搭建 OpenBao 密钥管理

适用场景

需要 Vault 兼容的密钥管理，但希望使用开源治理的替代方案。OpenBao 是 Vault 的社区分支，保留 KV、PKI、Transit、Kubernetes 认证等能力。

前置条件

• Kubernetes 集群和 Helm。
• 外部 PostgreSQL 或 Raft 存储。
• TLS 证书和域名。
• 自动解封方案和恢复密钥持有人。

步骤

1. 安装 OpenBao：

helm repo add openbao https://openbao.github.io/openbao-helm/
helm install openbao openbao/openbao \
  --namespace openbao --create-namespace \
  --set server.ha.enabled=true \
  --set server.ha.raft.enabled=true \
  --set server.dataStorage.size=20Gi
kubectl -n openbao get pods

2. 初始化并解封：

kubectl -n openbao exec -it openbao-0 -- bao operator init
kubectl -n openbao exec -it openbao-0 -- bao operator unseal <KEY_1>
kubectl -n openbao exec -it openbao-0 -- bao operator unseal <KEY_2>
kubectl -n openbao exec -it openbao-0 -- bao operator unseal <KEY_3>

3. 登录并启用 KV：

kubectl -n openbao exec -it openbao-0 -- bao login <ROOT_TOKEN>
kubectl -n openbao exec -it openbao-0 -- bao secrets enable -path=secret kv-v2
kubectl -n openbao exec -it openbao-0 -- bao kv put secret/demo/db username=app password='***'

4. 配置 Kubernetes 认证：

bao auth enable kubernetes
bao write auth/kubernetes/config kubernetes_host="https://kubernetes.default.svc"
bao write auth/kubernetes/role/demo \
  bound_service_account_names=demo \
  bound_service_account_namespaces=demo \
  policies=demo-read ttl=1h

5. 配置审计和快照：

bao audit enable file file_path=/openbao/logs/audit.log
bao operator raft snapshot save /openbao/backup/openbao.snap

验证

• bao status 显示未封存且 HA 正常。
• 应用能通过 ServiceAccount 获取密钥。
• 错误命名空间或 SA 被拒绝。
• 审计日志记录读取和策略变更。
• Raft 快照能恢复。

回滚

• 策略变更前导出旧策略。
• 升级前做 Raft 快照和 PVC 备份。
• 保留 root token 的离线备份，配置完成后封存。
• 不要轻易执行 bao operator seal，会中断动态凭据。

常见坑

• 单节点且没有自动解封，重启后服务拿不到密钥。
• root token 泄露在 CI 或 shell 历史中。
• Kubernetes 认证的 SA 名称/命名空间配置错误。
• KV v2 路径要加 data/，否则读不到。
• 审计日志目录不可写，审计启用失败。
• 与 Vault 客户端/插件兼容性未验证，部分 API 不同。
• 没有备份 Raft 快照，集群故障后无法恢复。

相关命令

• bao — 初始化、解封、策略和快照
• kubectl — 查看 Pod 和日志
• helm — 安装和升级
• openssl — 证书检查