Passbolt على VPS: خزنة مرور للفريق، بلا اشتراك

‏اتصل بـVPS عبر SSH وأنشئ دليلًا مخصصًا:

mkdir -p /opt/passbolt && cd /opt/passbolt
curl -fsSL https://raw.githubusercontent.com/passbolt/passbolt_docker/master/docker-compose/docker-compose-ce.yaml \
  -o docker-compose.yml

‏يحدد هذا الملف خدمتين: ‏db‏ (صورة ‏postgres:16‏) و‏passbolt‏ (صورة ‏passbolt/passbolt:latest-ce-non-root‏)، مع مجلدَين مسمَّيَين للحفاظ على البيانات. في بيئة الإنتاج، ثبّت إصدارًا محددًا — استبدل ‏latest-ce-non-root‏ بأحدث وسم إصدار مستقر على Docker Hub الرسمي.

‏أنشئ ملف ‏.env‏ في جذر الدليل. المتغيرات الأساسية المطلوبة:

APP_FULL_BASE_URL=https://passbolt.yourdomain.com
DATABASE_HOST=db
DATABASE_PORT=5432
DATABASE_NAME=passbolt
DATABASE_USERNAME=passbolt
DATABASE_PASSWORD=strong_password
POSTGRES_PASSWORD=strong_password
EMAIL_TRANSPORT_DEFAULT_HOST=smtp.yourprovider.com
EMAIL_TRANSPORT_DEFAULT_PORT=587
EMAIL_TRANSPORT_DEFAULT_TLS=true
[email protected]
EMAIL_TRANSPORT_DEFAULT_PASSWORD=smtp_password
[email protected]

‏يجب أن يبدأ ‏APP_FULL_BASE_URL‏ بـ‏https://‏ — يستخدم Passbolt هذه القيمة لبناء الروابط في رسائل الدعوة وكقاعدة لـJWT.

‏عدّل ‏docker-compose.yml‏ لإضافة شرط صحة على خدمة ‏db‏ — بدونه قد يبدأ Passbolt قبل أن يكون PostgreSQL جاهزًا لقبول الاتصالات، مما يسبب حلقة إعادة تشغيل:

# في خدمة db، تحت صورة postgres:16:
healthcheck:
  test: ["CMD-SHELL", "pg_isready -U passbolt"]
  interval: 10s
  timeout: 5s
  retries: 5

# في خدمة passbolt:
depends_on:
  db:
    condition: service_healthy

ثم شغّل الحزمة:

docker compose up -d
docker compose logs -f passbolt

انتظر حتى تشير السجلات إلى اكتمال تهيئة GPG قبل المتابعة.

‏عند الإقلاع الأول، يولّد Passbolt زوج مفاتيح GPG من جهة الخادم. استردّ البصمة — ستحتاجها عند إعادة تهيئة البيئة:

docker compose exec passbolt su -s /bin/bash -c \
  "gpg --home /var/lib/passbolt/.gnupg --list-keys" www-data

‏البصمة هي السلسلة السداسية العشرية المكونة من 40 حرفًا تحت سطر ‏pub‏. دوّنها: إذا لم تتطابق ‏PASSBOLT_GPG_SERVER_KEY_FINGERPRINT‏ مع المفتاح الموجود في حلقة مفاتيح الحاوية، سيرفض Passbolt الإقلاع بخطأ ‏The OpenPGP server key fingerprint does not match.

‏يجب تقديم Passbolt حصريًا عبر HTTPS. إذا كنت تستخدم nginx كوكيل عكسي على نفس الـVPS، مثال بسيط للإعداد:

server {
    listen 443 ssl;
    server_name passbolt.yourdomain.com;

    ssl_certificate     /etc/letsencrypt/live/passbolt.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/passbolt.yourdomain.com/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto https;
    }
}

‏احصل على شهادتك باستخدام Certbot‏ (‏certbot --nginx -d passbolt.yourdomain.com‏) قبل تفعيل الكتلة. لن يعمل امتداد متصفح Passbolt على نطاق HTTP أو بشهادة موقّعة ذاتيًا.

‏بمجرد تشغيل الحاوية وإتاحة النطاق عبر HTTPS، أنشئ حساب المسؤول:

docker compose exec passbolt su -s /bin/bash www-data \
  -c "/var/www/passbolt/bin/cake passbolt register_user \
  -u [email protected] \
  -f FirstName \
  -l LastName \
  -r admin"

تولّد الأمر رابط دعوة للاستخدام مرة واحدة. افتحه في المتصفح حيث امتداد Passbolt مثبّت — سيرشدك الامتداد لإعداد مفتاح GPG الشخصي. بعد تهيئة المسؤول، ادعُ أعضاء الفريق من الواجهة الإلكترونية.