[TUT] Vaultwarden mit Portainer installieren

kampfpopcorn · February 14, 2025 at 8:30 AM

Voraussetzung: Ihr habt Portainer installiert. Falls nicht KLICK MICH

1. Ein sicheres Token erstellen.

Ihr könnt euch HIER ein Token für euer Passwort erzeugen lassen.

1. Als erstes gebt ihr hier euer "SICHERES" Passwort ein, wofür der Token erzeugt werden soll (merken)
Dann einmal auf das Zahnrad drücken (ggf. Parameter anpassen.)

Argon2id auswählen.
Generate HASH drücken
Output in Encoded Form (kopieren)

2. Kopiert euch den Output bzw. eurer Token "vorläufig" in eine Textdatei auf euren Desktop oder lasst die Seite vorerst geöffnet.
(wir brauchen den Token am Ende nochmal)

2. Ab in Portainer

Live Connect
Stacks - Add Stack -> Namen eingeben (z.b. vaultwarden)

Einfach nur kopieren und einfügen (bitte NICHT euren Token hier eintragen. Ihr könnt "test123!" einfach mitkopieren da wir es später eh noch ändern. Hier muss also ausnahmsweise nichts sicheres eingegeben werden):

YAML

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    hostname: vaultwarden
    restart: always
    ports:
      - "1234:80"  # Externer Port zu internen Port 80 mappen
    environment:
      - ADMIN_TOKEN= "test123!"  # Vorläufiges Passwort. Ihr Könnt dies einfach so lassen
      - TZ=Europe/Berlin  # Zeitzone hinzufügen
#      - LOGIN_RATELIMIT_MAX_BURST=5  # Optional - Maximale Versuche in kurzer Zeit (5)
#      - LOGIN_RATELIMIT_SECONDS=30  # Optional - Zeitrahmen für diese Versuche (50 Sekunden)
#      - ADMIN_RATELIMIT_MAX_BURST=3  # Optional - Maximale Versuche für Admin-Login (3)
#      - ADMIN_RATELIMIT_SECONDS=30  # Optional - Zeitrahmen für Admin-Login-Versuche (30 Sekunden)
    volumes:
      - /volume1/docker/vaultwarden:/data  # Vaultwarden-Daten persistent speichern
    labels:
      com.centurylinklabs.watchtower.enable: "true"  # Automatische Updates durch Watchtower

Display More

"Deploy the Stack" klicken

3. Denkt an euren Token

Ihr erreicht nun Vaultwarden unter:
http://<eure-NAS-IP>:1234
Die Admin Oberfläche erreicht ihr unter
http://<eure-NAS-IP>:1234/admin

Hier gebt ihr nun zum Einloggen euer im STACK vorläufig gewähltes PASSWORT ein (in dem Beispiel wäre es nun "test123!").

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

Sobald ihr eingeloggt sein, klickt ihr auf:
- General Settings

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

Hier scrollt ihr dann runter bis zu diesem auffälligen Feld:

Admin token/Argon2 PHC

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

Hier tragt ihr eurer in Schritt 1.2. erstelltes TOKEN ein
- danach noch unten links auf SAVE klicken: This image is exclusive to our members!
  Please log in or register for free to view graphics and attachments.

AB JETZT könnt ihr euch nur noch mit eurem selbstgewählten sicheren PASSWORT (Schritt 1.1.) einloggen (nicht mehr mit test123!)

Zusätzliche Einstellungen:

Eure Email-Adresse tragt ihr auch im Admin Menü unter SMTP EMAIL Settings ein (hier als Beispiel mit Goneo):

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

(Bei "FROM NAME" könnt ihr auch eure Alias-Adresse eingeben, falls ihr welche eigerichtet habt)

Viel Spaß mit eurem Passwort-Manager

Wer das ganze nun noch von außen erreichbar haben möchte, Nginx Proxy Manager benutzen
Das spart dann nun locker 12 Euro im Jahr 😅

HINWEIS:

Falls ihr NGINX PM benutzt und ihr euren Passwortmanager auch extern benutzen wollt,
könnt ihr die Admin-Oberfläche für externen Zugriff auch komplett sperren. Dafür gebt ihr im NGINX PM unter ADVANCED

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

folgendes ein:

Code

location /admin {
   deny all;
}

Alternativ mit "fester" öffentlicher IP könnt ihr euch selbst auch den Eintritt gewähren:

Code

location /admin {
    allow 203.0.113.45;  # Ersetze das mit deiner öffentlichen IP
    deny all;
}

