Distribuera Key Connector

Den här artikeln kommer att leda dig genom proceduren för att aktivera och konfigurera Key Connector i en befintlig miljö med egen värd. Innan du fortsätter bör du noggrant läsa igenom artikeln om Key Connector för att säkerställa en fullständig förståelse av vad Key Connector är, hur det fungerar och konsekvenserna av implementeringen.

Bitwarden stöder distribution av en nyckelanslutare för användning av en organisation för en självvärd instans.

För att använda Key Connector måste du:

• Har en företagsorganisation.

• Har en Bitwarden-server som är självvärd.

• Ha en aktiv SSO-implementering.

• Aktivera policyerna för singelorganisation och Kräv enkel inloggning.

Om din organisation uppfyller eller kan uppfylla dessa krav, inklusive ett team och infrastruktur som kan stödja hantering av en nyckelserver, kontakta oss så aktiverar vi Key Connector.

När du har kontaktat oss angående Key Connector kommer vi att kontakta oss för att starta en Key Connector-diskussion. Stegen som följer i den här artikeln måste slutföras i samarbete med Bitwardens kundframgångs- och implementeringsspecialister.

När du har kontaktat oss angående Key Connector kommer en medlem av kundframgångs- och implementeringsteamet att generera en Key Connector-aktiverad licensfil för din organisation. När din Bitwarden-samarbetspartner instruerar dig att den är klar, slutför du följande steg för att få den nya licensen:

1. Öppna Bitwardens molnwebbapp och navigera till din organisations skärm Fakturering → Prenumeration i administratörskonsolen.

2. Rulla ned och välj knappen Ladda ner licens.

3. När du uppmanas, ange installations-ID som användes för att installera din egen värdserver och välj Skicka. Om du inte känner till ditt installations-ID direkt kan du hämta det från ./bwdata/env/global.override.env.

Du behöver inte din licensfil omedelbart, men du kommer att behöva ladda upp den till din egen värdserver i ett senare steg.

Så här förbereder du din Bitwarden-server för Key Connector:

1. Spara en säkerhetskopia av, åtminstone, .bwdata/mssql. När Key Connector väl har använts, rekommenderas det att du har tillgång till en pre-Key Connector backupbild i händelse av problem.

   note

   If you are using an external MSSQL database, take a backup of your database in whatever way fits your implementation.

2. Uppdatera din självvärdade Bitwarden-installation för att hämta de senaste ändringarna:

   BashCopy
   ./bitwarden.sh update

3. Redigera filen .bwdata/config.yml och aktivera Key Connector genom att växla enable_key_connector till true.

   BashCopy
   nano bwdata/config.yml

4. Bygg om din självvärdade Bitwarden-installation:

   BashCopy
   ./bitwarden.sh rebuild

5. Uppdatera din självvärdade Bitwarden-installation igen för att tillämpa ändringarna:

   BashCopy
   ./bitwarden.sh update

För att konfigurera Key Connector:

1. Redigera filen .bwdata/env/key-connector.override.env som kommer att ha laddats ner med ./bitwarden.sh-uppdateringen.

   BashCopy
   nano bwdata/env/key-connector.override.env

   warning

   This file will be pre-populated with default values that will spin up a functional local Key Connector setup, however the default values are not recommended for production environments.

2. I key-connector.override.env måste du ange värden för följande:

   • Endpoints: Vilka Bitwarden endpoints Key Connector kan kommunicera med.

   • Databas: Där Key Connector lagrar och hämtar användarnycklar.

   • RSA-nyckelpar: Hur Key Connector kommer åt ett RSA-nyckelpar för att skydda användarnycklar i vila.

Slutpunkter

Automatisk installation kommer att fylla i slutpunktsvärden baserat på din installationskonfiguration, men det rekommenderas att du bekräftar att följande värden i key-connector.override.env är korrekta för din installation:

BashCopy
keyConnectorSettings__webVaultUri=https://your.bitwarden.domain.com
keyConnectorSettings__identityServerUri=http://identity:5000

Databas

Key Connector måste komma åt en databas som lagrar krypterade användarnycklar för dina organisationsmedlemmar. Skapa en säker databas för att lagra krypterade användarnycklar och ersätt standardvärdena för keyConnectorSettings__database__ i key-connector.override.env med värdena som anges i kolumnen Required Values för den valda databasen:

RSA-nyckelpar

Key Connector använder ett RSA-nyckelpar för att skydda användarnycklar i vila. Skapa ett nyckelpar och ersätt standardvärdena keyConnectorSettings__rsaKey__ och keyConnectorSettings__certificate__ i key-connector.override.env med de värden som krävs för din valda implementering.

I allmänhet inkluderar dina alternativ att ge Key Connector-åtkomst till ett X509-certifikat som innehåller nyckelparet eller att ge Key Connector-åtkomst direkt till nyckelparet. Key Connector stöder inte rotation av certifikat eller RSA-nyckelpar.

