Belajar Secret Management - Sejarah Fork, Manifesto Linux Foundation & Mengapa Memilih OpenBao

#Pendahuluan

Di episode 0 kalian sudah menyiapkan environment: CLI bao terinstall, server dev mode berjalan, dan BAO_ADDR dengan BAO_TOKEN siap dipakai. Episode 1 ini membahas satu pertanyaan yang jarang dijawab dengan tuntas: dari mana OpenBao berasal, dan mengapa ratusan tim DevOps memilihnya?

Jawabannya bukan sekadar soal fitur. OpenBao lahir dari sebuah peristiwa yang mengubah arah industri secret management: keputusan HashiCorp mengubah lisensi Vault dari open source ke lisensi yang lebih restriktif. Episode ini akan mengajak kalian menyelami kisah tersebut, memahami manifesto OpenBao di bawah Linux Foundation, lalu menimbang apakah OpenBao memang pilihan yang tepat untuk kebutuhan kalian.

#Awal Mula: Lisensi HashiCorp Vault Berubah

Selama bertahun-tahun, HashiCorp Vault menjadi standar de-facto secret management dengan lisensi MPL-2.0 yang diakui OSI sebagai open source. Namun pada tahun 2023, HashiCorp mengumumkan perubahan besar: produk-produknya, termasuk Vault, tidak lagi memakai lisensi open source tradisional, melainkan beralih ke Business Source License (BSL/BUSL).

Perubahan ini memicu diskusi panjang di komunitas. Secara teknis BSL masih boleh dibaca dan dimodifikasi, tapi penerapan komersial dibatasi — Vault tidak lagi bisa dianggap 100 persen open source. Bagi tim yang selama ini membangun infrastruktur di atas Vault dan mengandalkan lisensi open source, perubahan ini adalah pertanda bahwa kendali masa depan produk berada di tangan satu vendor.

#Desember 2023: Lahirnya Fork di Bawah Linux Foundation

Respon komunitas datang cepat. Pada Desember 2023, sebuah fork Vault lahir dengan nama OpenBao, dan langsung menemukan rumah yang netral: Linux Foundation melalui payung LF Projects.

Mengapa naungan Linux Foundation itu penting? Karena Linux Foundation adalah organisasi nirlaba yang menjadi penjaga ratusan proyek open source besar. Dengan bergabung di LF Projects, OpenBao mendapatkan:

• Governance yang netral — tidak ada satu perusahaan yang mengontrol arah pengembangan.
• Struktur komunitas yang jelas — kontributor dari berbagai organisasi punya suara yang setara.
• Kepastian lisensi — kode tetap berada di tangan komunitas selamanya.

Fork ini bukan sekadar salinan kode: OpenBao mewarisi seluruh basis kode Vault saat versi terakhir yang masih open source, lalu melanjutkan pengembangannya dengan ritme dan prioritas komunitas sendiri.

#Komitmen OpenBao

Manifesto OpenBao bisa diringkas dalam tiga komitmen utama.

#100% Truly Open Source (MPL-2.0)

Seluruh kode OpenBao dirilis di bawah lisensi MPL-2.0 — lisensi yang sama yang selama ini dipakai Vault sebelum pindah ke BSL, dan masih diakui OSI sebagai open source. Artinya:

• Kode bisa dibaca, dimodifikasi, dan didistribusikan.
• Perusahaan boleh memakai secara komersial tanpa biaya lisensi.
• Tidak ada fitur yang dikunci di balik edisi enterprise.

#Governance Transparan Berbasis Komunitas

Berbeda dari model vendor-driven, OpenBao dikelola komunitas: proposal perubahan dibahas terbuka, pengambilan keputusan melibatkan kontributor, dan roadmap diprioritaskan berdasarkan kebutuhan pengguna nyata — bukan kepentingan komersial satu perusahaan.

#Tanpa Fitur Berbayar Tersembunyi

Pernah mendengar istilah open-core? Model itu menawarkan versi gratis dengan fitur terbatas, lalu fitur penting dikunci di edisi berbayar. OpenBao menolak model tersebut — fitur seperti auto-unseal, dynamic secrets, dan replication tersedia di rilis komunitas tanpa label harga tersembunyi.

#Backward Compatibility dengan Vault 1.15.x

Pertanyaan paling sering: "Apakah OpenBao kompatibel dengan Vault yang sudah ada di produksi kami?" Jawabannya ya — dengan catatan versi. OpenBao dirancang backward compatible 1:1 dengan HashiCorp Vault versi 1.15.x ke bawah:

• Endpoint REST API /v1/... tetap sama.
• Format file konfigurasi tetap memakai HCL.
• Semua perintah CLI vault bisa dipetakan ke bao satu-ke-satu.

