HashiCorp Vault

定义

Vault 是 HashiCorp 于 2015 年发布的密钥与敏感信息管理工具,用于集中存储、访问和分发 API 密钥、数据库口令、证书等机密数据,解决凭据散落在配置文件、环境变量和代码中的「密钥蔓延」问题。

核心机制

所有数据加密存储,服务启动后处于密封(sealed)状态,需多把解封密钥分片(基于 Shamir 秘密共享)配合才能解封。客户端通过多种认证方式(Kubernetes ServiceAccount、AppRole、LDAP、云 IAM 等)换取有时效的 Token,再按策略(Policy)读取密钥。

特色功能

动态密钥(dynamic secrets)是其标志性能力:Vault 可按需为数据库、云平台临时创建账号,到期自动回收,凭据泄露的时间窗口被压缩到最小;传输加密(transit)引擎提供「加密即服务」,应用无需自行保管加密密钥;还可充当内部 PKI 签发短期证书。

现状

2023 年许可证改为 BUSL 后,社区分叉出 OpenBao 项目。Vault 仍是私有化密钥管理领域的事实标准之一。