証明書のオプション
この記事では、自己ホスト型のBitwardenインスタンスに利用可能な証明書のオプションを定義しています。インストール中に証明書のオプションを選択します。
備考
この記事の情報は、Bitwarden統一自己ホスト型のデプロイメントには適用されないかもしれません。
Let's Encrypt は、あらゆるドメインに対して信頼できる SSL 証明書を無料で発行する認証局 (CA) です。Bitwardenのインストールスクリプトは、Let's EncryptとCertbotを使用してあなたのドメインのための信頼できるSSL証明書を生成するオプションを提供します。
証明書の更新チェックは、Bitwardenが再起動するたびに行われます。Let's Encryptを使用するには、証明書の有効期限のリマインダーのためにメールアドレスを入力する必要があります。
Let's Encryptを使用するには、マシンでポート80と443を開放する必要があります。
あなたがBitwardenサーバーのドメイン名を変更する場合、生成された証明書を手動で更新する必要があります。次のコマンドを実行してバックアップを作成し、証明書を更新し、Bitwardenを再構築します:
バッシュ
Bash./bitwarden.sh stop
mv ./bwdata/letsencrypt ./bwdata/letsencrypt_backup
mkdir ./bwdata/letsencrypt
chown -R bitwarden:bitwarden ./bwdata/letsencrypt
chmod -R 740 ./bwdata/letsencrypt
docker pull certbot/certbot
docker run -i --rm --name certbot -p 443:443 -p 80:80 -v <Full Path from / >/bwdata/letsencrypt:/etc/letsencrypt/ certbot/certbot certonly --email <user@email.com> --logs-dir /etc/letsencrypt/logs1を選択し、次に指示に従ってください。
Bashopenssl dhparam -out ./bwdata/letsencrypt/live/<your.domain.com>/dhparam.pem 2048 ./bitwarden.sh rebuild ./bitwarden.sh start
パワーシェル
チップ
Windows用のOpenSSLのビルドをインストールする必要があります。
Bash.\bitwarden.ps1 -stop mv .\bwdata\letsencrypt .\bwdata\letsencrypt_backup mkdir .\bwdata\letsencrypt docker pull certbot/certbot docker run -i --rm --name certbot -p 443:443 -p 80:80 -v <Full Path from \ >\bwdata\letsencrypt\:/etc/letsencrypt/ certbot/certbot certonly --email <user@email.com> --logs-dir /etc/letsencrypt/logs Select 1, then follow instructions <path/to/openssl.exe> dhparam -out .\bwdata\letsencrypt\live\<your.domain.com>\dhparam.pem 2048 .\bitwarden.ps1 -rebuild .\bitwarden.ps1 -start
あなたは代わりに既存のSSL証明書を使用することも選択できますが、その場合は次のファイルが必要になります:
サーバー証明書（
certificate.crt）プライベートキー (
private.key)CA証明書（
ca.crt）
SSL信頼エラーを防ぐために、主要な証明書を中間CA証明書とバンドルする必要があるかもしれません。CA証明書を使用する際には、すべての証明書をサーバー証明書ファイルに含めるべきです。ファイルの最初の証明書はあなたのサーバー証明書であるべきで、その後に中間CA証明書が続き、最後にルートCAが続きます。
デフォルトの設定の下では、ファイルを./bwdata/ssl/your.domainに配置してください。あなたの証明書ファイルの場所を変更するには、./bwdata/config.ymlの以下の値を編集してください：
Bashssl_certificate_path: <path> ssl_key_path: <path> ssl_ca_path: <path>
備考
config.ymlで定義された値は、NGINXコンテナ内の場所を表しています。ホスト上のディレクトリは、NGINXコンテナ内のディレクトリにマッピングされます。デフォルトの設定下では、マッピングは次のように一致します:
以下の値がconfig.ymlにあります:
Bashssl_certificate_path: /etc/ssl/your.domain/certificate.crt ssl_key_path: /etc/ssl/your.domain/private.key ssl_ca_path: /etc/ssl/your.domain/ca.crt
