OpenBao en production : Kubernetes HA sur Raft et PostgreSQL, namespaces, seals et auth methods
Installer OpenBao sous Docker Compose puis sur Kubernetes en HA, sur Raft ou PostgreSQL, le faire se desceller seul par static seal ou HSM PKCS#11, isoler des équipes par namespace, les authentifier, leur servir secrets, certificats et chiffrement, et migrer depuis Vault.
OpenBao est un gestionnaire de secrets : il garde, distribue et fait tourner les mots de passe, clés d'API, certificats et clés de chiffrement d'une organisation, et n'en donne l'accès qu'à une identité authentifiée et autorisée par une policy. Il sait aussi fabriquer des secrets à la demande, comme un compte de base de données qui expire seul, ou chiffrer des données sans que la clé sorte jamais.
OpenBao est un fork de HashiCorp Vault, né quand Vault est passé sous licence BSL. Il est publié sous licence MPL 2.0, et propose sans édition payante les namespaces, qui isolent plusieurs équipes dans un même serveur, ainsi qu'un stockage PostgreSQL au même rang que Raft. OpenBao est un projet sandbox de l'OpenSSF, au sein de la Linux Foundation. Le repo github : github.com/openbao/openbao.
- Module 01 - OpenBao, l'outil et ce qui le distingue
le fork de Vault, sa licence, son architecture (seal, barrier, storage, token, policy) et les différences vérifiées avec Vault. - Module 02 - Un serveur sous Docker Compose
un serveur sans HA sur PebbleDB, l'init et l'unseal Shamir, le CLIbao, l'UI, l'audit, et la self-init avec le static seal. - Module 03 - Kubernetes en HA sur Raft
le chart Helm officiel, 3 réplicas en Integrated Storage, TLS, snapshots, montée de version et perte d'un nœud. - Module 04 - Kubernetes en HA sur PostgreSQL
PostgreSQL comme stockage, le verrou HA, la lecture répartie sur les standby et la panne du primaire. - Module 05 - Les seals : static et PKCS#11
le static seal et sa rotation, un HSM SoftHSM par PKCS#11, les plugins KMS, la migration de seal et la self-init. - Module 06 - Les auth methods
token, userpass, AppRole, Kubernetes, JWT pour la CI, OIDC pour le SSO, certificats TLS, LDAP et MFA. - Module 07 - Policies, identity et namespaces
écrire des policies, regrouper les identités, isoler les équipes par namespace et leur donner des clés de seal propres. - Module 08 - Les secrets engines en situation
KV v2, comptes PostgreSQL dynamiques, chiffrement par Transit, PKI interne avec ACME, certificats SSH signés. - Module 09 - Consommer OpenBao depuis Kubernetes
l'injector, le provider CSI et External Secrets Operator, comparés sur le même secret. - Module 10 - L'exploitation
audit, métriques, configuration déclarative par profiles, rotation des clés et reprise après sinistre. - Module 11 - Migrer de Vault vers OpenBao
la migration en place, ses conditions, et ce qui se passe depuis une Vault récente.