Как установить Passbolt на Ubuntu 24.04

Предварительные требования

Для установки Passbolt нам потребуется:

сервер с Ubuntu Server 24.04 LTS;
доступ к серверу с правами sudo;
доменное имя, указывающее на сервер Passbolt;
SSL-сертификат либо возможность получить его в процессе настройки;
SMTP-сервер для отправки приглашений и служебных писем;
корректно настроенная синхронизация времени.

Для моей тестовой установки используется сервер со следующими ресурсами:

2 CPU;
2 ГБ оперативной памяти;
20 ГБ дискового пространства.

Установка Passbolt на Ubuntu 24.04

Шаг 1. Обновляем систему

Перед установкой обновляем информацию о пакетах и устанавливаем доступные обновления:

sudo apt update
sudo apt upgrade -y

После обновления можно переходить к подключению официального репозитория Passbolt.

Шаг 2. Загружаем скрипт настройки репозитория

Скачиваем официальный скрипт Passbolt:

curl -LO https://download.passbolt.com/ce/installer/passbolt-repo-setup.ce.sh

Шаг 3. Загружаем контрольную сумму

Перед запуском установочного скрипта проверим его целостность.

Загружаем файл SHA512:

curl -LO https://github.com/passbolt/passbolt-dep-scripts/releases/latest/download/passbolt-ce-SHA512SUM.txt

Шаг 4. Проверяем скрипт и запускаем его

Выполняем проверку контрольной суммы и при успешном результате запускаем скрипт:

sha512sum -c passbolt-ce-SHA512SUM.txt && sudo bash ./passbolt-repo-setup.ce.sh

Если проверка SHA512 завершилась ошибкой, установочный скрипт запускать не следует.

После выполнения скрипта официальный репозиторий Passbolt будет добавлен в систему.

Шаг 5. Устанавливаем Passbolt Community Edition

Теперь устанавливаем серверную часть Passbolt:

sudo apt install passbolt-ce-server

Пакетный менеджер рассчитает зависимости и покажет компоненты, которые будут установлены.

Подтверждаем установку:

Do you want to continue? [Y/n]

Вводим:

и нажимаем Enter.

Шаг 6. Настраиваем базу данных

Во время установки запускается интерактивный мастер настройки Passbolt.

Он предложит автоматически подготовить базу данных для приложения.

Настройка базы данных при установке Passbolt на Ubuntu 24.04

Если база данных располагается на этом же сервере и нам не требуется нестандартная конфигурация, выбираем:

Yes

Мастер сможет подготовить базу данных и отдельного пользователя для подключения Passbolt.

Далее необходимо указать пользователя СУБД, обладающего правами для первоначальной настройки.

Указание администратора базы данных при установке Passbolt

В моей установке используется локальный пользователь:

root

Если локальный root настроен на аутентификацию через Unix socket и пароль для него не используется, соответствующее поле мастера может оставаться пустым.

Ввод учётных данных MySQL при установке Passbolt

Эти административные учётные данные необходимы мастеру для первоначальной подготовки базы данных. Само приложение должно работать под отдельной учётной записью с необходимыми ему правами.

Создаём отдельного пользователя базы данных

На следующем этапе мастер предлагает указать пользователя, от имени которого Passbolt будет подключаться к своей базе данных.

Создание пользователя базы данных для Passbolt

В моём примере:

passboltadmin

Теперь задаём для него отдельный сложный пароль.

Создание пароля пользователя базы данных Passbolt

Повторяем пароль для подтверждения.

Подтверждение пароля пользователя базы данных Passbolt

Эти данные понадобятся далее при настройке подключения Passbolt к базе данных.

На следующем шаге задаём имя базы:

passboltdb

Создание базы данных passboltdb для Passbolt

После подтверждения мастер подготовит базу данных и необходимые параметры доступа.

Шаг 7. Настраиваем Nginx и HTTPS

Следующий этап — настройка веб-сервера.

В моём случае используется Nginx, и мастер Passbolt предлагает автоматически подготовить его конфигурацию.

Автоматическая настройка Nginx для Passbolt

Выбираем:

Yes

После этого мастер предлагает выбрать способ настройки HTTPS.

Доступны варианты:

none — не настраивать TLS на этом этапе;
manual — использовать существующий сертификат и закрытый ключ;
auto — автоматическая настройка сертификата.

Выбор способа настройки HTTPS для Passbolt

У меня уже есть wildcard-сертификат для домена, поэтому выбираю:

manual

Указываем доменное имя Passbolt

Мастер запросит полное доменное имя сервера.

В моей установке используется:

passbolt.itadminlab.ru

DNS-запись этого имени должна указывать на сервер, а используемый SSL-сертификат должен быть действителен для данного имени.

Подключаем существующий SSL-сертификат

Далее необходимо указать сертификат и соответствующий ему закрытый ключ.