BashCopy
openssl req -x509 -newkey rsa:4096 -sha256 -nodes -keyout bwkc.key -out bwkc.crt -subj "/CN=Bitwarden Key Connector" -days 36500

openssl pkcs12 -export -out ./bwkc.pfx -inkey bwkc.key -in bwkc.crt -passout pass:{Password}

BashCopy
keyConnectorSettings__rsaKey__provider=certificate
keyConnectorSettings__certificate__provider=filesystem
keyConnectorSettings__certificate__filesystemPath={Certificate_Path}
keyConnectorSettings__certificate__filesystemPassword={Certificate_Password}

BashCopy
keyConnectorSettings__rsaKey__provider=certificate
keyConnectorSettings__certificate__provider=azurestorage
keyConnectorSettings__certificate__azureStorageConnectionString={Connection_String}
keyConnectorSettings__certificate__azureStorageContainer={Container_Name}
keyConnectorSettings__certificate__azureStorageFileName={File_Name}
keyConnectorSettings__certificate__azureStorageFilePassword={File_Password}

BashCopy
keyConnectorSettings__certificate__provider=azurekv
keyConnectorSettings__certificate__azureKeyvaultUri={Vault_URI}
keyConnectorSettings__certificate__azureKeyvaultCertificateName={Certificate_Name}
keyConnectorSettings__certificate__azureKeyvaultAdTenantId={ActiveDirectory_TenantId}
keyConnectorSettings__certificate__azureKeyvaultAdAppId={AppRegistration_ApplicationId}
keyConnectorSettings__certificate__azureKeyvaultAdSecret={AppRegistration_ClientSecretValue}

BashCopy
keyConnectorSettings__rsaKey__provider=certificate
keyConnectorSettings__certificate__provider=vault
keyConnectorSettings__certificate__vaultServerUri={Server_URI}
keyConnectorSettings__certificate__vaultToken={Token}
keyConnectorSettings__certificate__vaultSecretMountPoint={Secret_MountPoint}
keyConnectorSettings__certificate__vaultSecretPath={Secret_Path}
keyConnectorSettings__certificate__vaultSecretDataKey={Secret_DataKey}
keyConnectorSettings__certificate__vaultSecretFilePassword={Secret_FilePassword}

BashCopy
keyConnectorSettings__rsaKey__provider=azurekv
keyConnectorSettings__rsaKey__azureKeyvaultUri={Vault_URI}
keyConnectorSettings__rsaKey__azureKeyvaultKeyName={Key_Name}
keyConnectorSettings__rsaKey__azureKeyvaultAdTenantId={ActiveDirectory_TenantId}
keyConnectorSettings__rsaKey__azureKeyvaultAdAppId={AppRegistration_ApplicationId}
keyConnectorSettings__rsaKey__azureKeyvaultAdSecret={AppRegistration_ClientSecretValue}

BashCopy
keyConnectorSettings__rsaKey__provider=gcpkms
keyConnectorSettings__rsaKey__googleCloudProjectId={Project_Id}
keyConnectorSettings__rsaKey__googleCloudLocationId={Location_Id}
keyConnectorSettings__rsaKey__googleCloudKeyringId={Keyring_Id}
keyConnectorSettings__rsaKey__googleCloudKeyId={Key_Id}
keyConnectorSettings__rsaKey__googleCloudKeyVersionId={KeyVersionId}

BashCopy
keyConnectorSettings__rsaKey__provider=awskms
keyConnectorSettings__rsaKey__awsAccessKeyId={AccessKey_Id}
keyConnectorSettings__rsaKey__awsAccessKeySecret={AccessKey_Secret}
keyConnectorSettings__rsaKey__awsRegion={Region_Name}
keyConnectorSettings__rsaKey__awsKeyId={Key_Id}

Plain TextCopy
keyConnectorSettings__certificate__filesystemPath=/etc/bitwarden/key-connector/certificate.pem

Ytterligare säkerhetsåtgärder för Key Connector-användare rekommenderas för att upprätthålla noll-kunskapskryptering för databaser och dataöverföringar.

• Organisationer som använder en TLS-uppfångande proxy kommer att behöva vidta ytterligare åtgärder för att upprätthålla noll-kunskapskryptering. För att säkerställa säkerhet, lägg till Bitwarden-URL:n till din proxys undantagslista, detta kommer att säkerställa att dataöverföringen med Key Connector förblir krypterad och ologgad under hela dataöverföringsprocessen.

• Det är inte alltid möjligt att migrera mellan krypteringsmekanismer.

• Migrering från en databas till en annan stöds inte för närvarande. Se till att implementera ett ofta automatiskt säkerhetskopieringsschema för databasen.

Nu när Key Connector är helt konfigurerad och du har en Key Connector-aktiverad licens, slutför du följande steg:

1. Starta om din självvärdade Bitwarden-installation för att tillämpa konfigurationsändringarna:

   BashCopy
   ./bitwarden.sh restart

2. Logga in på din egen värd Bitwarden som organisationsägare och navigera till administratörskonsolens Fakturering → Prenumerationsskärm.

3. Välj knappen Uppdatera licens och ladda upp den Key Connector-aktiverade licensen hämtad i ett tidigare steg.

4. Om du inte redan har gjort det navigerar du till skärmen Inställningar → Principer och aktiverar Enskild organisation och Kräv enkel inloggning. Båda krävs för att använda Key Connector.

5. Navigera till skärmen Inställningar → Enkel inloggning.

   tip

   The next few steps assume that you already have an active login with SSO implementation using SAML 2.0 or OIDC. If you don't, please implement and test login with SSO before proceeding.

6. I avsnittet Medlemsdekrypteringsalternativ väljer du Key Connector.

7. I Key Connector-URL-ingången anger du adressen Key Connector körs på (som standard https://din.domän/key-connector) och välj knappen Testa för att säkerställa att du kan nå Key Connector.

8. Bläddra till botten av skärmen och välj Spara.