Zrozum projekt i klientów
Vaultwarden to odrębny projekt, więc sprawdź aktualną zgodność klientów, obsługiwane wytyczne dotyczące wdrożenia i aktualizacje bezpieczeństwa. Niewielkie zapotrzebowanie na zasoby nie powinno prowadzić do niedbałego procesu utrzymania.
Ogranicz punkty wejścia
Używaj HTTPS, silnej ochrony konta i przemyślanych kontroli rejestracji. Chroń lub wyłączaj punkty końcowe administracji, jeśli są obsługiwane. Utrzymuj host i reverse proxy w aktualnej wersji i ograniczaj dostęp do prywatnej konfiguracji.
Zachowaj niezależność odzyskiwania
Przechowuj kody odzyskiwania i dostęp do kopii zapasowych prywatnie poza serwerem. Nie uzależniaj jedynej drogi do kopii zapasowej od poświadczeń przechowywanych wyłącznie wewnątrz sejfu. Zastanów się, jak odzyskasz dostęp po utracie zarówno serwera, jak i urządzenia.
Twórz kopie zapasowe spójnego stanu
Postępuj zgodnie z obsługiwaną procedurą dla bazy danych, załączników, konfiguracji i kluczy. Szyfruj kopie zapasowe poza siedzibą i starannie testuj przywracanie. Skopiowany obraz kontenera nie zawiera wszystkich trwałych danych sejfu.
Przetestuj pełny scenariusz odzyskiwania konta
Użyj jednorazowego konta testowego, aby zweryfikować logowanie, drugi czynnik, eksport sejfu, jeśli to właściwe, oraz ścieżkę odzyskiwania. Trzymaj informacje awaryjne poza hostowanym sejfem. Unikaj testowania destrukcyjnych działań odzyskiwania na jedynej kopii prawdziwego konta.
Sprawdzaj ekspozycję po każdej zmianie proxy
Przejrzyj publiczne trasy, interfejs administracyjny, wymagania dotyczące websocket lub powiadomień dla zainstalowanej wersji i rzeczywistego pochodzenia TLS. Konfiguracja aplikacji, która była prywatna za jednym proxy, może stać się publiczna po zmianie sieci lub kontenera.
Oddziel usługę sejfu od systemu odzyskiwania
Wybierz utrzymywane wydanie Vaultwarden i zweryfikuj zgodność z klientami Bitwarden, których zamierzasz używać. Przygotuj stabilne źródło HTTPS, trwałe prywatne dane i niezależną ścieżkę odzyskiwania. Trzymaj jedyne hasło do kopii zapasowej i materiały do odzyskiwania konta poza hostowanym sejfem. Kompaktowa usługa może wciąż przechowywać klucze do wielu innych kont, więc priorytetem jest sprawdzona procedura aktualizacji i odzyskiwania, a nie oszczędzanie niewielkiej kwoty na przydziale RAM.
- Wybierz przemyślane zasady rejestracji i zaproszeń.
- Ogranicz dostęp administracyjny niezależnie od dostępu użytkowników do sejfu.
- Sprawdź wymagania dotyczące powiadomień i reverse proxy dla zainstalowanej wersji.
Oficjalna dokumentacja: Przykłady wdrożenia Vaultwarden
Zamknij dostęp konfiguracyjny po pierwszym teście konta
Wdróż przy użyciu obsługiwanego przykładu projektu, utrwal jego katalog danych i ustaw domenę publiczną na rzeczywiste źródło HTTPS. Jeśli korzystasz z interfejsu administracyjnego, postępuj zgodnie z jego wskazówkami dotyczącymi tokenu/hasha i ogranicz, kto może uzyskać do niego dostęp; nie myl URL, którego trudno odgadnąć, z uwierzytelnianiem. Po utworzeniu zamierzonego właściciela zweryfikuj ustawienia rejestracji/zaproszeń z wylogowanej przeglądarki. Przetestuj drugi czynnik i działanie powiadomień przed dodaniem prawdziwych sekretów.
Oficjalna dokumentacja: Ochrona strony administracyjnej Vaultwarden
Przetestuj każdego klienta na jednorazowych danych sejfu
Użyj testowego logowania w sejfie internetowym, kliencie desktopowym oraz dowolnym rozszerzeniu mobilnym/przeglądarkowym, które planujesz obsługiwać. Potwierdź synchronizację po zmianie elementu i potwierdź, że wylogowany użytkownik nie może go odczytać. Sprawdź skonfigurowany niestandardowy serwer URL i certyfikat, jeśli zawodzi tylko jeden klient. Jeśli powiadomienia zawodzą, ale ręczna synchronizacja działa, sprawdź bieżące wymagania proxy/websocket. Utrzymuj udokumentowaną metodę eksportu/odzyskiwania i przechowuj kody awaryjne przez oddzielną zaufaną drogę.
Przywróć bazę danych i jej pliki towarzyszące
Postępuj zgodnie z obsługiwaną metodą tworzenia kopii zapasowych bazy danych; nieostrożne kopiowanie aktywnego pliku SQLite może pominąć najnowszy stan write-ahead-log. Uwzględnij wymagane załączniki, konfigurację i materiały kluczowe z katalogu danych trwałych. Zaszyfruj kopię odzyskiwania i przetestuj odtworzenie dla jednorazowego użytkownika w izolowanym środowisku. Nie polegaj na obrazie kontenera jako kopii zapasowej danych. Plan aktualizacji powinien potwierdzić zarówno zgodność klienta, jak i realną ścieżkę odzyskiwania bazy danych przed zastąpieniem działającego wydania.
Oficjalna dokumentacja: Wymagania dotyczące kopii zapasowych Vaultwarden