Alternativen zu HashiCorp Vault: OpenBao, AWS-, Azure- und Google-Secret-Manager, Conjur, Infisical. Was sich für Apps und den Unseal-Key ändert.
Eine Alternative zu HashiCorp Vault ist ein anderer Secrets Manager, der Anwendungs-Secrets anstelle von Vault speichert, ausgibt und rotiert. Am nächsten kommt OpenBao, ein Open-Source-Fork von Vault mit derselben API. Die übrigen Optionen (Secret Manager der Cloud-Anbieter, CyberArk Conjur, Infisical) bedeuten neuen Client-Code und ein neues Zugriffsmodell.
Meist gibt es drei Auslöser: die Lizenzänderung von 2023, die Kosten bei wachsender Zahl von Clients und Clustern und der Wunsch, Secrets auf selbst gewählter Infrastruktur zu betreiben. Diese Seite vergleicht die wichtigsten Optionen und sagt klar, was DuoKey tut. DuoKey ist kein allgemeiner Secrets Manager. DuoKey betreibt OpenBao als Managed Service und schützt den Schlüssel, mit dem OpenBao oder Vault entsiegelt (unseal) wird, mit Multi-Party Computation (MPC), einem HSM oder einem Software-Vault.
Lizenz. Im August 2023 stellte HashiCorp Vault von der Mozilla Public License 2.0 auf die Business Source License 1.1 (BSL) um. Der Quellcode bleibt lesbar, die Lizenz schränkt aber bestimmte kommerzielle Nutzungen ein. Hintergrund und Migrations-Checkliste finden Sie unter HashiCorp Vault und BSL 1.1.
Eigentümer. IBM hat die Übernahme von HashiCorp am 27. Februar 2025 abgeschlossen (IBM-Pressemitteilung). Manche Käufer wollen Roadmap und Vertragsbedingungen nach dem Eigentümerwechsel neu bewerten.
Enterprise-Funktionen. Mehrere Kontrollen, die regulierte Teams verlangen, sind Funktionen von Vault Enterprise. Laut HashiCorp-Dokumentation erfordern Auto-Unseal und Seal Wrapping über PKCS#11 Vault Enterprise, ebenso Seal Wrapping allgemein (PKCS#11-Seal, Seal-Konzepte).
Risiko eines Anwendungsumbaus. Das ist meist der eigentliche Bremsklotz. Viele Umgebungen haben jahrelang gewachsenen Code, der Secrets liest, sich per AppRole oder Kubernetes anmeldet und die Transit-Engine aufruft. Eine Alternative mit anderer API macht aus einer Plattformentscheidung ein Anwendungsprogramm.
| Option | Art | Lizenz oder Modell | Vault-API | Typischer Einsatz |
|---|---|---|---|---|
| OpenBao (selbst betrieben) | Open-Source-Fork von Vault | MPL 2.0, OpenSSF-Projekt unter der Linux Foundation | Bleibt erhalten (Plugins und Enterprise-Funktionen prüfen) | Teams, die Vault-Verhalten ohne BSL wollen und es selbst betreiben können |
| OpenBao, betrieben von DuoKey | Managed OpenBao mit MPC-Auto-Unseal | OpenBao (MPL 2.0) plus DuoKey-Service | Bleibt erhalten | Teams, die Vault Enterprise verlassen und den Unseal-Key nicht auf einem einzelnen Host oder Gerät haben wollen |
| AWS Secrets Manager | Dienst des Cloud-Anbieters | Nutzungsbasiert, nur AWS | Nein | Workloads überwiegend auf AWS |
| Azure Key Vault | Dienst des Cloud-Anbieters (Secrets, Schlüssel, Zertifikate) | Nutzungsbasiert, nur Azure | Nein | Workloads überwiegend auf Azure |
| Google Cloud Secret Manager | Dienst des Cloud-Anbieters | Nutzungsbasiert, nur Google Cloud | Nein | Workloads überwiegend auf Google Cloud |
| CyberArk Conjur | Secrets Manager eines PAM-Anbieters | Open-Source-Server (LGPL v3) und kommerzielle Editionen | Nein | Organisationen, die bereits auf CyberArk setzen |
| Infisical | Entwicklerorientierte Secrets-Plattform | Open-Source-Kern (MIT) und kostenpflichtige Stufen | Nein | Teams, die eine neuere Oberfläche und SDK-zentrierte Abläufe wollen |
Lizenzen und Modelle stammen von der offiziellen Website oder dem Repository des jeweiligen Projekts zum Zeitpunkt der Erstellung; prüfen Sie sie vor einer Entscheidung. Die Liste ist nicht vollständig.
OpenBao beschreibt sich als quelloffener, von der Community getragener Secrets Manager und Fork von Vault, verwaltet von der OpenSSF der Linux Foundation. Er setzt auf dem letzten MPL-lizenzierten Vault-Code auf. HTTP-API, CLI-Muster, Auth-Methoden und Secrets Engines, die die meisten Anwendungen nutzen, bleiben gleich. In der Praxis besteht eine Migration aus einer neuen Server-Adresse und Tests, nicht aus dem Umschreiben jedes Clients.
