中文 (中国)
OpenBao 主机
OpenBao 是一个开源的密钥管理器，从 Vault 分叉而来，用于存储令牌、加密密钥和短期凭证。
- 一键 部署
- 25 GB 所需磁盘空间
- 2 GB 内存 所需内存
- 来自 5 € 价格
无设置费
您在 AvaHost 上获得的服务
一键部署、自定义域名、免费HTTPS、自动应用更新和定期备份是每个云应用的标准配置。您可以在一台服务器上运行多个应用，并且包括终端访问。
此模板不包含数据库容器。
技术
- Docker 镜像
- openbao/openbao:latest
- 默认端口
- 0
OpenBao 的工作原理
OpenBao 是从 HashiCorp 许可证变更后从 Vault 分叉出来的开源密钥管理器。它通过 HTTP API 和 UI 提供密钥、加密和动态凭证管理。官方镜像发布在 Docker Hub、GHCR 和 Quay 上，名称为 openbao/openbao。安装页面还提供了软件包和二进制文件。集成存储将数据保存在 OpenBao 自身的 raft 数据中，因此基础配置不需要 PostgreSQL 或 MariaDB。安装页面上的 Docker 说明要求在容器上将内存交换性设置为 0。这是一个运行时标志，不是第二个服务。
初始化会生成解封密钥和根令牌。您必须将这些密钥离线存储，与服务器上的唯一副本分开。如果它们仅存在于 VPS 上且磁盘丢失，平台备份可能会恢复您仍然无法解封的密文。本页不会隐瞒这一点。单节点集成存储安装是基础配置。多节点 raft 和外部存储后端是上游提供的后续选项。
OpenBao 的主要功能
您可以按照 Vault 运维人员的预期启用身份验证方法和密钥引擎，您应该阅读当前的 OpenBao 文档以了解您依赖的引擎，因为功能对等性是一个不断变化的目标。策略决定哪些令牌可以读取哪些路径。审计设备是可选的，是访问跟踪的正确位置。TLS 应该在主机名上。UI 很方便，但也是高价值目标，因此应限制谁可以访问它。
AvaHost 自动更新容器并按计划备份数据目录。您仍然需要遵循 OpenBao 的升级说明，并在更改后测试解封。OpenBao 不包括应用程序邮件。如果通过 HTTPS 主机名访问 API，则不需要专用公网 IP。
OpenBao 与 HashiCorp Vault 的对比
OpenBao
OpenBao 是社区治理的分叉版本，您可以在不受 Vault 当前供应商许可证限制的情况下运行。HashiCorp Vault 是供应商产品，有自己的发布版本、支持和许可证条款。当合同或特定企业功能需要时选择 Vault。当您想要在分叉治理下运行自托管密钥服务器时选择 OpenBao。
HashiCorp Vault
不要假设每个 Vault 企业功能都存在于这里。在迁移生产路径之前，请在 OpenBao 文档中检查您需要的引擎。
谁在使用 OpenBao
已经习惯于策略和解封密钥思维方式的平台团队使用 OpenBao。如果没有人会存储解封材料，它就不适合，作为临时密码笔记本也不适合。2 GB 基础配置是一个适度的生产起点，不是大型 raft 集群。
自托管 OpenBao：需求和成本
基础配置为 2048 MB RAM 和 1 个 CPU 核心，镜像为 openbao/openbao，集成存储，无单独的数据库容器。在 AvaHost 上，OpenBao 的推荐最低配置是 Plan 2，价格为 €5。OpenBao 套餐包括一键部署、主机名、自动 HTTPS、自动更新和数据目录的定时备份。您需要提供和保护解封密钥。OpenBao 不包括应用程序邮件。
F.A.Q
OpenBao 在方案 2 上起价 €5。该价格涵盖服务器及其集成存储，不包括多节点 raft 和支持合同。审计日志和大量动态租约可能需要更多磁盘或 RAM。您的应用程序从云 KMS 购买的任何内容仍保留在该云账单上。
是的。将 API 和 UI 放在您控制的主机名上，并启用自动 HTTPS。客户端和作业应使用该主机名，而不是原始地址。您可以管理 DNS、策略和谁可以访问 UI。此 HTTPS 服务不需要专用公网 IP。
AvaHost 自动更新 OpenBao 并按计划备份数据目录。恢复文件不会重新生成未保存的解封密钥。请将这些密钥存储在 VPS 外部。更新后，请解封、登录，并读取一个非生产环境密钥，然后才能确认升级完成。
解封和恢复材料。即使服务器运行正常，如果这些密钥丢失，数据仍然无法读取。集成存储避免了单独的数据库，但会将风险集中在该数据目录和密钥中。这个基线是单个节点。Raft 集群是后续设计，不属于 Plan 2 最低配置。