Vaultwarden: oma salasanaholvisi

Vaultwarden on kevyt palvelin Bitwardenin sovelluksille ja selainlaajennuksille. Salasanasi ovat silloin omalla VPS:lläsi. Se vaatii kuitenkin huolellisuutta: jos palvelin hajoaa tai varmuuskopio puuttuu, menetät salasanasi.

Jokainen ohje pohjautuu työhakemistoon /srv/diensten ja Caddyyn ohjeesta Työhakemisto: compose.yaml, .env ja Caddy. Lisäät palvelun tiedostoon compose.yaml, lohkon tiedostoon Caddyfile sekä A- ja AAAA-tietueen nimelle (katso A- ja AAAA-tietue Omat verkkotunnukset -osiossa).

1. DNS

Luo A- ja AAAA-tietue nimelle kluis.example.com.

2. compose.yaml

  vaultwarden:
    image: vaultwarden/server:1.37.5
    restart: unless-stopped
    environment:
      DOMAIN: "https://kluis.example.com"
      SIGNUPS_ALLOWED: "true"
      ADMIN_TOKEN: ${VW_ADMIN_TOKEN}
    volumes:
      - ./vw-data:/data

Tarkista Vaultwardenin julkaisusivulta, mikä versio on uusin, ja merkitse se tagiin.

3. Caddyfile ja käynnistys

kluis.example.com {
	reverse_proxy vaultwarden:80
}

anna@web1:/srv/diensten$ sudo docker compose up -d
anna@web1:/srv/diensten$ sudo docker compose exec -w /etc/caddy caddy caddy reload

4. Hallintatunnus .env-tiedostossa

Hallintanäkymä /admin suojataan tunnuksella. Älä laita siihen luettavaa salasanaa vaan tiiviste. Tiivisteen luot Vaultwardenilla itsellään, nyt kun kontti on käynnissä:

anna@web1:/srv/diensten$ sudo docker compose exec vaultwarden /vaultwarden hash
Password:
Confirm Password:

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$...'

Lisää tiedostoon .env rivi VW_ADMIN_TOKEN='$argon2id$...' yksinkertaisin lainausmerkein. Käynnistä kontti uudelleen komennolla sudo docker compose up -d. Osoitteeseen /admin kirjaudutaan kirjoittamallasi salasanalla, ei tiivisteellä.

5. Rekisteröinnin sulkeminen

1. Avaa https://kluis.example.com ja luo oma tilisi sekä perheenjäsentesi tai kollegojesi tilit.
2. Aseta tiedostoon compose.yaml SIGNUPS_ALLOWED: "false".
3. Suorita sudo docker compose up -d.

Sen jälkeen kutsut uudet käyttäjät hallintanäkymän kautta. Jos haluat, että kutsut lähtevät sähköpostilla, määritä SMTP postilaatikon kautta portissa 587 (katso Käänteinen DNS ja sähköpostin lähettäminen VPS:ltä).

Varmuuskopiointi

Kaikki on hakemistossa /srv/diensten/vw-data: tietokanta, liitteet ja avaimet. Ota se mukaan restic-varmuuskopioon (katso Tietokantojen ja Docker-volyymien varmuuskopiointi oikein) ja testaa palautus. Vaultwardenin wikissä kerrotaan, miten tietokannan voi kopioida turvallisesti sen ollessa käynnissä.

Vinkki: Sovelluksesi ja selainlaajennuksesi säilyttävät kopion holvistasi. Jos palvelin on hetken poissa käytöstä, voit yhä lukea salasanojasi mutta et muuttaa niitä.