В моём случае файлы сертификата заранее размещены на сервере.

Используются:

/etc/ssl/certs/itadminlab.ru.crt
/etc/ssl/certs/itadminlab.ru.key

Проверить сертификат можно, например, командой OpenSSL:

openssl x509 -in /etc/ssl/certs/itadminlab.ru.crt -noout -subject -issuer

Если OpenSSL корректно выводит информацию о сертификате, файл читается как PEM-сертификат.

Если сертификат действительно находится в DER, его можно преобразовать в PEM:

openssl x509 -inform DER \
-in /etc/ssl/certs/itadminlab.ru.crt \
-out /etc/ssl/certs/itadminlab.ru.pem

В моей установке сертификат уже подходит для использования, поэтому в мастере указываю существующий файл:

/etc/ssl/certs/itadminlab.ru.crt

Далее указываем соответствующий закрытый ключ:

/etc/ssl/certs/itadminlab.ru.key

Путь к закрытому ключу SSL-сертификата Passbolt

После ввода параметров мастер продолжит настройку компонентов Passbolt.

В процессе будут подготовлены необходимые конфигурационные файлы и криптографические компоненты приложения.

После успешного завершения серверная часть Passbolt установлена.

Настройка Passbolt через веб-интерфейс

Теперь переходим к первоначальной настройке самого приложения.

Открываем в браузере адрес:

https://passbolt.itadminlab.ru

Появится стартовый мастер Passbolt.

Первоначальная настройка Passbolt через веб-интерфейс

Шаг 1. Проверяем окружение — Healthcheck

Первым этапом Passbolt выполняет проверку окружения.

Healthcheck позволяет обнаружить проблемы с компонентами и конфигурацией сервера до продолжения установки.

Если мастер показывает ошибки, сначала устраняем их и только после этого продолжаем настройку.

После успешной проверки нажимаем:

Start configuration

Шаг 2. Настраиваем подключение к базе данных

Теперь указываем параметры базы данных, созданной ранее.

В моей конфигурации:

Database host: 127.0.0.1;
Port: 3306;
Username: passboltadmin;
Password: пароль, созданный на предыдущем этапе;
Database name: passboltdb.

Настройка подключения Passbolt к базе данных

Проверяем значения и нажимаем Next.

Шаг 3. Создаём OpenPGP-ключ сервера

На следующем этапе мастер предлагает создать или импортировать OpenPGP-ключ сервера Passbolt.

При новой установке создаём новый ключ.

В мастере указываем параметры, например:

Server Name: Passbolt Server;
Server Email: служебный email сервера;
Comment: при необходимости;
остальные криптографические параметры — в соответствии с доступными в используемой версии Passbolt настройками.

После заполнения нажимаем Next.

Если выполняется перенос существующего Passbolt, вместо генерации нового ключа необходимо использовать предусмотренный мастером вариант импорта существующего серверного ключа.

Шаг 4. Настраиваем основные параметры

На странице Options указываем основной URL Passbolt:

https://passbolt.itadminlab.ru

Адрес должен соответствовать тому доменному имени, по которому пользователи действительно будут открывать Passbolt.

Для параметра Force SSL в нашей конфигурации выбираем:

Yes

Поскольку HTTPS уже настроен, рабочий интерфейс Passbolt должен использовать защищённое соединение.

Шаг 5. Настраиваем SMTP

Passbolt использует email для приглашений пользователей и различных служебных уведомлений.

В моей установке собственного почтового сервера нет, поэтому используется внешний SMTP-сервис.

На странице Email configuration задаём имя и адрес отправителя, параметры SMTP-сервера, порт, тип защищённого соединения и данные аутентификации.

В случае Mail.ru параметры подключения необходимо брать из актуальных настроек используемого почтового сервиса. Для SMTP также может потребоваться отдельный пароль приложения.

В нашем случае учётной записью SMTP является:

Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в вашем браузере должен быть включен Javascript.

После заполнения настроек используем встроенную функцию Send test email.

Указываем тестовый адрес и отправляем письмо.

Если письмо успешно пришло, SMTP настроен правильно и можно нажимать Next.

Шаг 6. Создаём первого администратора Passbolt

Теперь создаём первую пользовательскую учётную запись.

Первый пользователь получает административные права.

Указываем:

имя;
фамилию;
рабочий email.

Создание первого администратора Passbolt

Email будет использоваться в том числе при работе с учётной записью и получении системных писем.

Нажимаем Next.

Шаг 7. Завершаем первоначальную конфигурацию

После ввода всех параметров Passbolt завершит первоначальную конфигурацию.

Завершение первоначальной конфигурации Passbolt

После этого переходим к настройке пользовательской учётной записи администратора.

