Vaultwarden

Auf dem Seed laufen Vaultwarden und Caddy als Docker-Container, Caddy nimmt die HTTPS-Verbindungen an und reicht sie an Vaultwarden weiter. Bis Ihr Tresor bereitsteht, vergehen nach dem Erstellen des Seeds meist 1 bis 3 Minuten. Zum Schluss meldet sich die Installation mit dem Admin-Token an und schreibt die Adresse Ihres Tresors in /root/ready.txt, das Sie per SSH oder in der VNC-Konsole lesen. Scheitert ein Schritt, liegt dort stattdessen failed.txt mit dem Grund, den vollständigen Ablauf zeigt /root/vaultwarden-install.log. Findet sich keine der beiden Dateien, ist die Installation noch nicht abgeschlossen.

Ihr Benutzerkonto legen Sie selbst an. Öffnen Sie die Adresse aus ready.txt, wählen Sie Konto erstellen und vergeben Sie ein Master-Passwort. Aus ihm leitet Ihr Gerät den Schlüssel für Ihren Tresor ab, der Seed bekommt es nie zu sehen, und deshalb kann es auch niemand zurücksetzen. Bis Sie die Registrierung schließen, kann jede Person ein Konto anlegen, die die Adresse kennt. Melden Sie sich deshalb gleich danach unter /admin mit dem Admin-Token aus /root/vaultwarden-credentials.txt an und schalten Sie unter General settings die Option Allow new signups ab.

Weitere Personen laden Sie im Admin-Bereich unter Users mit Invite User ein. Ohne Mailserver erhalten sie keine Einladung per E-Mail, registrieren sich aber mit der eingeladenen Adresse über Konto erstellen. Für Einladungen, Hinweise zum Master-Passwort und Anmeldecodes per E-Mail tragen Sie unter SMTP Email Settings die Daten Ihres Mailservers ein und prüfen sie mit einer Test-Mail.

In den Bitwarden-Apps für Browser, Smartphone und Desktop stellen Sie auf der Anmeldeseite den Server auf selbst gehostet um und tragen die Adresse Ihres Tresors ein. Diese Adresse hinterlegt jedes Mitglied Ihres Teams in seinen Apps, deshalb empfehlen wir von Anfang an eine eigene Domain. Zeigt der A-Record Ihrer Domain auf die IPv4-Adresse des Seeds, stellen Sie Vaultwarden per SSH mit seed-tls domain vault.example.com um. Der Tresor bekommt dabei ein Zertifikat von Let's Encrypt, und die bisherige Adresse leitet auf die Domain weiter.

In /opt/vaultwarden beschreibt die compose.yaml die Container vaultwarden und caddy, die .env enthält die Images mit ihren Versionen, die Adresse Ihres Tresors und unter VAULTWARDEN_ADMIN_TOKEN den Hash des Admin-Tokens. Einstellungen aus dem Admin-Bereich speichert Vaultwarden in config.json, sie haben Vorrang vor der .env. Die Datenbank mit allen verschlüsselten Tresoren, die Dateianhänge und die config.json liegen im Docker-Volume vaultwarden_vw_data, das deshalb in Ihre Sicherung gehört. Für konsistente Backups der laufenden SQLite-Datenbank ist sqlite3 bereits installiert.

Für ein Update ersetzen Sie in der .env den ganzen Wert von VAULTWARDEN_IMAGE einschließlich des @sha256-Teils durch die neue Version, etwa docker.io/vaultwarden/server:1.38.0, und führen in /opt/vaultwarden nacheinander docker compose pull und docker compose up -d aus. Für Caddy gilt dasselbe mit CADDY_IMAGE, Docker selbst aktualisieren Sie mit apt update && apt upgrade. Lesen Sie vorher die Release Notes von Vaultwarden und legen Sie einen Snapshot des Seeds an. Beide Container starten nach einem Neustart des Seeds automatisch.

Unsere Anleitung Vaultwarden als Passwort-Manager einrichten beschreibt, wie Sie Passwörter aus Ihrem bisherigen Passwort-Manager importieren, tägliche Backups per Cronjob einrichten und den Zugriff auf ein VPN beschränken. Die Installation ist auf diesem Seed bereits erledigt, Sie steigen beim Abschnitt „Admin-Panel“ ein. Verzeichnis und Volume heißen wie in der Anleitung.