Vault / OpenBao

Vault, et son fork open source OpenBao, servent à sortir les secrets — mots de passe de base, clés d'API, certificats, jetons de paiement — des endroits où ils ne devraient jamais être : un dépôt Git, un fichier de configuration partagé, un message dans une messagerie d'équipe. À la place, chaque application demande son secret au moment où elle en a besoin, l'obtient si elle en a le droit, et cette demande laisse une trace. Le jour où quelqu'un quitte l'entreprise ou qu'une clé fuite, la question « où est-elle recopiée ? » a enfin une réponse.

• →SOPS + ageSecrets chiffrés dans le dépôt : le bon niveau tant qu'il n'y a ni rotation ni révocation à tenir
• →Secrets du gestionnaire de CISuffisant quand seule la chaîne de déploiement consomme les secretsVoir la page
• →Coffres des fournisseurs cloudIntégration native si toute l'infrastructure vit chez un seul fournisseur
• →Ansible VaultChiffrement des variables au sein des playbooks, sans service supplémentaire à exploiterVoir la page

1. 01

   Inventaire d'abord : la liste des secrets existants et de leurs copies, y compris dans l'historique des dépôts

2. 02

   Rotation immédiate de tout ce qui a fui dans un dépôt : déplacer un secret compromis ne le protège pas

3. 03

   Un chemin et une politique d'accès par application, jamais un jeton unique qui ouvre tout

4. 04

   Secrets dynamiques quand la base le permet : un identifiant à durée de vie courte plutôt qu'un mot de passe permanent

5. 05

   Procédure de descellement et de reprise documentée : c'est ce qui manque toujours le jour de la panne

• Vault ou OpenBao ?

  OpenBao est le fork open source né du changement de licence de HashiCorp en 2023, aujourd'hui hébergé par la Linux Foundation. Le fonctionnement est le même et la compatibilité est quasi complète. Pour un nouveau projet sans dépendance à l'offre commerciale, OpenBao est un choix défendable ; pour un existant qui tourne sous Vault, la migration n'a rien d'urgent. C'est exactement la situation de Terraform et d'OpenTofu.
• Un fichier chiffré dans le dépôt ne suffit-il pas ?

  Souvent si, et c'est ce que je recommande pour les petits périmètres : des outils de chiffrement de fichiers versionnés donnent une bonne partie du bénéfice pour un coût nul. Ce qu'ils ne donnent pas, c'est la révocation immédiate, la rotation automatique, les identifiants à durée de vie courte et le journal des lectures. Le basculement se justifie quand ces quatre-là deviennent nécessaires.
• Qu'est-ce que ça coûte à faire tourner ?

  Le logiciel est open source. Le coût de fonctionnement est celui d'un service à tenir disponible : il devient un point de passage des déploiements, donc il se surveille et se sauvegarde comme une base de données. L'offre managée de l'éditeur, ou celle des fournisseurs cloud, échange cette exploitation contre un abonnement.
• Combien coûte la mise en place ?

  Ce qui pèse n'est pas l'installation du coffre, c'est le nombre d'applications à raccorder, le nombre de secrets à inventorier et à faire tourner, et l'état de l'existant — un historique de dépôt truffé d'identifiants demande une rotation complète avant toute autre chose. Le montant se fixe au devis, après un cadrage initial gratuit qui écrit le périmètre avant tout engagement.
• Que se passe-t-il si le coffre tombe ?

  Les applications déjà démarrées continuent de tourner avec les secrets qu'elles détiennent ; ce qui s'arrête, ce sont les démarrages et les déploiements. C'est pourquoi un coffre se déploie avec de la haute disponibilité ou, à défaut, avec une procédure de reprise éprouvée et des sauvegardes testées — la même exigence que pour la base de production.