Comment déployer Bitwarden avec Docker pour la gestion de mots de passe auto-hébergée

Tout d'abord, créez un utilisateur système dédié pour Bitwarden afin d'éviter de l'exécuter en tant que root. Cela suit les meilleures pratiques de sécurité et prévient les problèmes de permissions.

sudo useradd -r -m -d /opt/bitwarden -s /bin/false bitwarden
sudo mkdir -p /opt/bitwarden
sudo chown -R bitwarden:bitwarden /opt/bitwarden

Passez à l'utilisateur bitwarden et naviguez vers le répertoire d'installation :

sudo -u bitwarden -s /bin/bash
cd /opt/bitwarden

Vérifiez la configuration de l'utilisateur et du répertoire :

whoami
pwd
ls -la /opt/bitwarden

Vous devriez voir bitwarden comme utilisateur actuel et /opt/bitwarden comme répertoire actuel.

Téléchargez le script d'installation officiel de Bitwarden. Ce script automatise le processus de configuration et de mise en place de Docker Compose.

curl -Lso bitwarden.sh https://go.btwrdn.co/bw-sh
chmod 700 bitwarden.sh

Vérifiez que le script a été téléchargé correctement :

ls -la bitwarden.sh
head -5 bitwarden.sh

Vous devriez voir le fichier script avec les permissions d'exécution et le début du contenu du script shell.

Avant de lancer l'installation, vous devez enregistrer votre instance auto-hébergée avec Bitwarden pour obtenir un ID d'installation et une clé. Visitez https://bitwarden.com/host dans votre navigateur.

Remplissez le formulaire d'inscription :

• Entrez votre adresse e-mail d'administrateur
• Sélectionnez votre région (US ou EU)
• Acceptez les conditions

Copiez l'ID d'installation et la clé d'installation qui sont générés. Vous en aurez besoin à l'étape suivante.

Stockez temporairement ces valeurs dans des variables d'environnement pour un accès facile :

export BW_INSTALLATION_ID="your-installation-id-here"
export BW_INSTALLATION_KEY="your-installation-key-here"

Exécutez le script d'installation pour configurer la configuration initiale :

./bitwarden.sh install

Le script vous demandera plusieurs valeurs de configuration :

• Nom de domaine : Entrez votre domaine complet (par exemple, bitwarden.votredomaine.com)
• Let's Encrypt SSL : Choisissez 'y' pour les certificats SSL automatiques
• ID d'installation : Collez l'ID de l'étape 3
• Clé d'installation : Collez la clé de l'étape 3
• Base de données : Acceptez la valeur par défaut (MSSQL) ou spécifiez PostgreSQL

L'installation crée la structure de répertoires et télécharge les images Docker :

ls -la bwdata/
ls -la bwdata/env/

Vérifiez que l'installation a créé les fichiers nécessaires :

find bwdata/ -name "*.yml" -o -name "*.env" | head -10

Vous devriez voir des fichiers docker-compose et des fichiers de configuration d'environnement.

Modifiez la configuration de l'environnement global pour personnaliser votre déploiement :

nano bwdata/env/global.override.env

Ajoutez ou modifiez ces paramètres essentiels :

# Configuration du domaine
BW_DOMAIN=bitwarden.votredomaine.com

# Paramètres de la base de données (exemple PostgreSQL)
BW_DB_PROVIDER=postgresql
BW_DB_SERVER=db
BW_DB_DATABASE=bitwarden
BW_DB_USERNAME=bitwarden
BW_DB_PASSWORD=votre-mot-de-passe-fort-pour-la-base-de-données

# Identifiants d'installation
BW_INSTALLATION_ID=votre-id-d'installation
BW_INSTALLATION_KEY=votre-clé-d'installation

# Configuration SMTP pour les notifications par email
globalSettings__mail__smtp__host=smtp.votredomaine.com
globalSettings__mail__smtp__port=587
globalSettings__mail__smtp__ssl=false
globalSettings__mail__smtp__username=bitwarden@votredomaine.com
globalSettings__mail__smtp__password=votre-mot-de-passe-smtp

# Paramètres de sécurité
globalSettings__disableUserRegistration=true
globalSettings__requireHttps=true

Enregistrez le fichier et vérifiez la configuration :

cat bwdata/env/global.override.env | grep -E "BW_DOMAIN|BW_DB_PROVIDER"

Si vous utilisez Let's Encrypt (recommandé), assurez-vous que le DNS de votre domaine est correctement configuré et que les ports 80/443 sont accessibles. Le script d'installation gère automatiquement la génération des certificats.

Pour des certificats SSL personnalisés, placez-les dans le répertoire SSL :

mkdir -p bwdata/ssl/bitwarden.votredomaine.com/
# Copiez vos fichiers de certificat :
# cp votre-cert.crt bwdata/ssl/bitwarden.votredomaine.com/certificate.crt
# cp votre-private.key bwdata/ssl/bitwarden.votredomaine.com/private.key

Configurez les paramètres nginx si nécessaire :

nano bwdata/nginx/default.conf

Testez que la configuration SSL fonctionnera :

openssl s_client -connect bitwarden.votredomaine.com:443 -servername bitwarden.votredomaine.com < /dev/null

Démarrez tous les services Bitwarden en utilisant le script de gestion :

./bitwarden.sh start

Surveillez le processus de démarrage et vérifiez l'état des conteneurs :

docker ps --format "table {{.Names}}\t{{.Status}}\t{{.Ports}}"
docker logs bitwarden-api
docker logs bitwarden-web

Vérifiez que tous les conteneurs fonctionnent correctement :

docker ps | grep -E "bitwarden|postgres|mssql" | wc -l

Vous devriez voir 6 à 8 conteneurs en cours d'exécution (web, api, identity, admin, icons, notifications, events, database).

