HashiCorp Vault vs CyberArk Conjur vs облачные KMS и Secrets Manager

Если вы работаете в нескольких средах (собственные серверы, Kubernetes, одно или несколько облаков) и нужны динамические секреты и шифрование как сервис, обычно смотрят на HashiCorp Vault. CyberArk Conjur сильнее там, где секреты приложений нужно встроить в существующую практику управления привилегированным доступом. Облачные Secrets Manager и KMS проще и дешевле, пока вся инфраструктура живёт у одного провайдера.

Какие задачи решают такие системы

Хранилище секретов заменяет пароли и ключи в коде, конфигурационных файлах и переменных окружения единым защищённым сервисом с аудитом и политиками доступа. Основные требования, по которым сравнивают продукты:

• хранение статических секретов (пароли, токены, сертификаты) с версионированием;
• динамические секреты — учётные данные, создаваемые по запросу на короткий срок;
• шифрование как сервис, когда приложение не владеет ключом;
• аутентификация приложений и подов (Kubernetes, облачные роли, CI/CD);
• аудит каждого обращения;
• отказоустойчивость и работа в разных средах.

О том, зачем это нужно и как начать, мы писали в статье об управлении секретами. Здесь сравним три группы решений.

HashiCorp Vault

Vault — идентификационно-ориентированная система управления секретами и шифрованием. Клиенты обращаются к ресурсам по путям, смонтированным в Vault, а доступ определяется политиками. Аутентификация возможна через токены, LDAP и сторонних провайдеров вроде AWS и Azure; все запросы, удачные и неудачные, попадают в журнал аудита.

Сильные стороны:

• Динамические секреты. К каждому динамическому секрету Vault привязывает аренду (lease): секрет действителен в течение срока, после чего автоматически отзывается. Отзыв можно выполнить вручную, в том числе для всей группы секретов по префиксу, например при вторжении.
• Transit — шифрование как сервис. Приложение отправляет данные в Vault и получает шифртекст, а ключи остаются внутри Vault. Поддерживаются версионирование и ротация ключей, перешифрование без раскрытия открытого текста, подпись и проверка данных, HMAC.
• Независимость от облака. Работает на своих серверах, в Kubernetes и в любом облаке.
• Широкая экосистема интеграций для баз данных, облаков и инфраструктурных инструментов.

Ограничения: Vault требует эксплуатации — продуманной архитектуры кластера, процедур распечатывания, резервного копирования и обновлений. Часть возможностей относится к Enterprise-версии.

Лицензия: переход на BSL и OpenBao

10 августа 2023 года HashiCorp объявила о переходе на Business Source License для всех будущих релизов своих продуктов. Компания пишет, что использование разрешено в коммерческих и некоммерческих целях, кроме случаев, когда вы предоставляете «конкурирующее предложение» для HashiCorp. Сами API, SDK и большинство библиотек остаются под MPL 2.0. Для конечного пользователя, который применяет Vault внутри своей компании, ограничение BSL, как правило, ничего не меняет, но юридическую трактовку «конкурирующего предложения» стоит прочитать в лицензионном FAQ HashiCorp, особенно если вы встраиваете Vault в собственный продукт или сервис.

В ответ появился OpenBao — сообщество вокруг открытого форка. Репозиторий проекта распространяется под MPL-2.0, а сам проект декларирует открытое управление; он описывает себя как программное решение для управления, хранения и распространения секретов, сертификатов и ключей, с динамическими секретами, арендой и отзывом. Формально это отдельный продукт, а не коммерческая версия Vault: возможности, поддержка и сроки релизов отличаются, и сравнивать их нужно по актуальным релизам.

Кроме того, 27 февраля 2025 года IBM сообщила о завершении сделки по приобретению HashiCorp за 6,4 млрд долларов. Продукты HashiCorp, включая Vault, теперь принадлежат IBM; как это повлияет на лицензионную политику и продуктовую линейку, лучше уточнять у вендора.

CyberArk Conjur

Conjur — решение CyberArk для управления секретами и идентичностью приложений. Существует несколько вариантов:

• Conjur OSS — открытая версия: по данным репозитория, серверная часть распространяется под GNU LGPL v3.0, клиенты и расширения — под Apache 2.0. Работает в контейнерах Docker с PostgreSQL, использует ролевой язык политик, REST API и встроенные аутентификаторы и ротаторы. Поддержка — через сообщество.
• Коммерческие варианты. CyberArk предлагает коммерческие лицензии на сервер Conjur и руководство по миграции с открытой версии на CyberArk Secrets Manager, Self-Hosted. Облачный вариант называется Secrets Manager SaaS. Состав функций и названия редакций у CyberArk меняются, их нужно проверять на сайте вендора.

