HashiCorp Vault vs CyberArk Conjur vs bulutli KMS va Secrets Manager

Agar siz bir nechta muhitda (o‘z serverlari, Kubernetes, bitta yoki bir nechta bulut) ishlasangiz va dinamik sirlar hamda xizmat sifatida shifrlash kerak bo‘lsa, odatda HashiCorp Vault’ga e’tibor qaratiladi. CyberArk Conjur ilova sirlarini imtiyozli kirishni boshqarishning mavjud amaliyotiga kiritish kerak bo‘lgan joyda kuchliroq. Bulutli Secrets Manager va KMS esa butun infratuzilma bitta provayderda joylashgan ekan, oddiyroq va arzonroq.

Bunday tizimlar qanday vazifalarni hal qiladi

Sirlar ombori koddagi, konfiguratsiya fayllaridagi va muhit o‘zgaruvchilaridagi parollar hamda kalitlarni audit va kirish siyosatlariga ega yagona himoyalangan xizmat bilan almashtiradi. Mahsulotlar quyidagi asosiy talablar bo‘yicha taqqoslanadi:

• statik sirlarni (parollar, tokenlar, sertifikatlar) versiyalash bilan saqlash;
• dinamik sirlar — so‘rov bo‘yicha qisqa muddatga yaratiladigan hisob ma’lumotlari;
• xizmat sifatida shifrlash, bunda ilova kalitga egalik qilmaydi;
• ilovalar va podlarni autentifikatsiya qilish (Kubernetes, bulutli rollar, CI/CD);
• har bir murojaatni audit qilish;
• nosozliklarga bardoshlilik va turli muhitlarda ishlash.

Bu nima uchun kerakligi va qanday boshlash haqida biz sirlarni boshqarish maqolasida yozgan edik. Bu yerda uch guruh yechimni taqqoslaymiz.

HashiCorp Vault

Vault — identifikatsiyaga yo‘naltirilgan sirlarni boshqarish va shifrlash tizimi. Mijozlar resurslarga Vault’ga ulangan yo‘llar orqali murojaat qiladi, kirish esa siyosatlar bilan belgilanadi. Autentifikatsiya tokenlar, LDAP va AWS hamda Azure kabi uchinchi tomon provayderlari orqali mumkin; barcha so‘rovlar, muvaffaqiyatli va muvaffaqiyatsiz, audit jurnaliga tushadi.

Kuchli tomonlari:

• Dinamik sirlar. Vault har bir dinamik sirga ijara (lease) biriktiradi: sir belgilangan muddat davomida amal qiladi, so‘ng avtomatik bekor qilinadi. Bekor qilishni qo‘lda ham bajarish mumkin, jumladan, masalan, buzilish vaqtida prefiks bo‘yicha butun sirlar guruhi uchun.
• Transit — xizmat sifatida shifrlash. Ilova ma’lumotlarni Vault’ga yuboradi va shifrmatn oladi, kalitlar esa Vault ichida qoladi. Kalitlarni versiyalash va almashtirish (rotatsiya), ochiq matnni oshkor qilmasdan qayta shifrlash, ma’lumotlarni imzolash va tekshirish, HMAC qo‘llab-quvvatlanadi.
• Buluttan mustaqillik. O‘z serverlarida, Kubernetes’da va istalgan bulutda ishlaydi.
• Integratsiyalarning keng ekotizimi — ma’lumotlar bazalari, bulutlar va infratuzilma vositalari uchun.

Cheklovlar: Vault ekspluatatsiyani talab qiladi — o‘ylangan klaster arxitekturasi, unseal protseduralari, zaxira nusxalash va yangilashlar kerak. Ba’zi imkoniyatlar Enterprise versiyasiga tegishli.

Litsenziya: BSL’ga o‘tish va OpenBao

2023-yil 10-avgustda HashiCorp o‘z mahsulotlarining barcha kelgusi relizlari uchun Business Source License’ga o‘tishini e’lon qildi. Kompaniya yozishicha, foydalanish tijorat va notijorat maqsadlarda ruxsat etiladi, faqat siz HashiCorp uchun «raqobatchi taklif» taqdim etgan holatlar bundan mustasno. API’larning o‘zi, SDK’lar va kutubxonalarning aksariyati MPL 2.0 ostida qoladi. Vault’dan o‘z kompaniyasi ichida foydalanadigan yakuniy foydalanuvchi uchun BSL cheklovi, qoida tariqasida, hech narsani o‘zgartirmaydi, biroq «raqobatchi taklif»ning huquqiy talqinini HashiCorp’ning litsenziya FAQ’sida o‘qib chiqqan ma’qul, ayniqsa Vault’ni o‘z mahsulotingiz yoki xizmatingizga o‘rnatayotgan bo‘lsangiz.