HINWEIS ZUM STACK VOM ANFANG:

Die auskommentierten Zeilen im Stack:
# - LOGIN_RATELIMIT_MAX_BURST=5 # Optional - Maximale Versuche in kurzer Zeit (5)
# - LOGIN_RATELIMIT_SECONDS=30 # Optional - Zeitrahmen für diese Versuche (50 Sekunden)
# - ADMIN_RATELIMIT_MAX_BURST=3 # Optional - Maximale Versuche für Admin-Login (3)
# - ADMIN_RATELIMIT_SECONDS=30 # Optional - Zeitrahmen für Admin-Login-Versuche (30 Sekunden)

Habe ich extra auskommentiert, da man sich als Anfänger auch gerne mal aussperrt. Und am Anfang testet man ja gerne mal rum.
Später könnt ihr das gerne aktivieren um eventuell etwas mehr Sicherheit zu haben, indem ihr einfach das # am Anfang rausnehmt
und "UPDATE ZU STACK" klickt. Oder ihr lasst das ganze so wie es ist

Hoffe ich konnte helfen und die Anleitung ist nun wieder etwas übersichtlicher.

Falls Fehler gefunden werden, gerne bescheid geben, drunter schreiben etc.

rocky98 · March 24, 2025 at 9:13 AM

Hallo,

danke für die Anleitung. Eine kleine Ergänzung. Das Web-Interface (nicht /admin) funktioniert nur korrekt wenn eine SSL Verbindung besteht.

TuxyLord · April 5, 2025 at 2:02 PM

Ich komme nur auf die Admin Seite und dann nicht mehr weiter.

Der Token funktioniert nicht. invalid token.

Die normale Seite ist gar nicht erreichbar.

exil35 · April 7, 2025 at 10:30 AM

Kopiere mal die Gänsefüßchen mit, also:

"test123!" und nicht test123!. Dann funktioniert es

TuxyLord · April 7, 2025 at 2:24 PM

Das hatte ich auch versucht., hatte aber auch nichts gebracht.

Ich habe den mit Argon2 erzeugten Hash in env im Container eingefügt und danach lief es.

Zu meiner Schande hatte ich vergessen Bescheid zu sagen.

Danke für deine Antwort.

Willi · April 7, 2025 at 5:19 PM

Quote from TuxyLord

Ich habe den mit Argon2 erzeugten Hash in env im Container eingefügt

Es funktioniert vielleicht, ist aber kontraproduktiv. Der Sinn des ARGON2-Hash ist ja, dass dein Backend-Passwort verschlüsselt in der DB liegt, anstatt im Klartext in den ENV-Variablen. VG Willi

TuxyLord · April 7, 2025 at 9:36 PM

Der Argon Hash ist mein verschlüsseltes Passwort.

Ich habe mein Passwort über die Argonseite verschlüsselt und den verschlüsselten Hash in die env in Portainer eingetragen.

Danach habe ich das Klartext Passwort auf der Admin Seite eingegeben, das hat funktioniert..

Gruß Stefan

schlung65 · May 10, 2025 at 12:30 PM

Weiß jemand, wie man automatisiert regelmäßige Backups der Vaultwarden-Datenbank macht? In der Admin-Oberfläche gibt es ja bei Settings ganz unten den Punkt Backup Database, das muss man aber immer manuell anstoßen.

igomyway · May 29, 2025 at 10:56 PM

kampfpopcorn, vielen Dank für die Anleitung Habe erfolgreich die Installation durchgeführt. Schritt für Schritt, bei mir üblich, erstmal gelesen und dann praktisch abgearbeitet. Sehr schön geschrieben habe ich alles so abgearbeitet. Habe erstmal bis zu dem Punkt gearbeitet „Viel Spaß mit eurem Passwort-Manager“.

Die Erreichbarkeit von Außen geh’ ich einem weiteren Schritt an. Da dann ja den Nginx Proxy Manager installieren. Erstmal hat das so geklappt (macvlan ging ja völlig in die Hose bei mir) und das Einloggen natürlich in meinem Vaultwarden-Tresor (der aber über die 224+ eingerichtet ist) gespeichert und ebenso gleich getestet. Wunderbar und noch schönen ausklingenden Vatertag

montragon · July 17, 2025 at 5:52 PM

Hallo,

ich habe mir jetzt auch Vaultwarden auf meiner 4800plus eingerichtet, was nach dieser Anleitung recht einfach war.

