Vaultwarden: saját jelszótároló

A Vaultwarden egy könnyű szerver a Bitwarden alkalmazásaihoz és böngészőbővítményeihez. Így a jelszavai a saját VPS-én tárolódnak. Ez azonban gondosságot igényel: ha a szervere meghibásodik, vagy nincs biztonsági mentése, elveszítheti a jelszavait.

Minden recept a Munkakönyvtár compose.yaml és .env fájllal, valamint Caddyvel cikkben bemutatott, Caddyt használó /srv/diensten munkakönyvtárra épül. Hozzáad egy szolgáltatást a compose.yaml fájlhoz, egy blokkot a Caddyfile fájlhoz, valamint egy A- és egy AAAA-rekordot a névhez (lásd: A és AAAA rekord a Domainjeim menüben).

1. DNS

Hozzon létre egy A- és egy AAAA-rekordot a kluis.example.com névhez.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Nézze meg a Vaultwarden kiadási oldalán, melyik a legújabb verzió, és azt adja meg a tagben.

3. Caddyfile és indítás

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Az adminisztrációs token a .env fájlban

A /admin adminisztrációs felületet egy tokennel védheti. Ebbe ne olvasható jelszót írjon, hanem egy hasht. Ezt a hasht magával a Vaultwardennel hozhatja létre, most, hogy a konténer fut:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Írja be a .env fájlba a VW_ADMIN_TOKEN='$argon2id$...' sort, egyszeres idézőjelekkel. Indítsa újra a konténert a sudo docker compose up -d paranccsal. A /admin címen a begépelt jelszóval jelentkezhet be, nem a hash-sel.

5. A regisztráció lezárása

1. Nyissa meg a https://kluis.example.com címet, és hozza létre a saját fiókját, valamint a családtagjai vagy kollégái fiókját.
2. Állítsa be a compose.yaml fájlban: SIGNUPS_ALLOWED: "false".
3. Futtassa a sudo docker compose up -d parancsot.

Új felhasználókat ezután az adminisztrációs felületen hívhat meg. Ha szeretné, hogy a meghívók e-mailben menjenek ki, állítsa be az SMTP-t egy postafiókon keresztül az 587-es porton (lásd: Reverse DNS és levelek küldése a VPS-ről).

Biztonsági mentés

Minden a /srv/diensten/vw-data mappában található: az adatbázis, a mellékletek és a kulcsok. Vegye fel ezt a restic-mentésébe (lásd: Adatbázisok és Docker-kötetek helyes mentése), és tesztelje a visszaállítást. A Vaultwarden wikije leírja, hogyan másolhatja biztonságosan az adatbázist működés közben.

Tipp: Az alkalmazásai és böngészőbővítményei másolatot őriznek a tárolójáról. Ha a szervere átmenetileg leáll, a jelszavait továbbra is elolvashatja, de módosítani nem tudja őket.