Testez l'interface web en visitant votre domaine :

curl -I https://bitwarden.yourdomain.com
echo "Visitez https://bitwarden.yourdomain.com dans votre navigateur"

La réponse devrait afficher HTTP 200 OK et vous devriez voir la page de connexion Bitwarden dans votre navigateur.

Accédez au panneau d'administration pour créer votre premier compte utilisateur. Naviguez vers https://bitwarden.yourdomain.com/admin dans votre navigateur.

Si l'enregistrement administrateur est désactivé, activez-le temporairement :

echo "globalSettings__disableUserRegistration=false" >> bwdata/env/global.override.env
./bitwarden.sh restart

Créez votre compte administrateur via l'interface web, puis désactivez immédiatement l'enregistrement :

sed -i 's/globalSettings__disableUserRegistration=false/globalSettings__disableUserRegistration=true/' bwdata/env/global.override.env
./bitwarden.sh restart

Vérifiez la création de votre compte et l'accès administrateur :

docker logs bitwarden-api | grep -i "user.*created"
docker logs bitwarden-identity | tail -20

Testez la fonctionnalité de connexion en accédant au coffre et en créant une entrée de test pour vous assurer que tout fonctionne correctement.

Configurer fail2ban pour se protéger contre les attaques par force brute :

sudo apt install fail2ban -y
sudo nano /etc/fail2ban/jail.local

Ajouter la configuration de jail spécifique à Bitwarden :

[bitwarden]
enabled = true
port = 80,443
filter = bitwarden
logpath = /opt/bitwarden/bwdata/logs/api/*.txt
maxretry = 3
bantime = 3600
findtime = 600

Créer le filtre fail2ban :

sudo nano /etc/fail2ban/filter.d/bitwarden.conf

[Definition]
failregex = ^.*Invalid username or password.*.*$
ignoreregex =

Configurer les sauvegardes automatiques de la base de données et de la configuration :

mkdir -p /opt/bitwarden/backups
nano /opt/bitwarden/backup.sh

#!/bin/bash
BACKUP_DIR="/opt/bitwarden/backups"
DATE=$(date +%Y%m%d_%H%M%S)

# Sauvegarde de la base de données
docker exec bitwarden-db pg_dump -U bitwarden bitwarden > "$BACKUP_DIR/db_backup_$DATE.sql"

# Sauvegarde de la configuration
tar -czf "$BACKUP_DIR/config_backup_$DATE.tar.gz" -C /opt/bitwarden bwdata/env bwdata/ssl

# Conserver uniquement les sauvegardes des 7 derniers jours
find "$BACKUP_DIR" -name "*backup*" -mtime +7 -delete

Rendre le script de sauvegarde exécutable et l'ajouter à crontab :

chmod +x /opt/bitwarden/backup.sh
echo "0 2 * * * /opt/bitwarden/backup.sh" | crontab -

Vérifier la configuration de sécurité :

sudo fail2ban-client status bitwarden
ls -la /opt/bitwarden/backups/

Configurez la rotation des journaux pour éviter les problèmes d'espace disque :

sudo nano /etc/logrotate.d/bitwarden

/opt/bitwarden/bwdata/logs/*/*.txt {
    daily
    rotate 30
    compress
    delaycompress
    missingok
    notifempty
    copytruncate
}

Créez un script de vérification de l'état de santé pour surveiller le statut du service :

nano /opt/bitwarden/health-check.sh

#!/bin/bash
HEALTH_URL="https://bitwarden.yourdomain.com/alive"
STATUS=$(curl -s -o /dev/null -w "%{http_code}" "$HEALTH_URL")

if [ "$STATUS" != "200" ]; then
    echo "$(date): Échec de la vérification de l'état de santé de Bitwarden - HTTP $STATUS" >> /var/log/bitwarden-health.log
    # Optionnel : envoyer un email d'alerte ou redémarrer les services
    /opt/bitwarden/bitwarden.sh restart
else
    echo "$(date): Vérification de l'état de santé de Bitwarden réussie" >> /var/log/bitwarden-health.log
fi

Configurez la vérification de l'état de santé pour s'exécuter toutes les 5 minutes :

chmod +x /opt/bitwarden/health-check.sh
echo "*/5 * * * * /opt/bitwarden/health-check.sh" | crontab -

Configurez les notifications de mise à jour et créez une procédure de mise à jour :

nano /opt/bitwarden/update.sh

#!/bin/bash
echo "Démarrage du processus de mise à jour de Bitwarden..."
./bitwarden.sh updateself
./bitwarden.sh update
echo "Mise à jour terminée. Vérification du statut du service..."
docker ps --format "table {{.Names}}\t{{.Status}}"
echo "Journal de mise à jour : $(date)" >> /opt/bitwarden/update.log

Vérifiez la configuration de la surveillance :

chmod +x /opt/bitwarden/update.sh
tail -f /var/log/bitwarden-health.log &
./health-check.sh
kill %1