Установка Passbolt на Debian 11

Что вы получите

• Самостоятельно размещаемый менеджер паролей с поддержкой OpenPGP.
• Возможность централизованного совместного доступа к учётным данным внутри команды.
• Шифрование данных на стороне сервера и интеграция с браузерными расширениями.

Краткое определение

Passbolt — это открытый менеджер паролей с поддержкой OpenPGP, рассчитанный на развёртывание в вашей инфраструктуре. OpenPGP — стандарт шифрования для безопасного обмена ключами и данными.

Основные сценарии использования

• Защищённое хранение логинов/паролей для команд и проектов.
• Совместное использование учётных данных между членами команды с разграничением доступа.
• Интеграция с браузерными расширениями для автозаполнения.

Особенности

• Бесплатная Community Edition и коммерческие подписки.
• Поддержка стандарта OpenPGP.
• Простая веб-оболочка и браузерные расширения для Firefox и Chrome.
• Импорт/экспорт паролей и ролевая модель доступа.

Изображения

Требования

• Сервер с Debian 11.
• Доступ root (локальный пароль или sudo).
• Доменное имя, указывающее на сервер, и проброшенные порты 80/443.

Подготовка системы

Перед установкой обновите список пакетов и установите необходимые зависимости. Команды выполняются от root или через sudo.

apt-get update -y

Установите зависимости и инструменты для HTTPS:

apt-get install apt-transport-https ca-certificates curl gnupg-agent software-properties-common -y

Установите Certbot для автоматического получения сертификатов Let’s Encrypt:

apt-get install certbot python3-certbot-nginx -y

Important: apt-key помечен как deprecated в более новых версиях APT. В оригинальном руководстве используется apt-key; ниже есть альтернатива через файловый хранилище ключей, если вы хотите избежать apt-key.

Добавление репозитория Passbolt

Passbolt CE по умолчанию отсутствует в репозиториях Debian, поэтому добавим официальный репозиторий.

Сначала импортируйте GPG-ключ:

apt-key adv --keyserver hkps://keys.mailvelope.com --recv-keys 0xDE8B853FC155581D

Ожидаемый вывод (пример):

Warning: apt-key is deprecated. Manage keyring files in trusted.gpg.d instead (see apt-key(8)).
Executing: /tmp/apt-key-gpghome.CHkhJsg8yu/gpg.1.sh --keyserver hkps://keys.mailvelope.com --recv-keys 0xDE8B853FC155581D
gpg: key DE8B853FC155581D: public key "Passbolt SA package signing key <[email protected]>" imported
gpg: Total number processed: 1
gpg:               imported: 1

Проверка отпечатка ключа:

apt-key fingerprint 0xDE8B853FC155581D

Добавление репозитория в APT:

echo "deb https://download.passbolt.com/ce/debian buster stable" | tee /etc/apt/sources.list.d/passbolt.list

Обновите списки пакетов:

apt-get update -y

Заметка: если вы хотите избегать apt-key, можно сохранить публичный ключ в /usr/share/keyrings и ссылаться на него через deb [signed-by=/usr/share/keyrings/passbolt.gpg] https://… Но подробный пример — в разделе альтернатив.

Установка Passbolt

Запустите установку пакета Passbolt Community Edition:

apt-get install passbolt-ce-server -y

Во время установки пакет проведёт вас через интерактивную конфигурацию базы данных и веб-сервера. Ниже — ключевые шаги и пояснения к подсказкам установщика.

1. Выберите Yes для автоматического создания базы данных.
2. Укажите MySQL/MariaDB root (админа) и его пароль.
3. Задайте пользователя базы данных для Passbolt и его пароль.
4. Укажите имя базы данных (по умолчанию можно оставить passbolt).
5. Выберите веб-сервер (Nginx рекомендуется) и установку типа auto.
6. Введите ваш домен (например, passbolt.example.com) и адрес электронной почты для Let’s Encrypt.

После успешного завершения Certbot должен выдать сообщение о сохранённом сертификате и ключе. Пример вывода:

Congratulations! You have successfully enabled https://passbolt.linuxbuz.com
...
Your certificate will expire on 2021-12-31. To obtain a new or tweaked version of this certificate in the future, simply run certbot again with the "certonly" option. To non-interactively renew *all* of your certificates, run "certbot renew"

Important: Запишите путь к сертификату и ключу (/etc/letsencrypt/live/your.domain/…). Настройте автоматическое обновление через cron или systemd timer для certbot renew.

Доступ к веб-интерфейсу и первичная настройка

Откройте в браузере https://ваш-домен. Вы увидите приветственный мастер настройki.

Действия в мастере:

• Нажмите Get Started и затем Start Configuration.
• Заполните параметры подключения к базе данных.
• Сгенерируйте либо импортируйте OpenPGP ключ сервера (Passbolt использует OpenPGP для шифрования секретных данных).
• Укажите SMTP-сервер для уведомлений и приглашений.
• Создайте администратора (email и имя).
• Установите расширение браузера Passbolt и активируйте его для пользователя администратора.

Минимальный рабочий результат — вы видите дашборд Passbolt и можете добавлять пользователей и хранилища паролей.

Проверка установки

• Перейдите по HTTPS и убедитесь, что страница доступна.
• Авторизуйтесь как админ и проверьте возможность создания нового сейфа/пароля.
• Убедитесь, что браузерное расширение распознало сервер и ваш ключ OpenPGP.

