Passbolt: базовая настройка и начало работы

Базовая настройка Passbolt

Начнём с простого рабочего сценария. Нам необходимо подготовить Passbolt для небольшой команды:

• убрать лишние email-уведомления;
• создать пользователя;
• объединить пользователей в группу;
• создать общую папку;
• выдать группе доступ к этой папке;
• добавить общий пароль;
• проверить автоподстановку учётных данных через расширение Passbolt.

В результате получим базовую рабочую конфигурацию, которую уже можно использовать для совместного хранения учётных данных.

Шаг 1. Настраиваем email-уведомления

Passbolt может отправлять пользователям email-уведомления о различных действиях в системе. В рабочей среде большое количество таких писем быстро начинает мешать, поэтому первым делом имеет смысл проверить настройки уведомлений.

В правом верхнем углу интерфейса нажимаем на значок шестерёнки, выбираем Настройки организации и переходим в раздел Уведомления по email.

Здесь отображаются события, по которым Passbolt может отправлять письма пользователям.

В зависимости от того, как вы планируете использовать систему, можно пересмотреть уведомления о:

• создании и изменении паролей;
• комментариях;
• операциях с папками;
• изменениях в группах;
• изменении прав доступа.

После внесения изменений нажимаем Сохранить.

Шаг 2. Создаём пользователя

Теперь добавим в Passbolt ещё одного пользователя.

В правом верхнем углу снова нажимаем на значок шестерёнки и открываем раздел Управление пользователями и группами.

В этом разделе можно создавать пользователей и группы и управлять их составом.

Нажимаем Создать и выбираем:

Пользователь

В окне Добавить пользователя заполняем данные.

В нашем примере:

• Имя: Иван;
• Фамилия: Иванов;
• Имя пользователя / Email: Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в вашем браузере должен быть включен Javascript.;
• Роль: Пользователь.

После заполнения данных нажимаем Сохранить.

Активируем нового пользователя

После создания учётной записи пользователь должен пройти первоначальную настройку Passbolt.

Для проверки я открываю Passbolt в другом браузере или режиме инкогнито, устанавливаю браузерное расширение и перехожу к начальной настройке пользователя.

Указываем email:

Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в вашем браузере должен быть включен Javascript.

Принимаем необходимые условия и продолжаем настройку.

Passbolt отправит пользователю письмо с приглашением или ссылкой для продолжения регистрации.

Открываем письмо и переходим по полученной ссылке. Если письмо не пришло, дополнительно проверяем папку Спам.

Создаём парольную фразу

После перехода по ссылке начинается настройка криптографических данных пользователя.

На первом этапе необходимо создать парольную фразу.

Парольная фраза используется для защиты закрытого ключа пользователя и потребуется при работе с Passbolt.

Вводим парольную фразу и нажимаем Следующий.

Сохраняем recovery kit

На следующем этапе Passbolt предлагает сохранить recovery kit пользователя.

В процессе настройки загружается файл, содержащий закрытый ключ пользователя. Он может понадобиться при восстановлении доступа, например после потери рабочего устройства или браузерного профиля.

После сохранения файла подтверждаем, что ключ сохранён в надёжном месте, и продолжаем настройку.

Настраиваем security token

На следующем шаге Passbolt предлагает настроить security token.

Выбираем цвет и задаём три символа.

Security token используется как визуальный признак, помогающий пользователю распознать ожидаемый интерфейс Passbolt при запросе парольной фразы.

После выбора цвета и символов нажимаем Следующий.

После завершения настройки открывается основной интерфейс Passbolt.

Теперь:

• учётная запись активирована;
• создан криптографический ключ пользователя;
• сохранён recovery kit;
• браузерное расширение готово к работе.

Шаг 3. Создаём группу пользователей

Теперь вернёмся в Passbolt под учётной записью администратора и создадим группу.

Нажимаем:

Создать → Группа

В нашем примере создаём группу:

itadminlab

Добавляем в неё ранее созданного пользователя Иван Иванов.

Перед сохранением проверяем участников и роли.

В нашем примере:

• администратор является менеджером группы;
• Иван Иванов добавлен как участник.

Нажимаем Сохранить.

Шаг 4. Создаём общую папку

Переходим на главную страницу Passbolt, нажимаем Создать и выбираем:

Папка

Назовём её:

Servers

После создания папка появится в рабочем пространстве.

Теперь нажимаем на кнопку с тремя точками рядом с названием папки и выбираем Поделиться.

Настраиваем права на папку

В окне общего доступа добавляем группу:

itadminlab

И назначаем необходимый уровень прав.

В нашем случае администратор остаётся владельцем папки, а группе itadminlab выдаём право:

Может обновлять

Такой уровень доступа позволяет участникам работать с содержимым общей папки без передачи им прав владельца.

Нажимаем Сохранить.

Для подтверждения операции Passbolt может запросить парольную фразу текущего пользователя.

