import erstellt hat. Wie gesagt, ich habe über 300 Sammlungen erstellt bekommen.
Musst halt dann einmalig Hand anlegen oder selbst skripten.

Das ist doch Kacke!
Passt halt nicht zu jedermanns Arbeitsweise. Man muss sich halt etwas anders organisieren als bei KeePass.
NordicMike
NordicMike 13.02.2025 aktualisiert um 11:24:41 Uhr
Goto Top
Eine Sammlung ist ein Ordner. Mehr nicht.
Bei Vaultwarden hast du auch noch "Organisationen", das kann man verwenden um z.b. alle Passwörter innerhalb einer Abteilung untereinander zu teilen.

Also
Organisation: Warenausgang
Sammlung innerhalb der Organisation: Paketdienste
Sammlung innerhalb der Organisation: Speditionen
Sammlung innerhalb der Organisation: Zollanmeldungen
Sammlung innerhalb der Organisation: RMA und Hersteller Portale

Organisation: Personalabteilung
Sammlung innerhalb der Organisation: Meldestellen
Sammlung innerhalb der Organisation: Schulungsanbieter
Sammlung innerhalb der Organisation: Kranken und Unfallversicherungen
Sammlung innerhalb der Organisation: Job Portale


Du kannst die Standardsammlung auch umbenennen, er legt halt immer eine Sammlung automatisch mit an und braucht halt irgendeinen Namen dafür, also "Standardsammlung".

Du kannst aber auch als Organisation ein Thema wählen, wenn es nicht abteilungsweise passieren soll. z.B. "alle FTP Zugänge".
beck2oldschool
beck2oldschool 13.02.2025 um 11:46:00 Uhr
Goto Top
@151512
Ja, hätte mir sicherlich leichter getan, wenn ich gleich mit Bit-/Vaultwarden begonnen hätte. Aber ich glaube, dass mit dem Ex-Import ist echt Gurke.

@NordicMike
Eine Sammlung ist eben genau KEIN Ordner. Das ist ja genau mein Problem. Für eine Sammlung kann ich Berechtigungen vergeben. Das geht für Ordner nicht. Zumal es Ordner eben nur für eigenen Tresore gibt und nicht für Organisationen.

Organisation: FirmaXYZ
Sammlung innerhalb der Organisation: EDV -> Berechtigung alle MAs der EDV Abteilung
Ordner innerhalb der Sammlung: DELL
Eintrag innerhalb des Ordners: Server 1
Eintrag innerhalb des Ordners: Server 2
Eintrag innerhalb des Ordners: Server 3

Ordner innerhalb der Sammlung: Kyocera
Ordner innerhalb der Sammlung: Microsoft

Sammlung innerhalb der Organisation: Buchhaltung
Sammlung innerhalb der Organisation: Marketing

Um in deinem Beispiel zu bleiben: Wenn alle MAs der Pesonalabteilung Zugriff auf Meldestelle, Schulungsanbieter etc haben sollen, musst du die Berechtigungen jeder Sammlung einzeln für jeden MA bearbeiten. Und ich habe wie gesagt über 300 Sammlungen.

Wie oben schon geschrieben, ist glaube ich mein Hauptproblem, dass ich die Denkweise von Keepass nicht in Vaultwarden adaptieren kann.
151512
151512 13.02.2025 aktualisiert um 11:58:15 Uhr
Goto Top
Den Denkprozess habe ich auch anfangs durchgemacht. Wenn man das Prinzip nämlich noch nicht verinnerlicht hat kann es leicht passieren das man Items im eigenen Vault in einem Ordner löscht obwohl sie eigentlich einer Organisation gehören und dann plötzlich auch dort in einer Sammlung fehlen.
Man muss halt dann das Wort "Organisationen" anders denken und daraus bspw. die "Abteilungen" machen wie NordicMike schon vorgeschlagen hat.
Migrationen sind halt nie gänzlich ohne Arbeit verbunden, da muss man halt Anfangs etwas mehr Arbeit rein stecken bis es so läuft wie man sich das vorstellt.
beck2oldschool
beck2oldschool 13.02.2025 um 11:58:04 Uhr
Goto Top
Ja, das stimmt. Ich arbeite halt auch schon seit Jahren mit Keepass und der jetzigen Struktur. Mein Kopf will das auch noch nicht verstehen, warum ich als Organisation keine Ordnerstruktur vorgeben kann.
Aber wie du schon sagst, man muss es eben erstmal verinnerlichen oder nach einer Alternative suchen - oder bleiben.

@151512 und @NordicMike
Vielen Dank euch beiden auf jeden Fall für eure Hilfe!!!
NordicMike
NordicMike 13.02.2025 um 12:13:04 Uhr
Goto Top
Eine Sammlung ist eben genau KEIN Ordner.
Du sollst ihn ja auch nicht als Ordner ansehen. Sehe die Sammlung als Ordner an. Vergiss die Ordner, die du in deinem eigenen Tresor hast, organisiere erst einmal die Freigaben, also die Organisationen und deren Sammlungen.

Hast du mehrere Firmen / Mandanten? Dann brauchst du keine Organisation mit dem Firmennamen FirmaXYZ. Die Organisation ist dann bereits die Abteilung.

Also

Organisation: EDV -> Berechtigung alle MAs der EDV Abteilung
Sammlung innerhalb der EDV: DELL
Eintrag innerhalb des Sammlung: Server 1
Eintrag innerhalb des Sammlung: Server 2
Eintrag innerhalb des Sammlung: Server 3

Wie du die Ordner in deinem eigenen Tresor gestaltest ist recht egal, da diese keine Freigaben haben werden. Sobald du ein Passwort freigeben möchtest, verschiebst du es aus deinem eigenen Tresor in die Organisation und Sammlung rüber und du kannst ihn dann sogar in deinem Tresor entfernen. Du findest es ja in der Sammlung wieder.

