openbao
SHA-256开源密钥管理工具，安全存储和分发 API 密钥、证书等敏感数据，Vault 的社区开放替代品
企业密钥保险柜，Vault 的真正开源平替
核心功能
- 加密存储密钥：数据先加密再落盘，拿到原始存储也读不到内容
- 动态生成凭证：按需为 AWS、数据库创建短期账号，到期自动销毁
- 数据加密服务：加密解密数据但不存储，开发者无需自己设计加密方案
- 租约与自动吊销：所有密钥都有有效期，支持续租和批量吊销
- 完整审计能力：谁在什么时间访问了什么密钥，一目了然
避坑指南
- •注意：dev 开发模式数据只存在内存、自动解封，绝不能用于生产环境。OpenBao 是面向运维和平台团队的基础设施软件，不是 1Password 这类个人密码管理器，普通用户拿来存个人密码会非常折腾。生产部署需要提前规划解封流程、存储后端和高可用架构，上手门槛不低。另外它只提供自托管方案，没有官方托管服务，需要自己维护服务器。Go 开发者请勿把主仓库当库直接 import，官方仅支持 api/v2 和 sdk/v2 两个客户端库。
适用场景
- 平台团队集中管理数据库密码、API 密钥，替代散落在代码和配置文件里的明文凭证
- 微服务架构中统一颁发和轮换服务间通信的证书与密钥
- 出现安全入侵时一键吊销某个用户或某类服务的全部密钥，快速止损
OpenBao 是一款开源的敏感数据管理工具，用于安全地存储和分发密钥、证书、API 凭证等机密信息。它在写入磁盘或 PostgreSQL 之前先加密数据，可按需为 AWS、数据库动态生成短期凭证，支持数据加密服务和租约到期自动吊销。相比 HashiCorp Vault，OpenBao 有两大独特优势：采用真正开放的 MPL-2.0 协议（Vault 已转向受限的 BUSL 协议），并由 Linux 基金会和 OpenSSF 以开放治理模式运营，不受单一厂商控制。与 AWS Secrets Manager 等托管服务不同，OpenBao 支持自托管、跨云平台，让团队完全掌控自己的安全基础设施。项目自带命令行工具、HTTP API、Web 界面和官方 Go 客户端库，并获得 OpenSSF 安全记分卡认证，非常适合需要集中管理密钥、审计访问记录、自动轮换凭证的平台团队。
标签
快速上手
安装软件
双击下载的安装程序，按提示完成安装
从 GitHub Releases 下载对应系统的 bao 二进制文件并解压到 PATH 目录（或用 Go 执行 go build 自行编译）
运行 bao server -dev 启动开发模式服务器，终端会输出临时 Root Token
新开终端设置环境变量 export BAO_ADDR=http://127.0.0.1:8200
- 从 GitHub Releases 下载对应系统的 bao 二进制文件并解压到 PATH 目录（或用 Go 执行 go build 自行编译）
- 运行 bao server -dev 启动开发模式服务器，终端会输出临时 Root Token
- 新开终端设置环境变量 export BAO_ADDR=http://127.0.0.1:8200
已提供 SHA-256 校验码，下载后可自行核对文件完整性
该校验码提取自 GitHub 官方 Release 页面
SHA256 校验码
c1d6d3e2ff72a6fc47b9efc2ed82482c30c70fc216f67f1c3b56edafd2f396e2该校验码提取自 GitHub Release 页面，下载后请自行核对文件完整性
本平台所有 SHA-256 校验码均提取自项目在 GitHub 官方 Release 页面发布的文件，未做任何修改。你可以通过 GitHub Releases 页面自行验证。
开源透明
查看 GitHub 源码卸载说明
先停止正在运行的 bao 服务进程，然后删除 bao 二进制文件（通常在 /usr/local/bin 或自定义 bin 目录），接着删除数据目录（默认 file 存储后端的数据路径）和配置文件（如 config.hcl），最后清理 shell 配置文件中设置的 BAO_ADDR、BAO_TOKEN 等环境变量即可完全卸载。
无额外依赖
下载后即可直接使用，无需安装其他运行环境
遇到问题？查看下方 FAQ
3 FAQs