HashiCorp Vault vs CyberArk Conjur vs бұлттық KMS және Secrets Manager

Егер сіз бірнеше ортада (меншікті серверлер, Kubernetes, бір немесе бірнеше бұлт) жұмыс істесеңіз және динамикалық құпиялар мен қызмет ретінде шифрлау қажет болса, әдетте HashiCorp Vault-қа қарайды. CyberArk Conjur қосымшалардың құпияларын привилегиялы қолжетімділікті басқарудың қолданыстағы тәжірибесіне енгізу қажет жерде күштірек. Бұлттық Secrets Manager және KMS бүкіл инфрақұрылым бір провайдерде тұрғанда қарапайымырақ әрі арзанырақ.

Мұндай жүйелер қандай міндеттерді шешеді

Құпиялар сақтағышы кодтағы, конфигурация файлдарындағы және орта айнымалыларындағы парольдер мен кілттерді аудиті және қолжетімділік саясаты бар бірыңғай қорғалған сервиспен алмастырады. Өнімдерді салыстыратын негізгі талаптар:

• статикалық құпияларды (парольдер, токендер, сертификаттар) нұсқалаумен сақтау;
• динамикалық құпиялар — сұраным бойынша қысқа мерзімге жасалатын есептік деректер;
• қосымша кілтке ие болмайтын қызмет ретінде шифрлау;
• қосымшалар мен подтарды аутентификациялау (Kubernetes, бұлттық рөлдер, CI/CD);
• әр өтінішті аудиттеу;
• ақауға төзімділік және әртүрлі орталарда жұмыс істеу.

Бұл не үшін қажет және қалай бастауға болатыны туралы біз құпияларды басқару мақаласында жаздық. Мұнда шешімдердің үш тобын салыстырамыз.

HashiCorp Vault

Vault — құпиялар мен шифрлауды басқарудың идентификацияға бағытталған жүйесі. Клиенттер ресурстарға Vault-қа монтаждалған жолдар бойынша жүгінеді, ал қолжетімділік саясатпен анықталады. Аутентификация токендер, LDAP және AWS пен Azure сияқты үшінші тарап провайдерлері арқылы мүмкін; барлық сұраным, сәтті де, сәтсіз де, аудит журналына түседі.

Күшті жақтары:

• Динамикалық құпиялар. Әр динамикалық құпияға Vault жалға алуды (lease) тіркейді: құпия мерзім бойы жарамды, содан кейін автоматты түрде кері қайтарылады. Кері қайтаруды қолмен орындауға болады, соның ішінде префикс бойынша бүкіл құпиялар тобы үшін, мысалы, шабуыл кезінде.
• Transit — қызмет ретінде шифрлау. Қосымша деректерді Vault-қа жібереді және шифрмәтін алады, ал кілттер Vault ішінде қалады. Кілттерді нұсқалау мен ротациялау, ашық мәтінді ашпай қайта шифрлау, деректерді қолтаңбалау және тексеру, HMAC қолдау көрсетіледі.
• Бұлтқа тәуелсіздік. Меншікті серверлерде, Kubernetes-те және кез келген бұлтта жұмыс істейді.
• Дерекқорлар, бұлттар және инфрақұрылымдық құралдар үшін интеграциялардың кең экожүйесі.

Шектеулері: Vault пайдалануды талап етеді — кластердің ойластырылған архитектурасын, unseal рәсімдерін, резервтік көшіру мен жаңартуларды. Мүмкіндіктердің бір бөлігі Enterprise нұсқасына жатады.