Что делать, если что-то пошло не так

• Nginx не стартует: проверьте конфигурацию сайта и логи /var/log/nginx/error.log.
• Certbot не получил сертификат: проверьте, что домен указывает на сервер и порты 80/443 доступны.
• Ошибки подключения к БД: убедитесь, что MySQL/MariaDB запущены и учетные данные верны, проверьте права у пользователя базы.
• Плагин браузера не видит сервер: обновите страницу и перезапустите расширение; посмотрите логи браузера для отладки.

Полезные команды для отладки:

systemctl status nginx
journalctl -u nginx -n 200
systemctl status mariadb
tail -n 200 /var/log/nginx/error.log
tail -n 200 /var/log/passbolt/error.log

Альтернативные варианты установки

1. Docker Compose: официальный образ passbolt/passbolt доступен и упрощает развёртывание в контейнерах вместе с базой и реверс-прокси.
2. Kubernetes: Helm chart для production-развёртываний с автоматическим масштабированием и секретами в K8s.
3. Ручная установка (PHP, Nginx, Composer): полезна для глубокого кастомизированного окружения.

Mermaid: простая диаграмма для выбора способа установки

flowchart TD
  A[Нужна быстрая установка?] -->|Да| B[Docker Compose]
  A -->|Нет, нужна интеграция и масштаб| C[Kubernetes]
  A -->|Минимальные зависимости| D[Пакетная установка 'apt']
  B --> E[Развёртывание локально или на VM]
  C --> F[CI/CD + секреты]
  D --> G[Подходит для одиночного сервера]

Ролевые чеклисты

Администратор:

• Подготовить сервер и домен.
• Настроить брандмауэр (разрешить 80/443).
• Проверить резервное копирование базы данных и конфигурации.

DevOps:

• Настроить автоматическое продление сертификатов (certbot renew).
• Интегрировать мониторинг (качество SSL, состояние сервисов).

Обычный пользователь:

• Установить расширение браузера.
• Создать персональную фразу-пароль и сохранить приватный ключ безопасно.

Безопасность и рекомендации

• Всегда держите систему и Passbolt обновлёнными.
• Делайте резервные копии базы данных и файлов конфигурации до обновления.
• Настройте fail2ban и ограничьте доступ по SSH.
• Храните приватные ключи OpenPGP в защищённом месте; желательна аппаратная поддержка (HSM/SmartCard) для критичных инсталляций.

Соображения по конфиденциальности и соответствию (GDPR)

• Passbolt хранит зашифрованные секреты и метаданные; передача персональных данных через SMTP должна быть документирована.
• Для соответствия GDPR убедитесь в наличии договоров с провайдерами хостинга и политике retention для данных пользователей.

Модель зрелости развёртывания

• Уровень 1 — локальный сервер, небольшая команда, ручное резервирование.
• Уровень 2 — автоматизированные бэкапы, мониторинг, сертификаты с автообновлением.
• Уровень 3 — HA-инфраструктура, K8s, HSM для ключей, аудит и интеграция с IAM.

Критерии приёмки

• Веб-интерфейс доступен по HTTPS.
• Администратор может войти и создать пользователя.
• База данных создана и отвечает на запросы.
• Сертификат Let’s Encrypt корректен и настроено автоматическое продление.

Плейбук установки — краткий SOP

1. Обновить систему: apt-get update && apt-get upgrade.
2. Установить зависимости и certbot.
3. Добавить репозиторий Passbolt и импортировать GPG-ключ.
4. apt-get install passbolt-ce-server.
5. Следовать мастеру установки (DB, веб-сервер, домен, email).
6. Проверить доступность по HTTPS и завершить мастер в браузере.

План возврата (rollback) при неудаче

• Если установка нарушила систему, остановите сервисы и восстановите конфигурации из бэкапа.
• Восстановите базу данных из последней валидной резервной копии.
• Откат пакетов apt через apt-get install –reinstall или использование снимков VM.

Тесты приёмки

• Тест подключения: curl -k https://ваш-домен/health или проверка ответа nginx.
• Функционал: создание записи пароля, шеринга и вход другого пользователя.
• Безопасность: проверка SSL через sslscan/ssllabs.

Часто задаваемые вопросы

Как обновить Passbolt?

Обновление происходит через apt: сначала обновите репозиторий (apt-get update), затем apt-get upgrade или apt-get install –only-upgrade passbolt-ce-server. Перед обновлением сделайте бэкап БД и конфигурации.

Можно ли использовать PostgreSQL?

На момент данного руководства Passbolt официально поддерживает MySQL/MariaDB; для PostgreSQL потребуются дополнительные шаги и проверка совместимости.

Что делать, если apt-key больше не поддерживается?

Рекомендация: импортировать публичный ключ в /usr/share/keyrings/passbolt.gpg и в sources.list.d указать параметр [signed-by=/usr/share/keyrings/passbolt.gpg]. Это устраняет предупреждение deprecation и сохраняет ключ локально.

Заключение

Установка Passbolt на Debian 11 — относительно прямой процесс: добавление репозитория, установка пакета и прохождение мастера конфигурации. Для production рекомендуется дополнительно настроить мониторинг, бэкапы, автоматическое обновление сертификатов и жесткую политику управления ключами.

Important: перед переходом в рабочую эксплуатацию проверьте процедуру восстановления ключей и резервного копирования базы данных.