Настройка учётной записи администратора

Шаг 1. Устанавливаем браузерное расширение Passbolt

Для полноценной работы с Passbolt устанавливаем официальное браузерное расширение.

При первоначальной настройке Passbolt предложит установить подходящее расширение для используемого браузера.

Установка браузерного расширения Passbolt

После установки расширения возвращаемся на страницу Passbolt и продолжаем настройку.

Шаг 2. Проверяем расширение

Если расширение установлено и корректно обнаружено, Passbolt покажет соответствующее сообщение.

Passbolt обнаружил установленное браузерное расширение

Нажимаем Следующий.

Шаг 3. Создаём пользовательский криптографический ключ

Теперь Passbolt предлагает создать или импортировать личный криптографический ключ пользователя.

Для новой учётной записи создаём новый ключ и задаём парольную фразу.

Создание парольной фразы администратора Passbolt

Парольная фраза защищает закрытый ключ пользователя и будет регулярно использоваться при работе с Passbolt.

Для неё рекомендуется:

использовать длинную уникальную фразу;
не использовать пароль от другого сервиса;
не передавать её другим пользователям;
не хранить её в открытом виде.

Шаг 4. Сохраняем Recovery Kit

После создания пользовательского ключа Passbolt предлагает сохранить Recovery Kit.

В него входит закрытый ключ пользователя, необходимый для восстановления или переноса учётной записи.

Сохранение Recovery Kit администратора Passbolt

После сохранения подтверждаем, что ключ помещён в надёжное место, и продолжаем настройку.

Шаг 5. Настраиваем Security Token

На следующем этапе задаём Security Token.

Он состоит из выбранного цвета и трёх символов.

Этот визуальный элемент отображается при определённых операциях с Passbolt и помогает пользователю распознавать ожидаемый интерфейс расширения.

Выбираем цвет, задаём три символа и нажимаем Следующий.

Шаг 6. Проверяем результат

После завершения настройки открывается основной интерфейс Passbolt.

Теперь:

сервер Passbolt установлен;
HTTPS настроен;
база данных подключена;
SMTP проверен;
создан первый администратор;
создан пользовательский криптографический ключ;
сохранён Recovery Kit;
браузерное расширение подключено.

На этом установка и первоначальная настройка Passbolt завершены.

Что делать после установки Passbolt

Сам сервер уже работает, но до полноценного использования в организации необходимо настроить структуру доступа.

Следующие шаги:

проверить и настроить email-уведомления;
создать пользователей;
объединить сотрудников в группы;
создать общие папки;
настроить права доступа;
добавить первые пароли;
проверить работу браузерного расширения.

Все эти действия подробно разберём во второй части.

FAQ

Можно ли установить Passbolt на Ubuntu Server 24.04?

Да. В этой инструкции Passbolt Community Edition устанавливается на Ubuntu Server 24.04 LTS с использованием официального пакетного репозитория Passbolt.

Нужен ли HTTPS для Passbolt?

Для рабочей эксплуатации менеджера паролей следует использовать HTTPS. В рассматриваемой конфигурации Nginx работает с существующим SSL-сертификатом, а Passbolt настроен на использование защищённого URL.

Можно ли использовать wildcard-сертификат?

Да, если сертификат действителен для доменного имени, по которому работает Passbolt, и Nginx получает корректный сертификат, цепочку сертификатов и соответствующий закрытый ключ.

Для чего Passbolt нужен SMTP?

Email используется для приглашений пользователей и служебных уведомлений. После настройки SMTP желательно сразу выполнить тестовую отправку письма.

Для чего нужен Recovery Kit?

Recovery Kit содержит закрытый ключ пользователя и используется в сценариях восстановления или переноса учётной записи. Файл необходимо хранить в защищённом месте.

Можно ли использовать один Recovery Kit для всех пользователей?

Нет. Криптографические ключи относятся к конкретным пользователям. Каждый пользователь должен безопасно обращаться со своими данными восстановления в соответствии с принятой в организации политикой.

Что делать после установки Passbolt?

После серверной установки необходимо организовать пользователей и группы, создать структуру общих папок, назначить права и определить правила хранения и совместного использования учётных данных.

Заключение

В этой статье мы установили Passbolt Community Edition на Ubuntu Server 24.04 LTS и выполнили первоначальную настройку системы.

Подключили официальный репозиторий, установили серверную часть Passbolt, подготовили базу данных, настроили Nginx и HTTPS, после чего завершили конфигурацию через веб-интерфейс.

Также настроили SMTP, создали первого администратора, установили браузерное расширение, создали пользовательский криптографический ключ и сохранили Recovery Kit.

Теперь сервер Passbolt готов к следующему этапу — организации командной работы: созданию пользователей и групп, общих папок, распределению прав доступа и сохранению первых рабочих паролей.

Продолжение: Passbolt: базовая настройка и начало работы.