https://u-rei.com/tags/terraform/Recent content in Terraform on U-REI.comHugoja-JP2023-2026 Kosuke UchidaMon, 10 Aug 2026 23:00:00 +0900https://u-rei.com/posts/2026/08/2026-08-09-vaultwarden-gcp-terraform-declarative-ops/Mon, 10 Aug 2026 23:00:00 +0900https://u-rei.com/posts/2026/08/2026-08-09-vaultwarden-gcp-terraform-declarative-ops/<p>パスワードマネージャーを自前ホストするなら、Bitwarden 互換の軽量サーバー実装である Vaultwarden が定番の選択肢だ。ただ、動かすだけなら Docker Compose 一発で済むところを、ぼくのプロジェクトでは GCP + Terraform + GitHub Actions + Tailscale を組み合わせて、それなりに作り込んだ運用基盤にしている。</p> <p>意識したことはいくつかあり、主には可用性・信頼性・セキュリティだ。<strong>Vaultwarden の <code>/admin</code> パネルは「招待リンクを見る」以外の用途では触らない。</strong> サインアップ制限、2段階認証の許可手段、SMTP、管理パネルそのものの保護方式まで、設定はすべて環境変数・Terraform・GitHub Actions のどこかに書いてあり、git の差分として残る。この記事ではその全体像を、インフラ層 → コンテナ設定 → ネットワーク境界 → デプロイパイプライン → バックアップの順に紹介する。</p> <h1 id="全体構成">全体構成</h1> <pre class="mermaid">flowchart TD GHA[&#34;GitHub Actions&lt;br/&gt;(WIF, 承認ゲート付き)&#34;] --&gt;|IAPトンネル経由でデプロイ| Caddy subgraph VM[&#34;GCP e2-micro VM (asia-northeast1)&#34;] Caddy[&#34;Caddy&lt;br/&gt;:80 / :443&#34;] VW[&#34;Vaultwarden&lt;br/&gt;(docker internal)&#34;] TSServe[&#34;tailscale serve&lt;br/&gt;tailnet経由の /admin&#34;] Disk[(&#34;Persistent Disk&lt;br/&gt;SQLite / 添付 / 鍵&#34;)] Timer[&#34;systemd timer&#34;] Caddy --&gt;|reverse_proxy| VW Caddy --&gt;|&#34;:8080 (127.0.0.1のみ)&#34;| TSServe VW -.-&gt;|データ永続化| Disk Timer --&gt;|毎日rsync| NAS end NAS[(&#34;自宅 Synology NAS&#34;)]</pre> <h1 id="1-インフラ-gcpに最安構成でしかし守るべき所は守る">1. インフラ: GCPに最安構成で、しかし守るべき所は守る</h1> <p>Terraform でプロビジョニングしているのは以下の通り(<code>terraform/main/</code>)。</p>