Вводим парольную фразу и подтверждаем операцию.

Теперь проверим результат под пользователем Иван Иванов.

После обновления страницы папка Servers появилась в его рабочем пространстве.

Значит, права группы применились корректно.

Шаг 5. Создаём пароль в общей папке

Теперь добавим первый ресурс.

Для примера создадим учётные данные для сайта Ситилинк.

Нажимаем:

Создать → Пароль

В окне создания ресурса заполняем:

• Название: Citilink;
• Расположение: Servers;
• URL: https://www.citilink.ru/;
• Имя пользователя: логин от сайта;
• Пароль: существующий пароль или новый пароль, созданный генератором.

При необходимости добавляем дополнительную информацию и нажимаем Создать.

После сохранения ресурс появляется в папке Servers.

Теперь пользователи, которым предоставлен соответствующий доступ к папке и ресурсу, смогут использовать сохранённые учётные данные в рамках назначенных разрешений.

Шаг 6. Проверяем браузерное расширение Passbolt

Теперь проверим Passbolt в обычной работе.

Открываем сайт, для которого только что сохранили учётные данные, и переходим к форме авторизации.

В поле ввода появляется значок браузерного расширения Passbolt.

Нажимаем на значок Passbolt и выбираем сохранённый ресурс.

Расширение предложит подходящие учётные данные, после чего их можно использовать для заполнения формы входа без ручного копирования логина и пароля из хранилища.

На этом базовый рабочий сценарий готов:

Пользователь
     ↓
Группа
     ↓
Общая папка
     ↓
Права доступа
     ↓
Ресурс с паролем
     ↓
Браузерное расширение

Что важно настроить перед рабочей эксплуатацией

Мы разобрали базовый сценарий, но перед массовым переносом реальных учётных данных я рекомендую отдельно продумать организационную модель Passbolt.

В частности:

• кто будет администратором системы;
• кто будет менеджером каждой группы;
• какие группы соответствуют подразделениям или командам;
• кто имеет право только читать пароли, а кто может их изменять;
• как будут храниться recovery kit пользователей;
• как будет происходить отзыв доступа при увольнении сотрудника;
• какие email-уведомления действительно необходимо сохранить.

FAQ

Для чего нужны группы в Passbolt?

Группы позволяют централизованно выдавать доступ нескольким пользователям. Вместо настройки каждого сотрудника отдельно можно предоставить доступ группе и в дальнейшем управлять только её составом.

Можно ли создать общую папку с паролями для отдела?

Да. Создайте папку, предоставьте доступ соответствующей группе и назначьте необходимый уровень разрешений. После этого ресурсы внутри общей структуры будут доступны пользователям в соответствии с выданными правами.

Что такое recovery kit в Passbolt?

В процессе первоначальной настройки пользователь получает файл с закрытым криптографическим ключом. Он может понадобиться при восстановлении доступа на новом устройстве или после потери локальной конфигурации Passbolt. Хранить такой файл необходимо в защищённом месте.

Можно ли передать recovery kit администратору?

Закрытый ключ пользователя является чувствительным криптографическим материалом. Порядок его резервного хранения должен определяться принятой в организации политикой безопасности. Оставлять recovery kit в общедоступном месте или пересылать его без защиты нельзя.

Нужно ли давать всем пользователям роль администратора?

Нет. Административные права следует выдавать только тем сотрудникам, которым они действительно необходимы. Для обычной работы с доступными пользователю паролями достаточно стандартной роли и соответствующих разрешений.

Можно ли использовать Passbolt для автозаполнения логина и пароля?

Да. Браузерное расширение Passbolt позволяет использовать сохранённые ресурсы при работе с формами авторизации на сайтах.

Что лучше: выдавать доступ пользователям или группам?

Для командной работы удобнее использовать группы. Это упрощает выдачу и отзыв доступа при изменении состава сотрудников и уменьшает количество индивидуальных настроек.

Заключение

В этой статье мы выполнили базовую настройку Passbolt после установки и прошли весь основной сценарий командной работы.

Сначала настроили email-уведомления, затем создали нового пользователя и прошли его первоначальную активацию: задали парольную фразу, сохранили recovery kit и настроили security token.

После этого создали группу itadminlab, подготовили общую папку Servers и выдали группе права на работу с её содержимым. В общей папке сохранили первый пароль и проверили его использование через браузерное расширение Passbolt.

Такая схема уже позволяет перейти от хранения общих паролей в таблицах, документах и переписках к централизованной модели, где доступ к учётным данным контролируется через пользователей, группы и разрешения.

Следующий логичный этап — настроить структуру групп и прав уже под реальную организацию, определить правила хранения recovery kit и продумать процесс выдачи и отзыва доступа сотрудников.

Если Passbolt у вас ещё не установлен или нужно повторить установку с нуля, смотрите первую часть: Как установить Passbolt на Ubuntu 24.04.