Лицензия: BSL-ге және OpenBao-ға көшу

2023 жылғы 10 тамызда HashiCorp өз өнімдерінің барлық болашақ релиздері үшін Business Source License-ке көшетінін жариялады. Компания жазғандай, пайдалану коммерциялық және коммерциялық емес мақсатта рұқсат етіледі, HashiCorp үшін «бәсекелес ұсыныс» ұсынатын жағдайлардан басқа. API-лердің, SDK-лардың және кітапханалардың көпшілігі MPL 2.0 астында қалады. Vault-ты өз компаниясының ішінде қолданатын соңғы пайдаланушы үшін BSL шектеуі, әдетте, ештеңені өзгертпейді, бірақ «бәсекелес ұсыныстың» заңдық түсіндірмесін HashiCorp лицензиялық FAQ-інен оқыған жөн, әсіресе Vault-ты өз өніміңізге немесе сервисіңізге енгізсеңіз.

Жауап ретінде OpenBao пайда болды — ашық форк төңірегіндегі қауымдастық. Жоба репозиторийі MPL-2.0 астында таратылады, ал жобаның өзі ашық басқаруды мәлімдейді; ол өзін құпияларды, сертификаттар мен кілттерді басқару, сақтау және тарату үшін, динамикалық құпиялармен, жалға алумен және кері қайтарумен бағдарламалық шешім ретінде сипаттайды. Ресми түрде бұл Vault-тың коммерциялық нұсқасы емес, бөлек өнім: мүмкіндіктері, қолдауы және релиз мерзімдері өзгеше, оларды өзекті релиздер бойынша салыстыру керек.

Сонымен қатар, 2025 жылғы 27 ақпанда IBM HashiCorp-ты 6,4 млрд долларға сатып алу мәмілесінің аяқталғанын хабарлады. HashiCorp өнімдері, соның ішінде Vault, енді IBM-ге тиесілі; бұл лицензиялық саясатқа және өнімдер желісіне қалай әсер ететінін вендордан нақтылаған жөн.

CyberArk Conjur

Conjur — қосымшалардың құпиялары мен сәйкестігін басқаруға арналған CyberArk шешімі. Бірнеше нұсқасы бар:

• Conjur OSS — ашық нұсқа: репозиторий деректері бойынша, серверлік бөлік GNU LGPL v3.0 астында, клиенттер мен кеңейтімдер — Apache 2.0 астында таратылады. PostgreSQL бар Docker контейнерлерінде жұмыс істейді, рөлдік саясат тілін, REST API-ді және кірістірілген аутентификаторлар мен ротаторларды пайдаланады. Қолдау — қауымдастық арқылы.
• Коммерциялық нұсқалар. CyberArk Conjur серверіне коммерциялық лицензиялар мен ашық нұсқадан CyberArk Secrets Manager, Self-Hosted өніміне көшу бойынша нұсқаулық ұсынады. Бұлттық нұсқасы Secrets Manager SaaS деп аталады. CyberArk-те функциялар құрамы мен редакциялар атаулары өзгеріп тұрады, оларды вендордың сайтынан тексеру керек.

Күшті жақтары: компанияда CyberArk платформасы тұрса, адамдардың привилегиялы қолжетімділігіне және қосымшалардың құпияларына бірыңғай көзқарас; код ретіндегі қолжетімділік саясаты; CI/CD және оркестраторлармен интеграциялар.

Шектеулері: Vault-пен салыстырғанда қызмет ретінде шифрлау және дерекқорлар үшін динамикалық құпиялар сияқты кірістірілген мүмкіндіктер жиынын өз сценарийлеріңіз бойынша бөлек тексеру керек. Коммерциялық нұсқалардың бағасы — сұраным бойынша.

Бұлттық Secrets Manager және KMS

Әр ірі бұлттың өз сервистері бар: AWS Secrets Manager және AWS KMS, Azure Key Vault, Google Secret Manager және Cloud KMS. Олардың басты артықшылығы — пайдалануды талап етпейді және провайдердің рөлдерімен және сервистерімен тығыз интеграцияланған.

AWS мысалында бағалар бойынша бағдар (ашық тарифтер, өзгеруі мүмкін): Secrets Manager — айына бір құпия үшін 0,40 доллар және 10 000 API шақыру үшін 0,05 доллар; AWS KMS — айына басқарылатын бір кілт үшін 1 доллар, плюс сұраныстар (беттегі мысалдарда — симметриялық операциялардың 10 000 сұранымы үшін 0,03 доллар). 1500 құпия мен шамамен 900 000 AWS API шақыруы үшін AWS өз мысалында айына 604,50 доллар бағасын келтіреді.

