VFS365 : cet outil open source affiche SharePoint et OneDrive comme un lecteur réseau dans Windows

Vos utilisateurs réclament toujours une lettre de lecteur pour accéder aux fichiers stockés dans SharePoint ? Jos Lieben, l'auteur de OneDriveMapper, a publié VFS365, un système de fichiers virtuel open source qui expose Microsoft 365 dans l'Explorateur de Windows, sans synchronisation.

Lors d'une migration des serveurs de fichiers vers SharePoint Online, les applications métiers historiques posent presque toujours problème. Elles attendent un chemin du type M:\Comptabilite\Budget.xlsx, pas une URL. Le client OneDrive, lui, repose sur la synchronisation et sur des adresses Web. Alors, que faire ?

Pendant des années, une partie des admins a contourné le problème avec OneDriveMapper, un script PowerShell de Jos Lieben qui associe des lettres de lecteur à SharePoint via WebDAV. Mais avec VFS365, un logiciel libre publié sous licence GPLv3, il veut aller encore plus loin.

"Pas de configuration par bibliothèque, pas de synchronisation.", résume la page du projet.

Comment fonctionne VFS365 ?

VFS365 s'appuie sur WinFsp, un pilote de système de fichiers open source pour Windows. Chaque utilisateur dispose de son propre volume, visible dans le volet de navigation de l'Explorateur, accessible via un chemin qui lui est propre et, si vous le souhaitez, via une lettre de lecteur. OneDrive et SharePoint (et les bibliothèques Teams) y apparaissent comme des dossiers classiques dans une entrée globale nommée VFS365 (dont le nom est personnalisable). Cela peut être utile aussi pour utiliser ce service Cloud de façon ponctuelle sans configurer le client OneDrive et la synchronisation...

Voici quelques caractéristiques à propos de son fonctionnement :

• Découverte automatique : les bibliothèques accessibles à l'utilisateur sont identifiées via la recherche SharePoint, avec la méthode de M365AutoLink, un autre outil du même auteur. Elles apparaissent et disparaissent selon les permissions réelles.

• Aucune copie préalable : rien n'est répliqué à l'avance, les lectures se font en streaming. La taille d'une bibliothèque importe peu.

• Enregistrement par-dessus le fichier d'origine : l'historique des versions et les liens de partage sont conservés. Si un collègue a modifié le fichier entre-temps, Microsoft 365 refuse l'envoi et VFS365 crée une copie de conflit au lieu d'écraser quoi que ce soit.

• Cache chiffré : les copies locales sont chiffrées en AES-256 (clé protégée par DPAPI), limitées à 2 Go par défaut et effacées à la déconnexion ou lorsque l'appareil quitte Intune.

• Pilotage par stratégie : un modèle ADMX permet de tout configurer par GPO ou via Intune (lettre de lecteur, sites inclus ou exclus, redirection des dossiers utilisateurs). Les hôtes multisessions Azure Virtual Desktop sont pris en charge.

Côté prérequis, il faut un poste sous Windows 11 (x64 ou ARM64) et un consentement administrateur, une seule fois par tenant Microsoft 365 (l'application demande des droits délégués, dont Files.ReadWrite.All.). Côté sécurité, les binaires sont signés depuis la version 0.4.2, donc c'est un bon point pour l'utilisation en entreprise.

Les paramètres de GPO à connaître

VFS365 se configure entièrement par stratégie, en GPO ou via Intune après import du modèle ADMX fourni avec chaque version. Les paramètres se trouvent sous Modèles d'administration > JSolve > VFS365, en configuration ordinateur comme en configuration utilisateur. Le fichier de langue n'existe qu'en anglais, ce sont donc ces libellés que vous verrez dans la console.

Voici quelques paramètres particulièrement intéressants :

• Drive letter : attribue une lettre au lecteur, par exemple O, ou la première lettre libre avec *. Par défaut, aucune lettre n'est attribuée.

• Drive letters for folders : donne une lettre dédiée à une bibliothèque ou à un dossier précis, à la manière d'OneDriveMapper. Les anciens mappages WebDAV vers SharePoint sont repris au passage. Ce qui permet d'avoir plusieurs lettres (une pour OneDrive, une autre pour un site SharePoint spécifique).

• Excluded sites et Excluded site templates : masquent des sites par adresse (*/sites/RH*) ou par type de site, par exemple TEAMCHANNEL pour les canaux privés et partagés de Teams.

• Pinned locations : affiche des sites que la recherche SharePoint ne trouve pas, comme ceux protégés par Restricted Content Discovery.

• Folder redirection : redirige Documents, Bureau ou Téléchargements vers VFS365 tant que le lecteur est monté, avec déplacement du contenu existant en option. Les dossiers retrouvent leur emplacement d'origine à la déconnexion.

• Multi-user database files : passe les fichiers Access, QuickBooks et SQLite en lecture seule, ou les bloque. Par défaut, ils sont traités comme des fichiers ordinaires.

• Searching in Explorer : renvoie la recherche de l'Explorateur vers la recherche SharePoint, dans le navigateur (comportement par défaut). Sinon, l'Explorateur parcourt chaque dossier, ce qui pose problème avec les limites d'API.

• API budget per user : plafonne la consommation d'un utilisateur, 600 unités de ressource par minute par défaut, pour qu'une copie massive ne vide pas le budget API du tenant.

Enfin, la documentation décrit un risque côté sécurité que je souhaitais également partager. Quand le lecteur n'est pas monté, Windows traite VFS365 comme un nom de serveur ordinaire et le cherche via DNS, LLMNR et NetBIOS. Celui qui répond récupère la réponse NTLM de l'utilisateur (un coup de Responder et hop). Il est donc recommandé de désactiver LLMNR et NetBIOS (mais ça, ce n'est pas nouveau et ça doit déjà être fait - comme je l'expliquais dans mon tutoriel pour désactiver LLMNR et NetBIOS par GPO), de créer soi-même un enregistrement DNS VFS365 pointant vers 127.0.0.1, et de bloquer NTLM pour SMB.

VFS365 est un outil open source comme on les aime ! Qu'en pensez-vous ?

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.