Vault → OpenBao

Von HashiCorp Vault zu OpenBao, ohne dass Ihre Anwendungen es merken

Seit der Lizenzänderung bei HashiCorp prüfen viele Organisationen den Umstieg auf OpenBao, den offenen Fork unter der Linux Foundation. Ich plane und begleite die Migration so, dass Secrets, Policies und Anbindungen vollständig übergehen, mit Testlauf und Rückfallebene.

30 Minuten unverbindlich sprechen Alle Leistungen

Thomas Zachmann · thomas@zachmann.work · thomaszachmann.de/vault-openbao-migration

Für wen

Typische Ausgangslagen

Lizenz- und Kostenfrage

„Unser Einkauf fragt, was die neue Lizenz für uns bedeutet.“

Die Entscheidung für OpenBao ist gefallen oder steht kurz bevor, jetzt braucht es einen belastbaren Plan.

Upgrade steht ohnehin an

„Wenn wir schon anfassen müssen, dann richtig.“

Ein fälliges Major-Upgrade ist ein guter Zeitpunkt, um gleichzeitig auf OpenBao umzusteigen und Altlasten aufzuräumen.

Viele angebundene Anwendungen

„Wir haben Angst, dass nach der Umstellung etwas nicht mehr startet.“

Kubernetes-Workloads, CI/CD-Pipelines und Legacy-Systeme hängen an Vault. Jede Anbindung muss vorher bekannt und nachher geprüft sein.

Umfang

Was zur Migration gehört

Bestandsaufnahme: Secrets Engines, Auth-Methoden, Policies, Clients und Anbindungen; baut auf dem Health Check auf
Kompatibilität: Welche Funktionen OpenBao identisch abbildet, wo es Unterschiede gibt und wie sie gelöst werden
Migrationsplan: Reihenfolge, Zeitfenster, Rückfallebene, Kommunikation an die Anwendungsteams
Testmigration: Vollständiger Probelauf in einer Testumgebung mit Abgleich der Daten und Berechtigungen
Umschaltung: Produktive Migration mit Prüfung jeder Anbindung, Unseal-Konzept inklusive HSM oder KMS
Automatisierung: Konfiguration als Code (Terraform/OpenTofu), damit der neue Zustand reproduzierbar ist

Kein Big Bang ohne Probelauf. Die produktive Umschaltung erfolgt erst, wenn die Testmigration vollständig und nachweisbar funktioniert hat.

Ergebnis

Was Sie bekommen

Migrationsplan: Dokumentiert und mit den Teams abgestimmt
Migrierte Umgebung: OpenBao produktiv, alle Anbindungen geprüft
Konfiguration als Code: Policies, Auth-Methoden und Engines versioniert im Repository
Übergabe: Betriebsdokumentation und Einweisung Ihres Teams

Ablauf

1. Health Check: Bestandsaufnahme als Grundlage
2. Plan: Migrationsplan und Abstimmung
3. Testmigration: Probelauf in Testumgebung
4. Umschaltung: Produktive Migration mit Rückfallebene
5. Übergabe: Dokumentation und Einweisung

Ich arbeite remote, auf Wunsch auch vor Ort.

Angebot

Varianten und Angebot

Nach einem kurzen Erstgespräch erhalten Sie ein schriftliches Angebot mit Festpreis für den vereinbarten Umfang.

Standard

ein Cluster, bis ca. 50 Anwendungen
Testmigration und Umschaltung

Komplex

mehrere Cluster oder Rechenzentren
viele Legacy-Anbindungen
Namespaces oder Replikation

Der genaue Festpreis ergibt sich aus dem Health Check. Ist er bereits erfolgt, wird er nicht doppelt berechnet.

Belege

Warum ich

Praxis: Ich baue und betreibe Vault/OpenBao selbst, zuletzt als zentralen Secret Store einer On-Premises-Kubernetes-Plattform: Berechtigungskonzept, Auto-Unseal über ein Hardware-HSM, Kubernetes Auth, Injection und External Secrets Operator, vollständig als Infrastructure as Code.
Buch: „Vault in Practice“: ein praxisnaher Lab-Guide zu HashiCorp Vault und OpenBao (Leanpub, 581 Seiten).
Umfelder: Seit 2020 in regulierten Umfeldern, unter anderem öffentlicher Sektor und Banken.
Zertifikate: CKS, CKA, CKAD

Nächster Schritt

30 Minuten, unverbindlich

Schreiben Sie mir, welche Vault-Version Sie einsetzen, wie viele Cluster es sind und wann die Migration erfolgen soll.

Gespräch vereinbaren

Thomas Zachmann · Freiberuflicher Platform Engineer · Hamburg
thomas@zachmann.work · thomaszachmann.de