Vaultwarden – mit Docker Compose + Traefik

Vaultwarden: Eine effiziente Alternative zur Bitwarden-Server-API, entwickelt in Rust. Diese Implementierung ist vollständig kompatibel mit Bitwarden-Clients und ideal für selbstgehostete Lösungen. Vaultwarden bietet eine ressourcenschonende Alternative zum offiziellen, ressourcenintensiven Bitwarden-Dienst und eignet sich perfekt für individuelle Hosting-Anforderungen.

0. Versionierung

1. Vorwort

Als Internet-Nutzer kennen Sie es sicher nur zu gut: Ständig werden Sie auf irgendwelchen Webseiten aufgefordert, sich mit einem Passwort anzumelden. Und damit Sie nicht den Überblick verlieren, nutzen Sie meistens das Gleiche. Doch diese Bequemlichkeit ist ein potentielles Sicherheitsrisiko: Wird Ihr Passwort einmal ausgespäht – sei es durch Phishing-Mails oder andere Sicherheitslücken – sind gleich mehrere Ihrer Accounts betroffen. Mithilfe eines Passwortmanagers können Sie diesem Problem Einhalt gebieten.

https://www.heise.de/tipps-tricks/Passwortmanager-So-verwalten-Sie-Ihre-Passwoerter-3934582.html

Es gibt genügend Passwortmanager auf dem Markt. Darunter auch LastPass welches in der Vergangenheit eher mit negativen Schlagzeilen in der Presse war. Eines der wohl sichersten und umfangreichsten ist wohl 1Password. Dies ist inzwischen nur noch im Abo-Modell zu erhalten. Dreh- und Angelpunkt ist bei jedem System, neben dem allgemeinem sichern Setup, das Master-Passwort. Die Entwickler von LastPass konnten noch so gut alle Sicherheitsstandards implementieren, wenn das Master-Passwort nicht sicher ist 🤯.

2. Vorraussetzung

• Traefik v2 + 3 – Reverse-Proxy mit CrowdSec im Stack einrichten

Hinweis: In meinem Standard-Setup hat der normale Nutzer keine Zugriffrechte auf Docker, also arbeite ich meine Anleitungen als root ab. Dies kann bedeuten, dass ihr ggf. sudo nutzen müsst, wenn ihr nicht als root-User arbeitet.

3. Ordner und Dateien anlegen

Beginnen wir mit den Befehlen zum Erstellt der notwendigen Ordner und Dateien für Vaultwarden. Danach wechseln wir direkt in das Hauptverzeichnis unserer Vaultwarden-Installation:

mkdir -p /opt/containers/vaultwarden/config
mkdir -p /root/secrets/vaultwarden/
touch /opt/containers/vaultwarden/{.env,docker-compose.yml,docker-compose.override.yml}
touch /opt/containers/vaultwarden/config/database.env
touch /var/log/vaultwarden.log

cd /opt/containers/vaultwarden

4. Docker-Compose Dateien bearbeiten

In diesem Abschnitt bearbeiten wir die Docker-Compose Dateien. Um die Übersicht zu bewahren, nutze ich zusätzlich eine docker-compose.override.yml.

4.1. docker-compose.yml

In der docker-compose.yml legen wir die Basisstruktur fest:

nano /opt/containers/vaultwarden/docker-compose.yml

services:
  vaultwarden-db:
    container_name: vaultwarden-db
    image: mariadb:11
    command: --transaction-isolation=READ-COMMITTED --log-bin=ROW --innodb_read_only_compressed=OFF
    restart: always
    healthcheck:
      test: [ "CMD", "healthcheck.sh", "--connect", "--innodb_initialized" ]
      interval: 10s
      timeout: 10s
      retries: 10
    volumes:
      - /etc/localtime:/etc/localtime:ro
      - ./database:/var/lib/mysql
    env_file:
      - ./.env
      - ./config/database.env
    networks:
      default: null
    hostname: vaultwarden-db
  vaultwarden:
    container_name: vaultwarden
    image: vaultwarden/server:latest
    depends_on:
      vaultwarden-db:
        condition: service_healthy
    restart: always
    volumes:
      - /etc/localtime:/etc/localtime:ro
      - /var/log/vaultwarden.log:/var/log/vaultwarden.log
      - ./data:/data
    env_file:
      - ./.env
      - ./config/vaultwarden.env
    networks:
      default: null
    hostname: vaultwarden
networks:
  default: {}