openbao：HashiCorp 之后，开源秘密管理工具的新选择

HashiCorp 把 Vault 改成商业授权后，社区一直在找一个开源替代品。openbao 就是答案——由 Vault 核心维护者等原班人马发起的开源分叉，目前 GitHub 上 7.8K stars、587 forks，用 Go 编写，Apache-2.0 许可证。

为什么需要 openbao

Vault 是基础设施安全领域的事实标准：管理 secrets（API 密钥、数据库密码）、证书、加密密钥。HashiCorp 2023 年把 Vault 的 BSL 授权改为商业许可后，很多团队被迫寻找替代方案。openbao 由 HashiCorp 前员工和社区维护者发起，保留了 Vault 的核心功能，采用 Apache-2.0 许可证。这意味着：你可以自由使用、修改、分发，不需要付授权费。

核心功能

• Secrets 管理：动态生成数据库凭据、云 API 密钥、TLS 证书，用完即毁，不留持久密钥
• 加密服务：AES、RSA、Ed25519 等算法的加密/解密/签名，支持硬件安全模块（HSM）集成
• 策略引擎：细粒度的访问控制，基于路径和角色的权限管理，支持 TTL 自动过期
• 多平台部署：Kubernetes Operator、Docker 镜像、裸机二进制，与 Terraform 集成

与 Vault 的兼容

openbao 的 API 与 Vault 高度兼容，很多 Vault 插件可以直接运行。迁移成本主要是：把 vault CLI 换成 openbao CLI，调整配置路径。对于已经深度集成 Vault 的团队，这个迁移成本值得评估——API 兼容度高，但 CLI 差异和配置格式需要逐一检查。

适用场景

• 从 Vault 迁移：不想付商业授权费，openbao 是最接近的替代，API 兼容度高
• 新项目：需要 secrets 管理但预算有限，openbao 免费且功能完整
• Kubernetes 环境：配合 External Secrets Operator 管理 Pod 的 secrets，动态凭据自动轮换

openbao 的出现说明：当商业公司改变开源项目授权时，社区会自发维护分叉。这是开源生态的韧性。但也要看到：openbao 的维护资源不如 HashiCorp 充裕，长期发展取决于社区贡献的持续性。如果你的团队正在用 Vault 且不想付授权费，openbao 是目前最成熟的开源替代。如果是新项目，可以直接选 openbao，省掉未来的迁移成本。

核心观点：openbao 是 Vault 最成熟的开源分叉，API 兼容度高，Apache-2.0 许可证。从 Vault 迁移或新项目都可以考虑，但长期稳定性取决于社区贡献的持续性。