Bitwarden CLI: управление паролями из терминала и автоматизация CI/CD

В предыдущей статье мы развернули собственный сервер Vaultwarden. Сегодня — как работать с ним из консоли и встроить в автоматизацию.

Bitwarden CLI (утилита bw) — официальный инструмент командной строки с открытым исходным кодом. Позволяет находить доступы прямо в терминале и безопасно пробрасывать секреты в скрипты и пайплайны (GitHub Actions, GitLab CI и др.). Полностью бесплатен и совместим с self-hosted Vaultwarden.

1. Установка

# Через NPM (любая ОС)
npm install -g @bitwarden/cli

# macOS
brew install bitwarden-cli

# Linux (Ubuntu/Debian)
sudo snap install bw

Проверяем:

bw --version

2. Подключение к своему серверу

По умолчанию CLI смотрит на облако Bitwarden. Переключаем на Vaultwarden:

bw config server https://vault.yourdomain.com

3. Аутентификация: два сценария

Сценарий А: Интерактивный вход (личный ПК)

bw login

Сценарий Б: Неинтерактивный вход (CI/CD)

Генерируем API-ключи в веб-интерфейсе: Настройки аккаунта → Безопасность → Ключи API, затем:

export BW_CLIENTID="user.xxxxx-xxxx-xxxx"
export BW_CLIENTSECRET="xxxxxxxxxxxxxx"

bw login --apikey

4. Разблокировка хранилища и BW_SESSION

login только авторизует на сервере — данные ещё зашифрованы. Чтобы их расшифровать:

bw unlock

Система вернёт токен сессии:

export BW_SESSION="AI39...=="

Скопируйте и выполните эту строку. Пока установлена переменная $BW_SESSION, utillта расшифровывает пароли локально в памяти без запроса мастер-пароля при каждой команде.

В скриптах — одной строкой:

export BW_SESSION=$(bw unlock --passwordenv BW_PASSWORD --raw)

5. Основные команды

Скопировать пароль в буфер (Linux):

bw get password github | xclip -selection clipboard

6. Шаблон скрипта для CI/CD

#!/usr/bin/env bash
set -e

# 1. Адрес сервера
bw config server https://vault.yourdomain.com

# 2. Логин по API-ключам (BW_CLIENTID и BW_CLIENTSECRET — в переменных окружения CI)
bw login --apikey

# 3. Разблокировка
export BW_SESSION=$(bw unlock --passwordenv BW_PASSWORD --raw)

# 4. Получаем секрет по ID элемента
# ID узнать заранее: bw list items --search "my-db"
DB_PASS=$(bw get item "8a562df1-443b-4892-baee-b123456789ab" | jq -r '.login.password')

echo "Запуск деплоя..."
# ./deploy.sh --pass=$DB_PASS

# 5. Завершаем сессию
bw logout

Правила безопасности

1. Не храните BW_SESSION на диске — только в памяти текущей сессии или процесса CI/CD.
2. Всегда вызывайте bw logout в конце скриптов — очищает локальные зашифрованные кэши.
3. Маскируйте вывод в CI/CD — используйте механизмы маскирования секретов (::add-mask:: в GitHub Actions), чтобы пароли не попали в публичные логи.

Итог

Bitwarden CLI превращает Vaultwarden в полноценное хранилище секретов для инфраструктуры. Хардкод-паролям в конфиге и Git-репозиториях — конец.

Если Vaultwarden ещё не развёрнут — начните с предыдущей статьи: Vaultwarden за 30 минут.