Jetzt ist mir aber aufgefallen, dass es weder in der Browser-Erweiterung noch in der Dektop-App die Möglichkeit gibt Einträge zu löschen.

An was könnte das liegen?

igomyway · July 17, 2025 at 5:57 PM

Ich logge mich ein (Handy) aufm Homescreen "Mein Tresor" klicke ich auf Zugangsdaten. Im folgenden Fenster auf einen Eintrag und dort dann oben rechts die drei Punkte. Da kann man löschen.

montragon · July 17, 2025 at 6:57 PM

ja, auf dem Handy und im Web-Vault geht das Löschen aber am PC nicht (habe zumindest keine Möglichkeit gefunden).

igomyway · July 17, 2025 at 7:42 PM

montragon, geht .... mach mal folgend:

Einloggen am PC/Book (bei mir dafür Linux Mint), unten klick auf Tresor, klick Zugangsdaten, klick (versuchsweise) auf den ersten darin, aber linksseitig, im neuen Fenster, dein angeklickter, nach unten scrollen. FERTIG

montragon · July 17, 2025 at 8:10 PM

nö, keine Möglichkeit zu löschen.

Scheint aber ein Bug zu sein:

Keine "Löschen" Option

igomyway · July 17, 2025 at 8:19 PM

Also weder vierfach Books (Dualboot mit jeweils Linux und Windows11) noch an Android-Handy oder Tablet noch an einem Appel-ifone hab ich sowas.

Aktuell bin ich mit der Kombi Linux Mint und Firefox unterwegs hier. Vielleicht ’ne Versions-Geschichte?

*kw* · July 18, 2025 at 4:51 PM

montragon ich hab das Problem mit der macOS App, iPhone und Pad funktionieren. Bitwarden schiebt es auf eine nicht angepasste Schnittstelle auf Vaultward-Seite, für die sie nicht verantwortlich sind.

Als workaround lösche ich entweder mobil oder am Browser über das Web-Terminal. Kommt nicht so oft vor.

Quote from schlung65

Backups der Vaultwarden-Datenbank macht?

Ich empfehle eher, das Vaultwarden Verzeichnis nach außen zu mappen und zu sichern. Die App-Funktion sichert nur die Datenbank, nicht die Anhänge.

eineb · July 18, 2025 at 6:28 PM

Quote from *kw*

Schnittstelle auf Vaultward-Seite, für die sie nicht verantwortlich sind.

Wenn es Bei Dir wirklich nicht funktioniert, ich habe nicht Vaultwarden sonder Bitwarden als Container laufen. Habe seit Anfang an keine Probleme damit.

Quote from montragon

im Web-Vault geht das Löschen aber am PC nicht (habe zumindest keine Möglichkeit gefunden).

Für den PC gibt es doch eine eigene Aop von Bitwarden, Windows, Linux, Mac weiß ich nicht. Aber da Funktioniert da alles Perfekt

*kw* · July 18, 2025 at 7:54 PM

eineb "Wie Sie sehen, sehen Sie nix." 😉

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

Und im Browser-Plugin geht's auch nicht.

igomyway · July 19, 2025 at 9:39 AM

Mahlzeit, nachdem mein vor einiger Zeit erfolgte 30-Sekunden Reset ja erledigt war, habe ich mich wieder mit Vaultwarden in Portainer beschäftigt. FAZIT: Bekomme es nicht mehr zum Laufen bzw. eingerichtet. Selbst mit der Konserve ging nichts. Immer wieder erscheint zwar der Vaultwarden-Bildschirm, aber kein Anmeldefenster .... Kreis kringelt gemütlich vor sich in. Hat mich einige Stunden meines Lebens gekostet.

quiet86 · July 19, 2025 at 11:07 AM

Quote from wegomyway

Mahlzeit, nachdem mein vor einiger Zeit erfolgte 30-Sekunden Reset ja erledigt war, habe ich mich wieder mit Vaultwarden in Portainer beschäftigt. FAZIT: Bekomme es nicht mehr zum Laufen bzw. eingerichtet. Selbst mit der Konserve ging nichts. Immer wieder erscheint zwar der Vaultwarden-Bildschirm, aber kein Anmeldefenster .... Kreis kringelt gemütlich vor sich in. Hat mich einige Stunden meines Lebens gekostet.

Vaultwarden funktioniert nur mit einer gültigen HTTPS Verbindung. Ansonsten kommst du nicht auf die Anmelden Seite. Grüße

[TUT] Vaultwarden mit Portainer installieren

Participate now!

Tags