Vaultwarden docker compose wirft Fehler

[update-freak]

Hi zusammen,

bekomme bei der Installation von Vaultwarden folgenden Fehler

Error: Rocket.
[CAUSE] Bind(
    Os {
        code: 13,
        kind: PermissionDenied,
        message: "Permission denied",
    },
)

Docker compose

version: "3.9"
services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: Vaultwarden
    hostname: vaultwarden
    mem_limit: 256m
    mem_reservation: 96m
    cpu_shares: 1024
    security_opt:
      - no-new-privileges=true
    user: 1026:100
    ports:
      - 1035:80
    volumes:
      - /volume1/docker/vaultwarden:/data:rw
    environment:
      - ADMIN_TOKEN=IRGENDEINPASSWORT
      - DOMAIN=https://vaultwarden.blabla.dynv6.net
      - SIGNUPS_ALLOWED=false
    restart: always

Sieht jemand den Fehler?

 

[ctrlaltdelete]

Schau mal hier:
https://github.com/dani-garcia/vaultwarden/issues/411

 

[haydibe]

Die Frage ist, worauf sich das Bind bezieht:
- das gemappte Verzeichnis? So lange der Host-Pfad /volume1/docker/vaultwarden und alle seine Unterverzeichnisse 1026:100 gehören sollte es gehen.
- der Port an den Vaultwarden gebunden wird? Nichtprivilegierte User können keine Ports unterhalb 1024 binden.

Bei Ersterem könnte man versuchen, ob es Hilft die Syno ACL über die UI so anzupassen, dass das Verzeichnis und seine Unterverzeichnisse und Dateien die Berechtigung für Everyone mit RW definiert. Container können die Syno ACL nicht bedienen.

Bei Zweiterem muss man den Port in dem der containerisierte Prozess horcht auf einen Oberhalb von Port 1024 legen. Das kann man durch das Setzen der ENV ROCKET_PORT=8080 machen und muss es dann entsprechend auf der rechten Seite des Portmappings auch identisch konfigurieren.

 

[update-freak]

vielen Dank euch.
Das war die Lösung.
Jetzt klappt es

 

[haydibe]

Du kannst Deinen Container noch weiter härten, wenn Du die Capabilities fallen lässt:

    cap_drop:
      - ALL

Dann würde Dein Compose file so aussehen:

version: "3.9"
services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: Vaultwarden
    hostname: vaultwarden
    mem_limit: 256m
    mem_reservation: 96m
    cpu_shares: 1024
    cap_drop:
      - ALL
    security_opt:
      - no-new-privileges=true
    user: 1026:100
    ports:
      - 1035:8080
    volumes:
      - /volume1/docker/vaultwarden:/data:rw
    environment:
      - ADMIN_TOKEN=IRGENDEINPASSWORT
      - DOMAIN=https://vaultwarden.blabla.dynv6.net
      - SIGNUPS_ALLOWED=false
      - ROCKET_PORT=8080
    restart: always