Шектеулері: провайдерге тәуелділік, әртүрлі бұлттарда функциялардың әртүрлі жиыны, гибридті және мультибұлттық архитектурадағы қиындықтар. Деректері меншікті серверлерде немесе жергілікті деректер орталығында қалуы тиіс компаниялар үшін бұлттық сервистер реттеушілер талаптарына немесе қауіпсіздік саясатына сәйкес келмеуі мүмкін.

KMS пен құпиялар менеджері әртүрлі нәрселер екенін атап өтейік: KMS криптографиялық кілттерді және олармен операцияларды басқарады, ал Secrets Manager еркін құпияларды сақтайды. Vault екі рөлді үйлестіреді.

Өлшемдер бойынша салыстыру

• Орта: Vault — кез келген (on-premise, Kubernetes, мультибұлт); Conjur — on-premise және SaaS, CyberArk-пен күшті интеграция; бұлттық сервистер — бір провайдер ішінде.
• Динамикалық құпиялар: Vault — жалға алу және кері қайтарумен жетілген іске асыру; Conjur — өз сценарийлеріңізге тексеріңіз; бұлттық сервистер — құпияларды ротациялау және провайдер рөлдері.
• Қызмет ретінде шифрлау: Vault — Transit; бұлттық — KMS; Conjur — негізгі міндет емес.
• Пайдалану: Vault және Conjur команданы талап етеді; бұлттық сервистерді провайдер басқарады.
• Лицензия: Vault — BSL (Enterprise — коммерциялық), OpenBao форкі — MPL-2.0; Conjur OSS — LGPL v3, коммерциялық нұсқалар ақылы; бұлттық — пайдалану бойынша төлем.
• Құны: бұлттық — ашық тарифтер; Vault Enterprise және CyberArk — сұраным бойынша.

Қалай таңдауға болады

1. Ортаны анықтаңыз. Бәрі бір бұлтта — соның сервисінен бастаңыз. Гибрид, бірнеше бұлт немесе жабық контур — Vault пен соған ұқсас тәуелсіз шешімдерге қараңыз.
2. Динамикалық құпиялар мен қызмет ретінде шифрлау қажет пе, анықтаңыз. Қажет болса, бұл Vault пайдасына күшті дәлел.
3. Қолданыстағы стекті ескеріңіз. Егер сізде привилегиялы есептік жазбалар үшін CyberArk енгізілген болса, Conjur бірыңғай басқаруды жеңілдетуі мүмкін.
4. Пайдалану командасын бағалаңыз. Self-hosted сақтағыш — сыни инфрақұрылым, онымен біреу айналысуы керек.
5. Лицензиялық ұстанымды заңгерлерге тексертіңіз: әсіресе сақтағышты өз өніміңізге енгізсеңіз.
6. Бір қосымшада пилот өткізіңіз: қосылу, ротация, кері қайтару, аудит.

Динамикалық түрде жасалатын есептік деректері және тұтас шифрлауы бар қосымшалар үшін жиі HashiCorp Vault таңдалады. Жеткізу тізбегіндегі құпиялардың өзін қалай қорғау керектігін ағып кеткен токендер құрттың таралу арнасына айналған Shai-Hulud оқиғасын талдау көрсетеді.

Жиі қойылатын сұрақтар

Дереккөздер

• HashiCorp: Business Source License-ке көшу
• Linuxiac: IBM HashiCorp-ты сатып алуды аяқтады
• HashiCorp: License FAQ
• Vault: Transit secrets engine
• Vault: Lease, Renew, and Revoke
• OpenBao: жоба репозиторийі
• CyberArk Conjur OSS: README
• AWS: Secrets Manager тарифтері
• AWS: KMS тарифтері