Die Tür ist offen, nur schmaler als sie aussieht

In der Migrationsanleitung von OpenBao steht ein Nebensatz: Ab Vault 1.15.0 funktioniert der Umstieg nicht mehr. Diese Version ist fast drei Jahre alt. Der Satz schließt damit praktisch jede Vault aus, die heute produktiv läuft.

Ich habe es nachgemessen, gegen Vault 1.14.1, 1.15.6 und 2.0.3, jedes Image mit Registry-Digest. Der Umstieg funktioniert. OpenBao startet auf dem Raft-Verzeichnis eines aktuellen Vault, entsiegelt mit denselben Shamir-Anteilen und liefert dasselbe Secret. Kein Export, kein Import, kein Wartungsfenster.

Der Beweis, dass da nichts kopiert wurde, steht in OpenBaos eigener Versionshistorie:

$ bao version-history
1.14.1   2026-08-03T20:59:46Z
2.0.3    2026-08-03T21:06:07Z
2.6.1    2026-08-03T21:06:10Z

Drei Versionen, ein Store. Das ist die gute Nachricht, und sie ist zugleich die gefährliche. Denn es funktioniert nicht vollständig, und es sagt dir niemand, was fehlt.

Nicht die Versionsnummer entscheidet, sondern was in deinem Store liegt.

Was den Umstieg wirklich begrenzt, sind Mounts, deren Plugin OpenBao nicht mitbringt. Die brechen den Start nicht ab, sie werden übersprungen. Danach steht der Pfad weiter in bao secrets list, und ein Lesezugriff antwortet mit No value found, also genau dem, was auch ein leerer Pfad sagt. Kein Fehler, keine Warnung.

Und ab Vault 2.0 hat jeder Store mindestens einen solchen Mount, ohne dass ihn jemand aktiviert hätte: agent-registry, den legt Vault für seine Agenten-Funktion selbst an.

Video ansehen →

Im Video sehe ich dafür zuerst in den Raft-Store hinein, ohne Token und ohne Unseal, und zeige, was dort im Klartext steht und was nicht. Danach der Prozesstausch, die nachgemessene Grenze und das stille Fehlerbild.

Einen Befund habe ich an OpenBao zurückgegeben. Aus dem Doku-Issue wurde ein Pull Request, ein Maintainer hat am Wortlaut mitgeschrieben. Dabei kam ein zweiter Befund heraus: Der vorgeschlagene Reparaturweg über ein nachinstalliertes Plugin funktioniert so nicht, der Reload meldet Erfolg und hinterlässt den Mount halb kaputt. Der Pull Request steht deshalb inzwischen auf blocked. Genau das ist der Vorteil offener Software: nicht, dass es keine Fehler gäbe, sondern dass du sie belegen und öffentlich hinlegen kannst.

Zum Ausdrucken und Weitergeben: Zeitleiste, Inventur-Bogen vor dem Umzug, die eingebauten Plugins von OpenBao, das stille Fehlerbild und die Cutover-Reihenfolge, als Spickzettel im PDF-Format, sechs Seiten, auch fürs Team.

Lieber lesen als schauen? Den technischen Kern habe ich auch als Beitrag aufgeschrieben, mit allen Messungen und dem vollständigen Verlauf im Pull Request.

Der Satz, der davon bleibt: Bei einem Secret-Store ist die Lock-in-Frage nicht, ob du deine Werte mitnehmen kannst. Sie lautet, ob du sie wegwerfen kannst.

Bis nächste Woche,
Christian