[TUT] Vaultwarden mit Portainer installieren

Voraussetzung: Ihr habt Portainer installiert. Falls nicht KLICK MICH

1. Ein sicheres Token erstellen.

• Ihr könnt euch HIER ein Token für euer Passwort erzeugen lassen.

1. 1. Als erstes gebt ihr hier euer "SICHERES" Passwort ein, wofür der Token erzeugt werden soll (merken)
   Dann einmal auf das Zahnrad drücken (ggf. Parameter anpassen.)

• Argon2id auswählen.
• Generate HASH drücken
  Output in Encoded Form (kopieren)

1. 2. Kopiert euch den Output bzw. eurer Token "vorläufig" in eine Textdatei auf euren Desktop oder lasst die Seite vorerst geöffnet.
   (wir brauchen den Token am Ende nochmal)

2. Ab in Portainer

• Live Connect
• Stacks - Add Stack -> Namen eingeben (z.b. vaultwarden)

Einfach nur kopieren und einfügen (bitte NICHT euren Token hier eintragen. Ihr könnt "test123!" einfach mitkopieren da wir es später eh noch ändern. Hier muss also ausnahmsweise nichts sicheres eingegeben werden):

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    hostname: vaultwarden
    restart: always
    ports:
      - "1234:80"  # Externer Port zu internen Port 80 mappen
    environment:
      - ADMIN_TOKEN= "test123!"  # Vorläufiges Passwort. Ihr Könnt dies einfach so lassen
      - TZ=Europe/Berlin  # Zeitzone hinzufügen
#      - LOGIN_RATELIMIT_MAX_BURST=5  # Optional - Maximale Versuche in kurzer Zeit (5)
#      - LOGIN_RATELIMIT_SECONDS=30  # Optional - Zeitrahmen für diese Versuche (50 Sekunden)
#      - ADMIN_RATELIMIT_MAX_BURST=3  # Optional - Maximale Versuche für Admin-Login (3)
#      - ADMIN_RATELIMIT_SECONDS=30  # Optional - Zeitrahmen für Admin-Login-Versuche (30 Sekunden)
    volumes:
      - /volume1/docker/vaultwarden:/data  # Vaultwarden-Daten persistent speichern
    labels:
      com.centurylinklabs.watchtower.enable: "true"  # Automatische Updates durch Watchtower

• "Deploy the Stack" klicken

3. Denkt an euren Token

• Ihr erreicht nun Vaultwarden unter:
• http://<eure-NAS-IP>:1234
• Die Admin Oberfläche erreicht ihr unter
• http://<eure-NAS-IP>:1234/admin

Hier gebt ihr nun zum Einloggen euer im STACK vorläufig gewähltes PASSWORT ein (in dem Beispiel wäre es nun "test123!").

The content cannot be displayed because you do not have authorisation to view this content.

• Sobald ihr eingeloggt sein, klickt ihr auf:
  • General Settings

The content cannot be displayed because you do not have authorisation to view this content.

Hier scrollt ihr dann runter bis zu diesem auffälligen Feld:

• Admin token/Argon2 PHC

The content cannot be displayed because you do not have authorisation to view this content.

• Hier tragt ihr eurer in Schritt 1.2. erstelltes TOKEN ein
  • danach noch unten links auf SAVE klicken: The content cannot be displayed because you do not have authorisation to view this content.

AB JETZT könnt ihr euch nur noch mit eurem selbstgewählten sicheren PASSWORT (Schritt 1.1.) einloggen (nicht mehr mit test123!)

Zusätzliche Einstellungen:

• Eure Email-Adresse tragt ihr auch im Admin Menü unter SMTP EMAIL Settings ein (hier als Beispiel mit Goneo):

The content cannot be displayed because you do not have authorisation to view this content.

• (Bei "FROM NAME" könnt ihr auch eure Alias-Adresse eingeben, falls ihr welche eigerichtet habt)
  

Viel Spaß mit eurem Passwort-Manager

Wer das ganze nun noch von außen erreichbar haben möchte, Nginx Proxy Manager benutzen
Das spart dann nun locker 12 Euro im Jahr 😅

HINWEIS:

Falls ihr NGINX PM benutzt und ihr euren Passwortmanager auch extern benutzen wollt,
könnt ihr die Admin-Oberfläche für externen Zugriff auch komplett sperren. Dafür gebt ihr im NGINX PM unter ADVANCED

The content cannot be displayed because you do not have authorisation to view this content.

The content cannot be displayed because you do not have authorisation to view this content.

• folgendes ein:

location /admin {
   deny all;
}

• Alternativ mit "fester" öffentlicher IP könnt ihr euch selbst auch den Eintritt gewähren:

location /admin {
    allow 203.0.113.45;  # Ersetze das mit deiner öffentlichen IP
    deny all;
}

HINWEIS ZUM STACK VOM ANFANG:

Die auskommentierten Zeilen im Stack:
#      - LOGIN_RATELIMIT_MAX_BURST=5  # Optional - Maximale Versuche in kurzer Zeit (5)
#      - LOGIN_RATELIMIT_SECONDS=30  # Optional - Zeitrahmen für diese Versuche (50 Sekunden)
#      - ADMIN_RATELIMIT_MAX_BURST=3  # Optional - Maximale Versuche für Admin-Login (3)
#      - ADMIN_RATELIMIT_SECONDS=30  # Optional - Zeitrahmen für Admin-Login-Versuche (30 Sekunden)

Habe ich extra auskommentiert, da man sich als Anfänger auch gerne mal aussperrt. Und am Anfang testet man ja gerne mal rum.
Später könnt ihr das gerne aktivieren um eventuell etwas mehr Sicherheit zu haben, indem ihr einfach das # am Anfang rausnehmt
und "UPDATE ZU STACK" klickt. Oder ihr lasst das ganze so wie es ist

Hoffe ich konnte helfen und die Anleitung ist nun wieder etwas übersichtlicher.

Falls Fehler gefunden werden, gerne bescheid geben, drunter schreiben etc.