Vaultwarden 管理与备份实战：Admin 面板、SQLite 备份、迁移到新服务器全流程

Vaultwarden 管理与备份实战Admin 面板、SQLite 备份、迁移到新服务器全流程简介Vaultwarden 作为 Bitwarden 的轻量级替代方案已经帮助许多用户实现了私有密码管理。然而仅仅完成部署还不够——如何安全管理用户、如何避免数据丢失、如何平滑迁移服务器才是运维的核心挑战。本文从运维管理与数据安全角度出发详细讲解 Admin 面板配置、SQLite 自动备份、rclone 云端同步以及迁移新服务器的完整流程。服务器配置Vaultwarden 资源占用极低选择 雨云 rainyuncom注册填2026off领 5 折选择1 核 2GB 机型即可轻松支撑家庭或小团队的密码管理需求稳定可靠。系统推荐 Debian 12 或 Ubuntu 22.04预装 Docker 和 Docker Compose。前置准备确保以下工具已安装# 安装 Docker 和 Composeaptupdateaptinstall-ydocker.io docker-compose-plugin# 安装 rclone用于云端备份curlhttps://rclone.org/install.sh|bash# 安装 SQLite 工具用于手动检查数据库aptinstall-ysqlite3生成 Admin Token重要用于访问管理面板# 生成随机强密码作为 Admin Tokenopenssl rand-base6448# 将输出保存好后续填入环境变量部署步骤Docker Compose 配置version:3.9services:vaultwarden:image:vaultwarden/server:latestcontainer_name:vaultwardenrestart:unless-stoppedports:-8080:80environment:# Admin 面板 Token必须设置强密码-ADMIN_TOKENyour_generated_token_here# 关闭公开注册仅通过 Admin 面板添加用户-SIGNUPS_ALLOWEDfalse# 允许邀请注册-INVITATIONS_ALLOWEDtrue# 邮件配置SMTP-SMTP_HOSTsmtp.gmail.com-SMTP_PORT587-SMTP_SECURITYstarttls-SMTP_USERNAMEyourgmail.com-SMTP_PASSWORDyour_app_password-SMTP_FROMyourgmail.com-SMTP_FROM_NAMEVaultwarden# 网站 URL必须与实际访问地址一致-DOMAINhttps://vault.yourdomain.com# 开启 Web Vault-WEB_VAULT_ENABLEDtruevolumes:-./data:/data# 可选Caddy 反向代理自动 HTTPScaddy:image:caddy:latestcontainer_name:caddyrestart:unless-stoppedports:-80:80-443:443volumes:-./Caddyfile:/etc/caddy/Caddyfile-caddy_data:/data-caddy_config:/configvolumes:caddy_data:caddy_config:Caddyfile 示例vault.yourdomain.com { reverse_proxy vaultwarden:80 }启动服务dockercompose up-ddockerlogs-fvaultwarden核心配置详解Admin 面板配置访问https://vault.yourdomain.com/admin输入 Admin Token 后进入管理界面。用户管理邀请用户General Settings → Invite User填写邮箱发送邀请删除用户Users → 找到目标用户 → Delete重置密码提示Vaultwarden 不能直接修改用户主密码零知识加密但可以让用户通过账号恢复流程重置组织管理Admin 面板可查看所有组织但建议日常组织操作在 Web Vault 中由组织所有者执行。全局设置调整无需重启禁用/启用注册调整 2FA 策略设置密码提示显示策略用户邮件设置验证发送测试邮件确认 SMTP 配置正确# 在 Admin 面板 → Diagnostics → Send test email# 或通过 API 测试curl-XPOST https://vault.yourdomain.com/admin/test/smtp\-HCookie: VW_ADMINyour_token\-demailtestexample.com进阶功能SQLite 自动备份脚本Vaultwarden 数据存储在./data/db.sqlite3。SQLite 的热备份需要使用.backup命令而不是直接复制文件直接复制可能导致数据不一致。