Vaultwarden: sinu oma paroolihoidla

Vaultwarden on kerge server Bitwardeni rakendustele ja brauserilaienditele. Sinu paroolid asuvad siis sinu enda VPS-il. See nõuab aga hoolt: kui server läheb katki või varukoopia puudub, oled oma paroolidest ilma.

Iga retsept põhineb töökaustal /srv/diensten koos Caddyga artiklist Sinu töökaust failidega compose.yaml, .env ja Caddy. Lisad teenuse faili compose.yaml, ploki faili Caddyfile ning nimele A- ja AAAA-kirje (vt A- ja AAAA-kirje jaotises Minu domeenid).

1. DNS

Loo nimele kluis.example.com A- ja AAAA-kirje.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Vaata Vaultwardeni väljalasete lehelt, milline versioon on uusim, ja kirjuta see sildiks.

3. Caddyfile ja käivitamine

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Haldustoken failis .env

Halduslehe /admin kaitsed tokeniga. Ära pane sinna loetavat parooli, vaid räsi. Selle räsi teed Vaultwardeniga ise, nüüd kui konteiner töötab:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Kirjuta faili .env rida VW_ADMIN_TOKEN='$argon2id$...', ühekordsete jutumärkidega. Taaskäivita konteiner käsuga sudo docker compose up -d. Lehele /admin logid sisse parooliga, mille sisestasid, mitte räsiga.

5. Registreerimise sulgemine

1. Ava https://kluis.example.com ja loo oma konto ning ka pereliikmete või kolleegide kontod.
2. Kirjuta faili compose.yaml SIGNUPS_ALLOWED: "false".
3. Käivita sudo docker compose up -d.

Uued inimesed kutsud edaspidi halduslehe kaudu. Kui soovid, et kutsed läheksid e-postiga, seadista SMTP postkasti kaudu pordil 587 (vt Pöörd-DNS ja e-posti saatmine VPS-ist).

Varundamine

Kõik asub kaustas /srv/diensten/vw-data: andmebaas, manused ja võtmed. Lisa see oma restic-varukoopiasse (vt Andmebaaside ja Dockeri köidete õige varundamine) ja testi taastamist. Vaultwardeni vikis on kirjas, kuidas andmebaasi töö ajal turvaliselt kopeerida.

Nõuanne: Sinu rakendused ja brauserilaiendid hoiavad hoidlast koopiat. Kui server korraks maha läheb, saad paroole endiselt lugeda, aga mitte muuta.