Was ich etwas blöd finde, dass das Web Portal alle Sammlungen untereinander anzeigt, dann ist nicht zu erkenennen zu welcher Orzanisation es gehört bzw zu welcher Abteilung. Deswegen haben ich dann die Sammlungen auch so benannt, dass die Abteilung gleich mit angezeigt wird. Also:

Organisation: EDV
Sammlung: EDV - Dell
Sammlung: EDV - Fujistu

Aber das ist eine Geschmacksfrage.
beck2oldschool
beck2oldschool 13.02.2025 um 13:44:46 Uhr
Goto Top
Ja, ok. Das ist verstanden. technisch gesehen ist eine Sammlung zwar kein Ordner, aber ich verstehe schon was du meinst!

Zitat von @NordicMike:

Organisation: EDV
Sammlung: EDV - Dell
Sammlung: EDV - Fujistu


Um mal bei dem Beispiel hier zu bleiben. Wie hast du denn hier die Berechtigung vergeben für deine Kollegen? Ich weiß nicht, ob du welche in der IT hast. Gehen wir mal von 5 Kollegen aus...
Du musst doch hier allen Sammlungen die Berechtigung so einstellen, dass deine Kollegen da auch Zugriff drauf haben!? Es gibt ja keine Vererbung, so dass du auf "Organisation: EDV" die Berechtigungen für alle Peoples einstellst, oder? Das würde mein Problem nämlich lösen. Aber ich muss eben an alle 300 "Sammlung: EDV - ..." ran. Ggf vielleicht per Script
151512
151512 13.02.2025 aktualisiert um 14:01:44 Uhr
Goto Top
Nur zur Info: Man kann Sammlungen auch verschachteln. Berechtigungen musst du aber für jede Sammlung einzeln definieren.
beck2oldschool
beck2oldschool 13.02.2025 um 14:07:07 Uhr
Goto Top
Zitat von @151512:

Nur zur Info: Man kann Sammlungen auch verschachteln. Berechtigungen musst du aber für jede Sammlung einzeln definieren.

Ja, ich weiß. Deswegen ist es auch im Grunde wurscht ob ich
Firma -> Abteilung -> Ordner mache oder
Abteilung -> Ordner
Die Berechtigung muss so oder so (manuell) vererbt werden.
NordicMike
NordicMike 17.02.2025 aktualisiert um 11:36:02 Uhr
Goto Top
Das mit dem Verschalchteln habe ich noch nicht mitbekommen, wie geht das? Für mich war die Sammlung immer die unterste Instanz (bevor die einzelnen Passworter darin landen). Klar, man kann sie verschiedenen Usern freigeben, aber eine gewisse Unterordnerstruktur habe ich innerhalb einer Sammlung nicht mehr entdeckt.
151512
151512 17.02.2025 aktualisiert um 11:42:03 Uhr
Goto Top
Zitat von @NordicMike:

Das mit dem Verschalchteln habe ich noch nicht mitbekommen, wie geht das? Für mich war die Sammlung immer die unterste Instanz (bevor die einzelnen Passworter darin landen). Klar, man kann sie verschiedenen Usern freigeben, aber eine gewisse Unterordnerstruktur habe ich innerhalb einer Sammlung nicht mehr entdeckt.

Einfach in die Sammlung rein wechseln und dort oben rechts auf (+) > Sammlung, fertig.

2025-02-17_01
NordicMike
NordicMike 17.02.2025 aktualisiert um 12:48:42 Uhr
Goto Top
Ahh, ich erinnere mich wieder dunkel. Ok, das habe ich nie verwendet, weil:

Wenn man in jeder Organisation oder Sammlung (in meinem Beispiel Clients, Server und Betriebssysteme) eine verschachtelte Sammlung mit dem Namen "Linux" und "Windows" anlegt, hat man danach von jeder Organisation oder Sammlung diese eine Untersammlung in der Liste.

Diese Liste links im Menü vom Bitwarden Client sieht dann so aus:
"Linux"
"Linux"
"Linux"
"Windows"
"Windows"
"Windows"

Und man sieht nicht mehr zu welcher übergeordneter Sammlung oder Organisation es angehört. Deshalb habe ich nicht weiter verschachtelt. Deshalb habe ich die Organisation nicht "Firma" genannt, sondern gleich "Clients" oder "Server" oder "Betriebssysteme" und dort nur noch zwei Sammlungen für Linux und Windows angelegt anstatt weiter zu verschachteln. Die Sammlungen heißen dann also:
"Clients / Linux"
"Clients / Windows"
"Server / Linux"
"Server / Windows"
"Betriebsysteme / Linux"
"Betriebsysteme / Windows"

Aber ja, man kann dann Firma noch als Organisation ganz oben dazu setzen, die Anzeige im Client bleibt dann gleich.

Für den TO bleibt es jedoch dabei, die Ordner im eigenen Tresor sind absolut unabhängig von den Sammlungen und werden im Client auch getrennt von einander dort angezeigt. Dort werden sowieso nur noch wenige Einträge (nur noch die eigenen ganz persönlichen), weil die restlichen Zugänge werden gleich in die Organisationen und Sammlungen eingepflegt oder dort hin verschoben. Man muss sie ja dort noch nicht wirklich jemanden frei geben und bleiben dann solange ebenfalls "persönlich".