Vor der Entscheidung zu prüfen:
AWS Secrets Manager, Azure Key Vault und Google Cloud Secret Manager sind Managed Services: keine Server, natives IAM und nutzungsbasierte Abrechnung. Die Kehrseite:
Sie passen gut, wenn ein Workload in einer Cloud lebt und das Team mit dem IAM dieses Anbieters arbeiten will.
CyberArk Conjur ist der Secrets Manager von CyberArk. Laut Conjur-Open-Source-Repository steht der Server unter LGPL v3; kommerzielle Editionen ergänzen Enterprise-Funktionen. Er passt zu Organisationen, die CyberArk bereits für privilegierte Zugriffe nutzen.
Infisical ist eine jüngere Secrets-Plattform mit einem Open-Source-Kern unter MIT-Lizenz und kostenpflichtigen Stufen, als Cloud-Dienst oder selbst gehostet (Infisical). Der Schwerpunkt liegt auf Entwickler-Workflows: SDKs, CLI und Synchronisierung von Secrets in CI/CD und Cloud-Plattformen.
Beide sprechen nicht die Vault-API. Planen Sie Änderungen an den Clients ein.
Nicht jedes Team muss wechseln. Liegt das Problem im Unseal-Prozess statt in der Lizenz, können Sie bei Vault bleiben und den Ort des Unseal-Keys ändern:
DuoKey übernimmt drei Aufgaben rund um Vault und OpenBao, ersetzt sie aber nicht als Ort, aus dem Anwendungen Secrets lesen.
| Bedarf | Was DuoKey liefert |
|---|---|
| Eine Vault-kompatible Secrets-Plattform ohne BSL | OpenBao + DuoKey SD-HSM: OpenBao als in der EU gehosteter Managed Service, mit kostenlosem Migrations-Assessment |
| Auto-Unseal ohne eigenes HSM pro Cluster | Der PKCS#11-Seal von OpenBao oder Vault Enterprise mit DuoKey als Backend. Der AES-256-Seal-Key liegt in MPC (DuoKey SD-HSM), einem HSM oder einem Software-Vault; das Entsiegeln stoppt, sobald der Schlüssel in Cockpit deaktiviert wird |
| Ein Ort für Schlüssel über Secrets hinaus | Dasselbe Cockpit verwaltet Schlüssel für KMS, Datenbankverschlüsselung, PKI und externe Key Stores der Clouds, mit einem Audit-Trail |
Wie MPC das Risikoprofil des Unseal-Keys gegenüber einem Hardwaremodul verändert, erklärt MPC vs. HSM. Ein Kundenbeispiel ist die Migration von Vault zu OpenBao.
Q: Was ist die beste Alternative zu HashiCorp Vault?
Das hängt davon ab, wie viel Code die Vault-API nutzt. Wer diesen Code behalten will, ist mit OpenBao am nächsten dran, da es ein Fork von Vault ist. Laufen die Workloads in einer Cloud und lassen sich die Clients umschreiben, ist der Secret Manager dieser Cloud einfacher zu betreiben.
Q: Ist OpenBao mit HashiCorp Vault kompatibel?
OpenBao ist ein Fork von Vault und behält API, CLI-Muster und die meisten Auth-Methoden und Secrets Engines bei; die meisten Clients brauchen nur eine neue Adresse. Funktionen, die bei Vault nur in Enterprise verfügbar waren, gehörten nicht zum Fork. Testen Sie Plugins und Enterprise-Funktionen vor der Umstellung.
Q: Gibt es eine kostenlose Alternative zu HashiCorp Vault?
Ja. OpenBao ist Open Source unter MPL 2.0. Auch der Conjur-Server und der Kern von Infisical sind quelloffen. Der Betrieb kostet trotzdem Infrastruktur und Personalzeit.
Q: Ersetzt DuoKey HashiCorp Vault?
Nicht als eigenständiger Secrets Manager. DuoKey betreibt OpenBao, also den Vault-kompatiblen Teil, als Managed Service und schützt den Schlüssel, mit dem OpenBao oder Vault Enterprise entsiegelt wird. Anwendungen lesen ihre Secrets weiterhin aus OpenBao oder Vault.
Q: Kann ich bei Vault bleiben und trotzdem auf ein eigenes Unseal-HSM verzichten?
Mit Vault Enterprise ja: Der PKCS#11-Seal kann auf DuoKey zeigen, das den AES-256-Wrapping-Key in MPC, einem HSM oder einem Software-Vault hält. Vault Community unterstützt Auto-Unseal per Cloud-KMS und Transit, aber nicht per PKCS#11.
Q: Wie lange dauert eine Migration von Vault zu OpenBao?
Das hängt von der Umgebung ab. Die DuoKey-Produktseite beschreibt einen Weg von 2 bis 4 Wochen, wenn die Umgebung in dieses Fenster passt; das kostenlose Migrations-Assessment prüft das anhand Ihrer Cluster, Auth-Methoden und Plugins.
Geschrieben von
Nagib Aouini
Verwandte Ressourcen
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.
