מה זה OpenBao? או: ניהול סודות, מפתחות והצפנה בקוד פתוח

OpenBao הוא פתרון קוד פתוח לניהול סודות (Secrets Management), מפתחות הצפנה וזהויות של יישומים. הוא מאפשר לארגונים לשמור, להפיץ, ליצור, לחדש ולבטל באופן מרכזי מידע רגיש כגון סיסמאות, מפתחות API, טוקנים, תעודות TLS והרשאות גישה למסדי נתונים.

הפרויקט נוצר כאלטרנטיבת קוד-פתוח ל-HashiCorp Vault ומנוהל תחת OpenSSF של קרן Linux Foundation , עבור צוותי DevOps, DevSecOps ופיתוח, OpenBao מספק תשתית מרכזית להפחתת חשיפת סודות, ליישום הרשאות מדויקות ולניהול גישה אוטומטי בסביבות ענן, Kubernetes ותהליכי CI/CD.

תוכן עניינים:

• מה זה OpenBao?
• מה OpenBao נותן לארגון?
• למי OpenBao מיועד?
• כמה זמן OpenBao קיים?
• מה חדש ב-OpenBao 2.7?
• סיכום
• שאלות נפוצות (FAQ)

מה זה OpenBao?

OpenBao הוא שירות לניהול סודות והצפנה מבוססת זהויות. במקום להטמיע סיסמאות, מפתחות גישה וטוקנים בקוד המקור, בקובצי הגדרות, במשתני סביבה או בתהליכי CI/CD, האפליקציה מזדהה מול OpenBao ומקבלת רק את המידע שהיא מורשית לקבל ולמשך הזמן הדרוש.

במילים אחרות: OpenBao מפריד בין האפליקציה לבין הסודות שהיא צורכת. הקוד אינו צריך להכיל את סיסמת מסד הנתונים, מפתח ה-API של ספק SaaS או המפתח להצפנת מידע.
במקום זאת, הוא מבקש אותם ממערכת מרכזית שמחילה אימות, מדיניות הרשאות, רישום פעולות ומדיניות תפוגה.

הגישה הזו חשובה במיוחד בארגונים מודרניים, שבהם יישומים משתמשים במסדי נתונים, שירותי ענן, APIs, קלאסטרי Kubernetes, כלי אוטומציה וספקים חיצוניים.
ככל שמספר השירותים גדל, כך גדל גם מספר הסודות שעלולים להיחשף בטעות במאגר Git, ב-pipeline, בלוגים או בקובץ תצורה.

מה OpenBao נותן לארגון?

אחסון מאובטח של סודות

OpenBao מאפשר לשמור סודות סטטיים במבנה key/value. אפשר לשמור בו סיסמאות, מפתחות API, טוקנים, פרטי חיבור ושאר נתונים רגישים. הסודות מוצפנים לפני כתיבתם למאגר האחסון, וניתן לצרוך אותם באמצעות API, ממשק CLI או ממשק Web.

סודות דינמיים וקצרי-חיים

אחת היכולות החשובות של OpenBao היא יצירת הרשאות זמניות לפי דרישה. לדוגמה, במקום שלכל אפליקציה תהיה סיסמה קבועה ל-PostgreSQL או MySQL, OpenBao יכול ליצור משתמש זמני למסד הנתונים עם הרשאות מצומצמות ועם תוקף מוגבל.

בסיום זמן התוקף, או אם נדרש לבטל את הגישה מוקדם יותר, OpenBao מבטל את ההרשאה. מודל זה מצמצם את הסיכון שבדליפת סיסמאות קבועות, מפחית את הצורך בהחלפה ידנית של credentials, ומחזק את עקרון ההרשאה המינימלית.

הצפנה כשירות עם Transit

מנוע Transit מאפשר להשתמש ב-OpenBao כשירות הצפנה מרכזי. האפליקציה שולחת נתון להצפנה או לפענוח, אך אינה חייבת להחזיק את מפתח ההצפנה הפרטי בעצמה.
מפתחות ההצפנה מנוהלים במערכת מרכזית, בעוד הנתונים המוצפנים יכולים להישמר במסד הנתונים, באחסון קבצים או במערכת אחרת.

זהו מודל שימושי עבור ארגונים שרוצים ליישם הצפנה עקבית, רוטציית מפתחות (rotation), בקרות גישה והפרדת תפקידים, בלי לפתח ולתחזק מנגנוני קריפטוגרפיה ייעודיים בכל שירות.

אימות, הרשאות וביקורת

OpenBao יכול לאמת משתמשים, שירותים ומכונות באמצעות שיטות שונות, כגון Kubernetes, JWT/OIDC, AppRole, LDAP ו-GitHub. לאחר האימות, מדיניות ACL קובעת במדויק אילו סודות המשתמש או השירות רשאים לקרוא, לשנות או למחוק.