Сильные стороны: единый подход к привилегированному доступу людей и секретам приложений, если в компании уже стоит платформа CyberArk; политика доступа как код; интеграции с CI/CD и оркестраторами.

Ограничения: набор встроенных возможностей вроде шифрования как сервиса и динамических секретов для баз данных по сравнению с Vault нужно проверять отдельно по вашим сценариям. Цены на коммерческие варианты — по запросу.

Облачные Secrets Manager и KMS

У каждого крупного облака есть свои сервисы: AWS Secrets Manager и AWS KMS, Azure Key Vault, Google Secret Manager и Cloud KMS. Их главное преимущество — они не требуют эксплуатации и тесно интегрированы с ролями и сервисами провайдера.

Ориентир по ценам на примере AWS (публичные тарифы, могут меняться): Secrets Manager — 0,40 доллара за секрет в месяц и 0,05 доллара за 10 000 вызовов API; AWS KMS — 1 доллар за управляемый ключ в месяц, плюс запросы (в примерах на странице — 0,03 доллара за 10 000 запросов симметричных операций). На 1500 секретов и около 900 000 вызовов API AWS в своём примере приводит оценку 604,50 доллара в месяц.

Ограничения: привязка к провайдеру, разный набор функций у разных облаков, сложности при гибридной и мультиоблачной архитектуре. Для компаний, чьи данные должны оставаться на собственных серверах или в локальном дата-центре, облачные сервисы могут не подойти по требованиям регуляторов или политике безопасности.

Заметим, что KMS и менеджер секретов — разные вещи: KMS управляет криптографическими ключами и операциями с ними, а Secrets Manager хранит произвольные секреты. Vault сочетает обе роли.

Сравнение по критериям

• Среда: Vault — любая (on-premise, Kubernetes, мульти-облако); Conjur — on-premise и SaaS, сильная интеграция с CyberArk; облачные сервисы — внутри одного провайдера.
• Динамические секреты: Vault — зрелая реализация с арендой и отзывом; Conjur — проверяйте под свои сценарии; облачные сервисы — ротация секретов и роли провайдера.
• Шифрование как сервис: Vault — Transit; облачные — KMS; Conjur — не основная задача.
• Эксплуатация: Vault и Conjur требуют команды; облачные сервисы управляются провайдером.
• Лицензия: Vault — BSL (Enterprise — коммерческая), форк OpenBao — MPL-2.0; Conjur OSS — LGPL v3, коммерческие варианты платные; облачные — оплата по использованию.
• Стоимость: облачные — публичные тарифы; Vault Enterprise и CyberArk — по запросу.

Как выбрать

1. Определите среду. Всё в одном облаке — начните с его сервиса. Гибрид, несколько облаков или закрытый контур — смотрите на Vault и подобные независимые решения.
2. Выясните, нужны ли динамические секреты и шифрование как сервис. Если да, это сильный аргумент в пользу Vault.
3. Учтите существующий стек. Если у вас внедрён CyberArk для привилегированных учётных записей, Conjur может упростить единое управление.
4. Оцените команду эксплуатации. Self-hosted хранилище — критичная инфраструктура, и ею должен кому-то заниматься.
5. Проверьте лицензионную позицию юристами: особенно если вы встраиваете хранилище в собственный продукт.
6. Проведите пилот на одном приложении: подключение, ротация, отзыв, аудит.

Для приложений с динамически создаваемыми учётными данными и сквозным шифрованием часто выбирают HashiCorp Vault. Как защищать сами секреты в цепочке поставок, показывает разбор инцидента Shai-Hulud, где утёкшие токены стали каналом распространения червя.

Частые вопросы

Источники

• HashiCorp: переход на Business Source License
• Linuxiac: IBM завершила приобретение HashiCorp
• HashiCorp: License FAQ
• Vault: Transit secrets engine
• Vault: Lease, Renew, and Revoke
• OpenBao: репозиторий проекта
• CyberArk Conjur OSS: README
• AWS: тарифы Secrets Manager
• AWS: тарифы KMS