--- title: "OpenBao 2.7 harici HSM anahtarları ve post-quantum TLS getiriyor" description: "OpenBao 2.7, PostgreSQL için read scaling, HSM ve KMS anahtar desteği ile post-quantum TLS getiriyor; kaldırılan backend ve plugin'lere dikkat edin." image: "https://sezer.in/wp-content/uploads/2026/11/generatedHeaderImage-1793734932785.jpg" url: "https://sezer.in/haberler/openbao-2-7-hsm-kms-post-quantum-tls/" date: "2026-11-08T11:31:19+03:00" updated: "2026-11-08T11:31:19+03:00" author: "Sezer Şanlıkan" lang: "tr" source: "https://sezer.in/haberler/openbao-2-7-hsm-kms-post-quantum-tls/" --- # OpenBao 2.7 harici HSM anahtarları ve post-quantum TLS getiriyor OpenBao 2.7 yayımlandı; sürüm PostgreSQL backend'li kurulumlara read scaling, PKI ve Transit engine'leri için harici HSM (Hardware Security Module) ve KMS (Key Management Service) anahtar desteği ile ML-DSA ve ML-KEM algoritmalarını getiriyor. Hassas işlemlerde ikinci bir kişinin onayını isteyen control group özelliği de eklendi. Proje, HashiCorp Vault'un 2023'teki lisans değişikliğinin ardından doğan bir fork ve Linux Foundation bünyesindeki Open Source Security Foundation altında MPL 2.0 lisansıyla geliştiriliyor. ## OpenBao nedir, ne için kullanılır? OpenBao, HashiCorp Vault'tan türetilmiş açık kaynak bir secrets yönetim sunucusudur. Parola, API anahtarı, sertifika ve veritabanı credential'larını merkezi olarak saklar, dinamik secret üretir ve şifreleme servisi verir. Vault API'si ile büyük ölçüde uyumludur. Linux Foundation çatısı altında topluluk yönetimiyle geliştirilir; en bilinen alternatifi HashiCorp Vault'tur. ## OpenBao 2.7'de önce kaldırılanlara bakın Bu sürümde yükseltmeyi bozabilecek olan, dışarı taşınan parçalar. Ayrı HSM dağıtımı sonlandırıldı; PKCS#11 desteği artık harici plugin. Alibaba Cloud, AWS, Azure, Google Cloud ve Oracle Cloud için gömülü auto-unseal mekanizmaları da plugin'e taşındı. Şu kurulumlar doğrudan etkileniyor: - Bulut KMS ile auto-unseal yapan cluster'lar - HSM dağıtımını kullanan kurulumlar - Kerberos, LDAP veya RADIUS authentication ile LDAP secrets engine kullananlar; bunlar openbao-plugins repo'suna geçti - File storage backend ile çalışan test veya küçük kurulumlar Yapılandırma dosyalarınızı yükseltmeden önce tarayın: ``` grep -rn 'storage "file"' grep -rn 'seal "' ``` İlk komut eşleşme döndürüyorsa önce Raft veya PostgreSQL'e geçiş planlayın. File backend zaten high availability ve transaction desteğinden yoksundu. İkinci komut bulut KMS'li bir seal satırı gösteriyorsa unseal artık plugin'e bağlı. Plugin'i node'lara dağıtmadan yeni binary'yi production'da başlatmayın; restart davranışını önce staging'de görün. ## PostgreSQL'de standby node'lar okumaya katılıyor Raft için daha önce eklenen read scalability şimdi PostgreSQL backend'ine geldi. Standby instance'lar read isteklerine cevap verebiliyor. Çok sayıda pod'un açılışta secret çektiği Kubernetes cluster'larında yük artık tek active node'a binmiyor. Load balancer arkasında birden fazla node koşturuyorsanız sürümle gelen yeni header'ları inceleyin. Amaçları, istekleri load-balanced node'lar arasında tutarlı tutmak. Bir secret'ı yazıp hemen okuyan iş akışlarınızı, örneğin dinamik credential üreten pipeline'ları, bu kurulumda ayrıca test edin. PostgreSQL tarafının kendi HA yapılandırması da sizin sorumluluğunuzda kalıyor. ## Root CA anahtarı HSM'de kalabiliyor PKI ve Transit engine'leri anahtar materyalini artık OpenBao içinde saklamak zorunda değil. Anahtar HSM veya KMS'te duruyor, OpenBao yalnızca onu kullanıyor. Vault'ta bu işlevi Enterprise lisansındaki managed keys karşılıyordu. Root CA private key'inin yazılım içinde durması denetimde sorun çıkarıyorsa bu sürüm o engeli kaldırıyor. Bu durumda imzalama third-party bir plugin'e ve HSM'e erişime bağlı hale geliyor. HSM'e giden ağ yolu kesilirse sertifika üretimi durur. Plugin sürümlerini OpenBao sürümüyle birlikte takip edecek bir süreç kurmadan production'a almayın. ## Post-quantum için algoritmayı açmak yetmiyor ML-DSA ve ML-KEM; TLS listener'larda, certificate authentication'da, PKI'da ve Transit'te kullanılabiliyor. Bunu açmak deployment'ı quantum-safe yapmıyor. Client'lar, CA'lar ve aradaki proxy'ler de seçilen algoritmayı desteklemeli. Sırayla: - Ayrı bir test listener'ı açın, production listener'a dokunmayın - OpenBao'ya bağlanan uygulama, agent ve proxy'lerin bu algoritmalarla el sıkışıp sıkışmadığını tek tek deneyin - Uzun ömürlü veriyi koruyan Transit anahtarlarını öncelik listesinin başına koyun Gerekçe, şimdi kaydedilen şifreli trafiğin ileride çözülebilmesi riski. Devletlerin geçiş takvimi 2030 civarına işaret ediyor. Uyumluluk testine şimdi başlarsanız o tarihe sıkışmazsınız. ## Control group ile ikinci onay ACL policy içindeki yeni `control_group` stanza'sı, belirli path'lere erişimi ikinci bir kişinin onayına bağlıyor. Tek bir kimliğin yetmemesi gereken işler için tasarlandı. Root CA'dan imzalama yapan path'ler veya production veritabanı credential'ları ilk adaylar. Otomasyonun geçtiği path'lere bunu koymayın. CI job'u onay beklerken zaman aşımına düşer. Önce insanların elle yaptığı işlemleri listeleyin, control group'u yalnızca o path'lere bağlayın. ## Geçişi değerlendiriyorsanız Vault'tan geçiş düşünüyorsanız özellik listesinden çok operasyon olgunluğuna bakın. Plugin yaşam döngüsü, PostgreSQL HA, post-quantum client uyumu ve olay anında destek, karar listesinin başında durmalı. 2.8'in güvenlik ve stabiliteye, muhtemelen authentication iyileştirmelerine odaklanması bekleniyor. 2.7 "several major security patches" da içerdiği için yükseltmeyi uzun süre ertelemeyin. Ticari destek veya FIPS 140-3 uyumu gerekiyorsa ControlPlane'in OpenBao için kurumsal paketi de seçenekler arasında; bu ihtiyacı geçiş planına baştan yazın.