创建备份脚本/opt/vaultwarden-backup.sh#!/bin/bashset-euopipefail# 配置DATA_DIR/opt/vaultwarden/dataBACKUP_DIR/opt/vaultwarden/backupsDATE$(date%Y%m%d-%H%M%S)BACKUP_FILE$BACKUP_DIR/db-$DATE.sqlite3KEEP_DAYS7# 创建备份目录mkdir-p$BACKUP_DIR# SQLite 热备份无需停止服务sqlite3$DATA_DIR/db.sqlite3.backup $BACKUP_FILE# 同时备份 attachments 和 configtarczf$BACKUP_DIR/attachments-$DATE.tar.gz-C$DATA_DIRattachments config.json2/dev/null||true# 压缩 SQLite 备份gzip$BACKUP_FILEecho[$(date)] 备份完成$BACKUP_FILE.gz# 清理超过保留天数的备份find$BACKUP_DIR-name*.gz-mtime$KEEP_DAYS-deleteecho[$(date)] 已清理$KEEP_DAYS天前的旧备份赋权并测试chmodx /opt/vaultwarden-backup.sh /opt/vaultwarden-backup.sh设置定时任务每天凌晨 3 点执行crontab-e# 添加以下行03* * * /opt/vaultwarden-backup.sh/var/log/vaultwarden-backup.log21rclone 云端同步将备份上传至 Google Drive / S3 / Backblaze 等云存储# 配置 rclone交互式rclone config# 按提示选择存储类型gdrive / s3 / b2并完成授权# 测试上传rclone copy /opt/vaultwarden/backups gdrive:vaultwarden-backups/# 将云端同步加入备份脚本末尾rclone copy$BACKUP_DIRgdrive:vaultwarden-backups/ --max-age 24h创建完整备份上传脚本只需在原脚本末尾追加 rclone 命令即可实现本地云端双重保险。迁移到新服务器详解第一步在旧服务器执行最终备份# 停止 Vaultwarden确保数据一致性dockercompose stop vaultwarden# 备份完整 data 目录tarczf /tmp/vaultwarden-full-backup.tar.gz-C/opt/vaultwarden data/# 重启备份完成后恢复服务dockercompose start vaultwarden第二步传输数据到新服务器# 从旧服务器上传到新服务器scp/tmp/vaultwarden-full-backup.tar.gz rootnew-server-ip:/opt/vaultwarden/第三步在新服务器恢复# 在新服务器准备目录mkdir-p/opt/vaultwardencd/opt/vaultwarden# 解压数据tarxzf vaultwarden-full-backup.tar.gz# 部署 docker-compose.yml同旧服务器注意修改 DOMAIN 为新域名# 启动服务dockercompose up-d# 验证数据库完整性sqlite3 data/db.sqlite3PRAGMA integrity_check;# 输出 ok 表示数据完好第四步DNS 切换与验证将域名解析指向新服务器 IP等待 DNS 生效后用一个非主要账号测试登录确认密码库可正常访问和同步。常见问题QAdmin Token 忘记了怎么办A修改docker-compose.yml中的ADMIN_TOKEN环境变量然后docker compose up -d重新部署即可不影响用户数据。Q备份后用 sqlite3 打开报错file is encryptedAVaultwarden 默认不加密 SQLite 文件如果报此错误说明使用了加密版本vaultwarden/server:alpine某些构建。改用.backup命令而非直接复制文件即可解决。Q迁移后用户登录报Invalid deviceA用户设备与旧服务器的 device UUID 绑定迁移后首次登录需要重新确认设备这是正常的安全机制告知用户检查邮件授权即可。QSMTP 邮件发送失败AGmail 需使用应用专用密码非账号密码在 Google 账号安全设置中生成 16 位应用密码填入SMTP_PASSWORD。做好定期备份和迁移演练是保障密码数据安全的最后一道防线。如果你需要一台可靠的私有密码服务器推荐选用 雨云服务器rainyun的1 核 2GB 机型用2026off享 5 折轻量低耗完全够用让你的 Vaultwarden 稳定运行、数据永不丢失。