כך ניתן להגדיר, למשל, ששירות פיתוח מסוים יקבל גישה לסודות של סביבת Development בלבד, בעוד שירות הייצור יקבל הרשאות נפרדות ומצומצמות.
בנוסף, הארגון יכול לנהל תיעוד וביקורת על פעולות גישה לסודות.

למי OpenBao מיועד?

OpenBao מתאים לארגונים שמפעילים יישומים, תשתיות ושירותים בענן, ב-Kubernetes, במרכז הנתונים המקומי או בסביבה היברידית. הוא רלוונטי במיוחד כאשר יש מספר רב של אפליקציות, צוותים, סביבות, מסדי נתונים ושירותים חיצוניים.

קהל יעד	כיצד OpenBao מסייע
צוותי DevOps ו- Platform Engineering	ניהול סודות עבור CI/CD, תשתיות כקוד, Kubernetes ותהליכי פריסה אוטומטיים
צוותי DevSecOps ואבטחת מידע	מדיניות הרשאות, Audit Trail, רוטציה, ביטול גישה ושליטה מרכזית בסודות
מפתחי Backend ו-Cloud Native	הסרת סיסמאות ומפתחות מקוד המקור, מקובצי תצורה וממשתני סביבה
ארגונים תחת רגולציה	תיעוד גישה לסודות, הפרדת תפקידים ומדיניות אבטחה אחידה
משתמשי HashiCorp Vault	חלופת קוד פתוח שממשיכה את מודל העבודה המוכר של Vault

בסביבות Kubernetes, OpenBao מאפשר לפרוס שירות ניהול סודות מרכזי באמצעות Helm Chart, לחבר אליו workloads שרצים בקלאסטר, לבצע אימות של pods ולספק להם סודות והרשאות לפי מדיניות. הדבר הופך אותו לרכיב משמעותי בארכיטקטורת Platform Engineering מאובטחת.

כמה זמן OpenBao קיים?

OpenBao נוסד בשנת 2023. הוא נוצר בעקבות שינוי הרישוי של HashiCorp Vault לרישיון BSL, שאינו רישיון קוד פתוח מאושר OSI.
קהילת הקוד הפתוח יצרה את OpenBao כהמשך פתוח ומונחה קהילה, עם בסיס התחלתי (fork) שיצא מ- Vault 1.14 .

המטרה המרכזית הייתה לאפשר לארגונים להמשיך להשתמש בפלטפורמת ניהול סודות עם מודל פיתוח פתוח, שקיפות קהילתית ותאימות גבוהה ככל האפשר לממשקי Vault המוכרים.
לכן OpenBao יכול להיות רלוונטי במיוחד לארגונים שבוחנים אסטרטגיית יציאה מ-Vault או מעדיפים פתרון קוד פתוח בתחום Secrets Management.

חשוב להבחין בין OpenBao לבין מנהלי סיסמאות לצרכנים פרטיים, כגון 1Password או Bitwarden. OpenBao הוא רכיב תשתיתי שמיועד בעיקר ליישומים, שירותים, תהליכי אוטומציה ומכונות.

מה חדש ב-OpenBao 2.7?

גרסת OpenBao 2.7 שיצאה בספטמבר 2026 (והיא העדכנית ביותר נכון לרגע כתיבת מאמר זה),
מרחיבה את יכולות ניהול המפתחות, ההצפנה, ההתרחבות האופקית והבקרות התפעוליות.
היא מיועדת במיוחד לארגונים גדולים ולצוותים שרוצים לחבר את פלטפורמת ניהול הסודות למערכות KMS, ל-HSM או לארכיטקטורות זמינות גבוהה.

External Keys למפתחות שמנוהלים מחוץ ל-OpenBao

החידוש הבולט במהדורה הוא External Keys. מנועי PKI ו-Transit יכולים לבצע פעולות קריפטוגרפיות באמצעות מפתחות שמנוהלים מחוץ ל-OpenBao, למשל באמצעות HSM או KMS. המפתח הפרטי אינו חייב להיות מאוחסן בתוך OpenBao עצמו.

תכונה זו מתאימה לארגונים בעלי דרישות רגולטוריות, מדיניות הפרדת תפקידים, שימוש ב-HSM, או אסטרטגיית ניהול מפתחות מרכזית. התמיכה מבוססת plugins ומאפשרת גם שימוש במפתחות מגובי PKCS#11.

היערכות להצפנה פוסט-קוונטית

OpenBao 2.7 מוסיפה תמיכה ב-ML-DSA, אלגוריתם חתימה פוסט-קוונטי בתקן NIST FIPS 204. ניתן להשתמש בו בפעולות PKI ובמנוע Transit, לרבות יצירה, ייבוא, ייצוא וחתימה.