Karena itu, tim yang bermigrasi tidak perlu menulis ulang integrasi. Bahkan kalian bisa memakai alias vault=bao dan sebagian besar pipeline lama akan berjalan tanpa perubahan berarti — topik migrasi menyeluruh akan kita bedah di episode 18.

bao version
bao status

bao status akan menampilkan informasi server seperti versi dan status seal. Jika kedua perintah berjalan tanpa error, environment episode 0 sudah siap menampung seluruh praktik di episode ini.

#Mengapa Memilih OpenBao?

Mari kita bahas satu per satu alasan yang membuat OpenBao menarik bagi tim Security, DevOps, dan Backend.

#Centralized Secret Storage

Semua secrets — password, API keys, token, sertifikat — disimpan di satu tempat terpusat yang terenkripsi. Tidak ada lagi secrets yang tersebar di .env, file konfigurasi, atau repository. Satu titik kontrol berarti satu titik audit.

#Dynamic Secrets

Ini salah satu fitur paling revolusioner. Alih-alih menyimpan password statis yang berlaku bertahun-tahun, OpenBao membuat kredensial on-demand yang berlaku singkat lalu dihapus otomatis. Jika bocor, masa hidupnya sudah lewat sebelum sempat disalahgunakan. Kalian akan mempraktikkannya di episode 4 dengan dynamic database credentials.

#Transit Encryption-as-a-Service

OpenBao bisa menjadi mesin enkripsi untuk aplikasi kalian: kirim data, OpenBao mengembalikan ciphertext, dan sebaliknya — tanpa menyimpan data itu sendiri. Ideal untuk melindungi data sensitif seperti NIK atau nomor kartu. Dibahas tuntas di episode 5.

#PKI Engine

OpenBao bisa berperan sebagai Certificate Authority internal, menerbitkan sertifikat TLS dengan TTL pendek secara otomatis. Tidak perlu lagi berlangganan CA publik untuk internal service. Materi ini menanti di episode 6.

#Auto-Unseal

Dengan integrasi ke cloud KMS, server OpenBao bisa membuka seal sendiri saat boot, tanpa campur tangan manusia. Ini menyelesaikan salah satu masalah operasional terbesar di produksi, dan akan dibahas di episode 2 dan 16.

#Zero Vendor Lock-in

Karena kode dan lisensi milik komunitas, kalian tidak bergantung pada roadmap atau kebijakan harga vendor mana pun. Ini jaminan investasi jangka panjang.

#OpenBao vs Vault vs Alternatif Lain

Untuk memperjelas posisi OpenBao, mari bandingkan dengan alternatif yang umum dipakai:

Dari tabel ini terlihat: OpenBao menawarkan kemampuan setara Vault — bahkan lebih — tetapi dengan lisensi open source penuh dan tanpa ikatan vendor. Cloud secrets manager nyaman, tapi mengikat kalian ke satu ekosistem. Kubernetes Secrets praktis, tapi tidak menyediakan enkripsi at-rest, dynamic credentials, maupun lifecycle management yang sebanding.

#Penutup

Pada episode 1 ini, kalian memahami perjalanan OpenBao dari respons terhadap perubahan lisensi HashiCorp Vault, kelahirannya pada Desember 2023 di bawah Linux Foundation, komitmennya terhadap open source MPL-2.0 dengan governance komunitas, kompatibilitas 1:1 dengan Vault 1.15.x, serta alasan-alasan teknis memilih OpenBao untuk secret management.

Inti yang harus dibawa pulang:

• OpenBao lahir dari keputusan komunitas — perubahan lisensi Vault ke BSL memicu fork pada Desember 2023.
• MPL-2.0 dan Linux Foundation adalah jaminan bahwa OpenBao tetap 100 persen open source dan dikelola komunitas.
• Kompatibel dengan Vault 1.15.x ke bawah — integrasi yang ada tidak perlu ditulis ulang.
• Fitur inti yang dibawa Vault tetap utuh — centralized storage, dynamic secrets, transit, PKI, dan auto-unseal.

Di episode 2 berikutnya kita masuk ke bagian terdalam OpenBao: arsitektur utama dan operasi inisialisasi — bagaimana storage backend seperti Raft bekerja, apa itu barrier engine, cara kerja Shamir secret sharing dengan unseal keys, proses bao operator init, unsealing manual, auto-unseal, dan kebijakan terbaik mengelola root token. Pastikan server dev mode kalian menyala, karena kita akan mempraktekkan inisialisasi untuk pertama kalinya!