Bonjour tout le monde,
C’était dans les tuyaux depuis un petit moment, Situphen m’a gentiment demandé quand est-ce que je pensais mettre ça en place, c’est un week-end de trois jours, autant de facteurs qui font que : on a maintenant une instance Vaultwarden pour stocker les mots de passe liés à l’association !
Pour qui ?
Pour toute personne investie dans l’association Zeste de Savoir qui possède ou a besoin de mots de passe en lien avec les activités liées à l’association. Par exemple :
- les mots de passe des boîtes mail de ZdS
- les mots de passe des comptes des réseaux sociaux
- les mots de passe des comptes liés à l’infrastructure technique
- etc.
L’objectif est qu’on ait un unique endroit où stocker ces mots de passes et où on peut facilement gérer qui a accès à quels mots de passe.
Où ?
C’est accessible à l’adresse https://vault.zestedesavoir.com.
En pratique, c’est hébergé sur le même serveur qui héberge Matomo. À terme, une copie de cette instance sera disponible en lecture seule sur le serveur de production, dans le cas où on ne pourrait plus accèder au serveur Matomo.
Comment ?
C’est une instance Vaultwarden. J’ai créé les scripts Ansible pour la déployer et ça fonctionne avec Vagrant dans une machine virtuelle avec Vagrant.
Je n’ai pas utilisé Vaultwarden pour le déploiement et j’ai tout fait manuellement pour deux raisons :
- le serveur qui héberge Matomo n’est pas géré par les scripts ansible-zestedesavoir
- Vaultwarden n’est pas disponible dans les dépôts Debian et demande une procédure manuelle pour obtenir un binaire
J’ai désactivé la fonctionnalité des "sends" (qui permet d’envoyer des fichiers de façon sécurisée si j’ai bien compris), les inscriptions (il faut que quelqu’un qui a déjà un compte vous ajoute) et la création d’organisations (après avoir créé l’organisation Zeste de Savoir). J’ai activé la fonctionnalité des groupes (bien que marquée comme bugguée, elle semble en fait assez stable).
Un point qui m’embête un peu, c’est que Vaultwarden utilise beaucoup les mails (pour activer son compte, pour accepter de rejoindre un groupe, etc). Ça veut dire que le serveur Matomo doit pouvoir envoyer des mails. On a deux possibilités pour ça :
- envoyer les mails directement depuis le serveur (comme on le fait pour la production), mais il faut bien configurer un serveur de mail, ce qui est difficile
- s’appuyer sur un serveur SMTP déjà existant, ce qu’on peut faire en utilisant le serveur de nos boîtes mail. L’inconvénient (le seul ?) est que le mot de la boîte mail utilisée doit être stocké dans un fichier sur le serveur.
J’ai choisi la seconde solution avec l’adresse technique@zds (le fichier de configuration n’est lisible que par Vaultwarden). Et ça fonctionne super bien.
Et maintenant ?
J’invite Situphen et Amaury pour qu’ils se créent un compte juste après avoir créé ce sujet, je pense qu’à eux deux ils vont pouvoir inviter toutes les personnes qui auraient besoin d’avoir accès à ce service.
L’idée est de créer des groupes dans l’organisation Zeste de Savoir (j’ai déjà créé le groupe Technique, par exemple) et d’attribuer une collection à chaque groupe. On peut ensuite gérer qui a accès à quel groupe.
Pas de sauvegarde pour l’instant, donc mettez-y les mots de passe déjà existants, pas de nouvelles informations pas sauvegardées ailleurs, prenez l’outil en main.
Et pour la suite ?
Si l’outil donne satisfaction, je mettrais en place la même instance, mais sur le serveur de production, qui récupérera quotidiennement les données du serveur Matomo. Bien que Vaultwarden ne propose pas de mécanisme de ce genre, cette instance sera en lecture seule : toute modification faite sur cette instance sera effacée lors de la prochaine récupération des données du serveur Matomo.