בנוסף, הגרסה כוללת יכולות TLS עם מנגנוני החלפת מפתחות ותעודות פוסט-קוונטיים. עבור ארגונים שמתחילים לבנות מפת דרכים לקריפטוגרפיה עמידה יותר לעידן הקוונטי, מדובר בצעד טכנולוגי משמעותי.

התרחבות אופקית עם PostgreSQL

OpenBao 2.7 כוללת יכולות Horizontal Scalability עבור PostgreSQL. תכונה זו מאפשרת להרחיב קריאות על בסיס PostgreSQL באופן הדומה למודל התמיכה הקיים ב-Raft, בכפוף להפעלת High Availability ושימוש ב-physical replication.

המהדורה מוסיפה גם שליטה משופרת בעקביות קריאה וכתיבה מול צמתים שאינם מעודכנים, באמצעות headers ומדיניות fallback. עבור צוותים שמפעילים שירות Secrets Management בהיקפים גדולים, יכולות אלה עשויות לשפר זמינות, ביצועים והתנהגות צפויה במצבי כשל.

Control Groups ואישור דו-שלבי

תכונת Control Groups מאפשרת לדרוש אישור של גורם נוסף לפני ביצוע פעולה רגישה. מדובר ביישום של עקרון “ארבע העיניים” או Four Eyes Principle, למשל לפני שינוי סוד בסביבת ייצור, הנפקת הרשאה חריגה או ביצוע פעולה על מפתח קריטי.

בנוסף, המהדורה כוללת טעינה אוטומטית של תעודות TLS שהתחלפו, שיפורים ל-OCI plugins ו-PebbleDB כ-storage backend עמיד שאינו מיועד לתצורות HA.

סיכום: האם OpenBao מתאים לארגון שלכם?

OpenBao הוא הרבה יותר מכספת לשמירת סיסמאות. מדובר בפלטפורמה לניהול זהויות, סודות, הרשאות ומפתחות הצפנה עבור יישומים ותשתיות. היא מאפשרת להחליף סודות קבועים בהרשאות זמניות, להחיל מדיניות גישה אחידה, לנהל הצפנה בצורה מרכזית ולשלב אבטחה בתהליכי DevOps ו-Cloud Native.

עבור ארגונים שמעדיפים קוד פתוח, שכבר משתמשים ב-Vault או שמחפשים לשלוט טוב יותר במפתחות API, בסיסמאות של מסדי נתונים ובתעודות, OpenBao הוא פרויקט שכדאי לבחון. גרסה 2.7 מדגישה כי מדובר בפלטפורמה שמתפתחת מעבר לתאימות ל-Vault, עם יכולות מתקדמות בתחומי HSM/KMS, קריפטוגרפיה פוסט-קוונטית, זמינות גבוהה ובקרות אבטחה.

שאלות נפוצות (FAQ) על OpenBao :

האם OpenBao הוא פרויקט קוד פתוח?

כן. OpenBao הוא פרויקט קוד פתוח ומונחה קהילה, הפועל תחת OpenSSF של Linux Foundation.

האם OpenBao הוא חלופה ל-HashiCorp Vault?

כן. OpenBao נוצר כהמשך קהילתי של Vault ומיועד להציע פלטפורמת ניהול סודות בקוד פתוח עם תאימות גבוהה לדפוסי העבודה של Vault.

האם OpenBao מתאים ל-Kubernetes?

כן. ניתן לפרוס את OpenBao ב-Kubernetes באמצעות Helm Chart ולשלב אותו עם workloads, מדיניות גישה ותהליכי אספקת סודות בסביבה מבוססת קונטיינרים.

מהם החידושים המרכזיים ב-OpenBao 2.7?

החידושים העיקריים כוללים External Keys לשילוב HSM ו-KMS, תמיכה ב-ML-DSA ובהצפנה פוסט-קוונטית, הרחבה אופקית עם PostgreSQL, Control Groups לפעולות הדורשות אישור נוסף, ושיפורי TLS ו-plugins.

מה ההבדל בין OpenBao לבין מנהל סיסמאות?

מנהל סיסמאות אישי מיועד בדרך כלל למשתמשים אנושיים ולשמירת סיסמאות לחשבונות. OpenBao מיועד בעיקר לניהול סודות, הרשאות ומפתחות עבור יישומים, מכונות, APIs ותהליכי אוטומציה.

קישורים רלוונטים:

• אנו מציעים מרכז תמיכה ל- OpenBao (בישראל וכולל עברית)
• תיעוד OpenBao (אנגלית)