Vaultwarden - 2FA für Admins

[schoeli]

Hallo.

Ich nutze den Passwort-Manager Vaultwarden (Server-Version 1.33.2) auf meiner DS (über den Container-Manager).

Ist es möglich, bei Vaultwarden den Admin-Zugang neben dem Passwort auch mit 2FA (oder anderweitig) abzusichern? Ich habe diese Möglichkeit nur für Benutzer gefunden.

Beste Grüße und allen ein schönes Wochenende!

 

[Dog6574]

Wenn ich den Admin brauche gehe ich hin stoppe den Container füge den Token/Passwort ein und starte den Container.
Das ist noch sicherer nach meiner Meinung.

 

[Benie]

Eigentlich brauchts das nicht , intern eh nicht und wenn man von außen nur über Wireguard zugreift .

 

[schoeli]

Mehrere Personen greifen von außen über eine Domain zu. VPN ist da keine Option für mich. Das mit der (temporären) Herausnahme des Admin-Token klingt gut. Wird da nur der Token an sich, oder die komplette Zeile (e ADMIN_TOKEN=meintoken) herausgenommen?

 

[Nackel]

Kennen denn alle Personen deinen Admin-Token?
Im Regelfall solltest NUR du den kennen und dich einloggen können

 

[Caramlo]

Sichere Deinen Admin Token wie hier beschrieben:
https://github.com/dani-garcia/vaultwarden/wiki/Enabling-admin-page#secure-the-admin_token
Dazu noch Fail2Ban mit einrichten und meiner Meinung nach ist das ausreichend sicher.
Habe meinen Vaultwarden selbst so abgesichert und noch nie Probleme gehabt.

 

[schoeli]

Danke für die ergänzenden Hinweise. Ich werde mich da mal versuchen.

 

[frite77]

Wenn ich den Admin brauche gehe ich hin stoppe den Container füge den Token/Passwort ein und starte den Container.
Das ist noch sicherer nach meiner Meinung.

Wie genau machst du das? Wo kann man im Nachhinein die Umgebungsvariablen vom Container im ContainerManager ändern? Oder duplizierst du den Container mit neuen Variablen wie ADMIN_TOKEN

 

[plang.pl]

Das geht nur per Stack / Docker Compose. Container nach Erstellung bearbeiten geht nicht

 

[frite77]

@plang.pl
Danke für den Hinweis

Wenn ich im Container Manager die YAML Konfiguration ändere und den Container neu starte bringt das irgendwie nichts..
oder bin ich da irgendwie aufm falschen Dampfer? Damit ändere ich doch die Docker Compose Variablen?

 

[Kachelkaiser]

siehe letzte Zeile

du musst den Container vorher stoppen.

Alternativ macht das Ganze mit Portainer. Der macht das dann selbstständig. Du kannst im laufendne Betrieb Änderungen in die compose schrieben und dann erneut deployen

 

[plang.pl]

Aber dazu muss man erstmal alle bestehenden Stacks nach Portainer migrieren! Außerhalb von Portainer erstellte Stacks können nicht editiert werden. Das Einfachste ist wohl, den Container anzuhalten und die Änderungen vorzunehmen und dann neu deployen

 

[frite77]

Ups Sry.. in diesen Screenshot war der Container nicht gestoppt. Hab es aber natürlich auch mit gestoppten Container durchgeführt. Hab den Admin Token rausgenommen, und wieder gestartet. Konnte mich dann aber wieder mit mein Passort im Admin-Bereich anmelden.

Was jedoch geholfen hat ist in der Datei config.json den Admin-Token rauszulöschen. Das Sperrt dann wirklich den Admin Login.
Muss man irgendwie beides machen?

 

[JohneDoe]

Guck doch mal in deinem Admin Bereich rein:

Da steht doch, dass die config die ENVs überschreibt. Und auch welche überschrieben sind.