Bunga javoban OpenBao paydo bo‘ldi — ochiq fork atrofidagi jamoa. Loyiha repozitoriysi MPL-2.0 ostida tarqatiladi, loyihaning o‘zi esa ochiq boshqaruvni e’lon qiladi; u o‘zini sirlar, sertifikatlar va kalitlarni boshqarish, saqlash va tarqatish uchun dasturiy yechim sifatida ta’riflaydi, dinamik sirlar, ijara va bekor qilish imkoniyatlari bilan. Rasman bu Vault’ning tijoriy versiyasi emas, balki alohida mahsulot: imkoniyatlari, qo‘llab-quvvatlashi va reliz muddatlari farq qiladi, ularni joriy relizlar bo‘yicha taqqoslash kerak.

Bundan tashqari, 2025-yil 27-fevralda IBM HashiCorp’ni 6,4 mlrd dollarga sotib olish bitimi yakunlanganini e’lon qildi. HashiCorp mahsulotlari, jumladan Vault, endi IBM’ga tegishli; bu litsenziya siyosati va mahsulotlar qatoriga qanday ta’sir qilishini vendordan aniqlashtirgan ma’qul.

CyberArk Conjur

Conjur — CyberArk’ning sirlarni va ilovalar identifikatsiyasini boshqarish yechimi. Bir nechta variant mavjud:

• Conjur OSS — ochiq versiya: repozitoriy ma’lumotlariga ko‘ra, server qismi GNU LGPL v3.0, mijozlar va kengaytmalar esa Apache 2.0 ostida tarqatiladi. PostgreSQL bilan Docker konteynerlarida ishlaydi, rolga asoslangan siyosatlar tilini, REST API’ni hamda o‘rnatilgan autentifikatorlar va rotatorlarni ishlatadi. Qo‘llab-quvvatlash — jamoa orqali.
• Tijoriy variantlar. CyberArk Conjur serveri uchun tijoriy litsenziyalarni va ochiq versiyadan CyberArk Secrets Manager, Self-Hosted’ga o‘tish bo‘yicha qo‘llanmani taklif qiladi. Bulutli variant Secrets Manager SaaS deb ataladi. CyberArk’da funksiyalar tarkibi va nashrlar nomlari o‘zgarib turadi, ularni vendor saytida tekshirish kerak.

Kuchli tomonlari: kompaniyada CyberArk platformasi allaqachon o‘rnatilgan bo‘lsa, odamlarning imtiyozli kirishi va ilova sirlariga yagona yondashuv; kod sifatida kirish siyosati; CI/CD va orkestratorlar bilan integratsiyalar.

Cheklovlar: xizmat sifatida shifrlash va ma’lumotlar bazalari uchun dinamik sirlar kabi o‘rnatilgan imkoniyatlar to‘plamini Vault bilan solishtirganda o‘z stsenariylaringiz bo‘yicha alohida tekshirish kerak. Tijoriy variantlar narxi — so‘rov bo‘yicha.

Bulutli Secrets Manager va KMS

Har bir yirik bulutda o‘z xizmatlari bor: AWS Secrets Manager va AWS KMS, Azure Key Vault, Google Secret Manager va Cloud KMS. Ularning asosiy afzalligi — ekspluatatsiyani talab qilmaydi va provayderning rollari hamda xizmatlari bilan chambarchas integratsiyalangan.

AWS misolida narxlar bo‘yicha mo‘ljal (ommaviy tariflar, o‘zgarishi mumkin): Secrets Manager — oyiga bir sir uchun 0,40 dollar va 10 000 API chaqiruvi uchun 0,05 dollar; AWS KMS — oyiga bitta boshqariladigan kalit uchun 1 dollar, qo‘shimcha so‘rovlar (sahifadagi misollarda simmetrik operatsiyalarning 10 000 so‘rovi uchun 0,03 dollar). 1500 ta sir va taxminan 900 000 API chaqiruvi uchun AWS o‘z misolida oyiga 604,50 dollar baho keltiradi.