次のホスト上のファイルへのマップ：
Bash./bwdata/ssl/your.domain/certificate.crt ./bwdata/ssl/your.domain/private.key ./bwdata/ssl/your.domain/ca.crt
./bwdata/ssl/内のファイルを操作するだけで済みます。NGINXコンテナーで直接ファイルを操作することはお勧めしません。
オプションとして、Diffie-Hellmanキー交換を使用して一時的なパラメータを生成する場合：
同じディレクトリに
dhparam.pemファイルを含めてください。ssl_diffie_hellman_path:の値をconfig.ymlの設定に設定してください。
備考
あなたはOpenSSLを使用して自分自身のdhparam.pemファイルを作成することができます。openssl dhparam -out ./dhparam.pem 2048を使用してください。
あなたは自己署名証明書を使用することも選択できますが、これはテストのみに推奨されます。
自己署名証明書は、デフォルトではBitwardenクライアントアプリケーションに信頼されません。この証明書を手動でインストールし、Bitwardenを使用する予定の各デバイスの信頼できるストアに追加する必要があります。
自己署名証明書を生成します。
Bashmkdir ./bwdata/ssl/bitwarden.example.com
openssl req -x509 -newkey rsa:4096 -sha256 -nodes -days 365 \
-keyout ./bwdata/ssl/bitwarden.example.com/private.key \
-out ./bwdata/ssl/bitwarden.example.com/certificate.crt \
-reqexts SAN -extensions SAN \
-config <(cat /usr/lib/ssl/openssl.cnf <(printf '[SAN]\nsubjectAltName=DNS:bitwarden.example.com\nbasicConstraints=CA:true')) \
-subj "/C=US/ST=New York/L=New York/O=Company Name/OU=Bitwarden/CN=bitwarden.example.com"あなたの自己署名証明書（.crt）と秘密鍵（private.key）は、./bwdata/ssl/self/your.domainディレクトリに配置し、./bwdata/config.ymlで設定することができます。
Bashssl_certificate_path: /etc/ssl/bitwarden.example.com/certificate.crt ssl_key_path: /etc/ssl/bitwarden.example.com/private.key
ウィンドウズ
Windowsで自己署名証明書を信頼するには、certmgr.mscを実行し、証明書を信頼されたルート認証機関にインポートしてください。
リナックス
Linuxで自己署名証明書を信頼するには、証明書を以下のディレクトリに追加してください:
Bash/usr/local/share/ca-certificates/ /usr/share/ca-certificates/
次のコマンドを実行してください：
Bashsudo dpkg-reconfigure ca-certificates sudo update-ca-certificates
私たちのLinuxデスクトップアプリ、Chromiumベースのブラウザを使用してウェブ保管庫にアクセスし、ディレクトリコネクタデスクトップアプリの場合、このLinux証明書管理手順も完了する必要があります。
Bitwarden CLIとDirectory Connector CLIのために、自己署名証明書はローカルファイルに保存され、例えばNODE_EXTRA_CA_CERTS=環境変数によって参照されなければなりません。
Bashexport NODE_EXTRA_CA_CERTS=~/.config/Bitwarden/certificate.crtアンドロイド
Androidデバイスで自己署名証明書を信頼するには、Googleの証明書の追加と削除のドキュメンテーションを参照してください。
備考
あなたが自己ホスト型ではない場合、そしてあなたのアンドロイドデバイスで次の証明書エラーに遭遇した場合：
BashException message: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found.
あなたのデバイスにBitwardenの証明書をアップロードする必要があります。証明書の探し方については、このコミュニティスレッドを参照してください。
注意
証明書を使用しないことを選択した場合、SSL経由でBitwardenを提供するプロキシでインストールをフロントにしなければなりません。これは、BitwardenがHTTPSを必要とするためです。HTTPSプロトコルなしでBitwardenを使用しようとするとエラーが発生します。