Cheklovlar: provayderga bog‘lanib qolish, turli bulutlarda funksiyalar to‘plamining har xilligi, gibrid va multibulutli arxitekturadagi murakkabliklar. Ma’lumotlari o‘z serverlarida yoki lokal ma’lumotlar markazida qolishi kerak bo‘lgan kompaniyalar uchun bulutli xizmatlar regulyatorlar talablari yoki xavfsizlik siyosatiga ko‘ra to‘g‘ri kelmasligi mumkin.

Shuni ta’kidlaymizki, KMS va sirlar menejeri — turli narsalar: KMS kriptografik kalitlarni va ular bilan amallarni boshqaradi, Secrets Manager esa ixtiyoriy sirlarni saqlaydi. Vault ikkala rolni birlashtiradi.

Mezonlar bo‘yicha taqqoslash

• Muhit: Vault — istalgan (on-premise, Kubernetes, multibulut); Conjur — on-premise va SaaS, CyberArk bilan kuchli integratsiya; bulutli xizmatlar — bitta provayder doirasida.
• Dinamik sirlar: Vault — ijara va bekor qilish bilan yetuk amalga oshirish; Conjur — o‘z stsenariylaringiz bo‘yicha tekshiring; bulutli xizmatlar — sirlar rotatsiyasi va provayder rollari.
• Xizmat sifatida shifrlash: Vault — Transit; bulutli — KMS; Conjur — asosiy vazifa emas.
• Ekspluatatsiya: Vault va Conjur jamoani talab qiladi; bulutli xizmatlarni provayder boshqaradi.
• Litsenziya: Vault — BSL (Enterprise — tijoriy), OpenBao forki — MPL-2.0; Conjur OSS — LGPL v3, tijoriy variantlar pullik; bulutli — foydalanish bo‘yicha to‘lov.
• Narx: bulutli — ommaviy tariflar; Vault Enterprise va CyberArk — so‘rov bo‘yicha.

Qanday tanlash kerak

1. Muhitni aniqlang. Hammasi bitta bulutda bo‘lsa — uning xizmatidan boshlang. Gibrid, bir nechta bulut yoki yopiq kontur bo‘lsa — Vault va shunga o‘xshash mustaqil yechimlarga qarang.
2. Dinamik sirlar va xizmat sifatida shifrlash kerak yoki yo‘qligini aniqlang. Agar kerak bo‘lsa, bu Vault foydasiga kuchli dalil.
3. Mavjud stekni hisobga oling. Agar imtiyozli hisoblar uchun CyberArk joriy etilgan bo‘lsa, Conjur yagona boshqaruvni osonlashtirishi mumkin.
4. Ekspluatatsiya jamoasini baholang. Self-hosted ombor — muhim infratuzilma va u bilan kimdir shug‘ullanishi kerak.
5. Litsenziya holatini yuristlar bilan tekshiring: ayniqsa omborni o‘z mahsulotingizga o‘rnatayotgan bo‘lsangiz.
6. Bitta ilovada pilot o‘tkazing: ulanish, rotatsiya, bekor qilish, audit.

Dinamik yaratiladigan hisob ma’lumotlari va uchidan-uchigacha shifrlashga ega ilovalar uchun ko‘pincha HashiCorp Vault tanlanadi. Ta’minot zanjirida sirlarning o‘zini qanday himoya qilish kerakligini Shai-Hulud hodisasi tahlili ko‘rsatadi: unda sizib chiqqan tokenlar chuvalchang tarqalishining kanaliga aylandi.

Ko‘p so‘raladigan savollar

Manbalar

• HashiCorp: Business Source License’ga o‘tish
• Linuxiac: IBM HashiCorp’ni sotib olishni yakunladi
• HashiCorp: License FAQ
• Vault: Transit secrets engine
• Vault: Lease, Renew, and Revoke
• OpenBao: loyiha repozitoriysi
• CyberArk Conjur OSS: README
• AWS: Secrets Manager tariflari
• AWS: KMS tariflari