Belajar Vault - Ekosistem Secret Management & Perbandingan Tools

#Pendahuluan

Di episode 1 sebelumnya, kita sudah memahami masalah yang Vault pecahkan: secret sprawl — secret yang menyebar tak terkendali di source code, file .env, spreadsheet, dan chat. Kita juga melihat empat pilar kemampuan Vault: centralized storage, dynamic secrets, encryption-as-a-service, dan fine-grained access control dengan audit logging. Nah, di episode 2 ini kita akan melebarkan pandangan ke ekosistem secret management secara menyeluruh — karena Vault bukan satu-satunya alat di lapangan.

Mengapa ini penting? Karena keputusan arsitektur terbaik tidak pernah "pakai tool paling populer", melainkan "pakai tool yang paling cocok dengan problem". Seorang engineer yang memahami landscape punya kemampuan untuk berargumen: "Tim kita single-cloud di AWS, secret-nya sedikit, dan budget operasional ketat — cukup pakai AWS Secrets Manager saja." Atau sebaliknya: "Kita multi-cloud, butuh dynamic database credentials, dan harus melewati audit compliance — ini kasus untuk Vault." Kemampuan memilih ini yang membedakan engineer biasa dari engineer yang dipercaya mengambil keputusan arsitektur.

Di episode ini kita akan membahas: pertama, cloud-native secret managers dari AWS, GCP, dan Azure; kedua, tools open-source seperti SOPS, Passbolt, Vaultwarden, dan OpenBao; ketiga, kriteria memilih — kapan Vault, kapan cloud-native, kapan tools lain — lengkap dengan tabel perbandingan fitur dan semacam decision tree.

#Landscape Secret Management di Industri

Ekosistem secret management bisa dipetakan ke dalam tiga kategori besar. Masing-masing menempati posisi yang berbeda dalam spektrum antara kemudahan dan kekuatan:

1. Cloud-Native Secret Managers — dikelola sepenuhnya oleh penyedia cloud (AWS Secrets Manager, Parameter Store, GCP Secret Manager, Azure Key Vault). Paling mudah, paling terintegrasi, tapi terikat vendor.
2. Vault-class Platform — self-hosted, vendor-agnostic, kaya fitur (HashiCorp Vault, OpenBao).
3. Specialized Tools — berfokus pada satu niche: SOPS untuk enkripsi file di Git, Passbolt/Vaultwarden untuk password manusia, gopass, dsb.

Peta ini penting: tidak ada satu tool yang menjawab semua kebutuhan, dan tanda kematangan seorang engineer justru terlihat dari kemampuannya menempatkan tool pada posisi yang tepat.

#Cloud-Native Secret Managers

Penyedia cloud besar masing-masing punya layanan secret management. Keunggulan utamanya: tidak perlu memelihara apa pun, terintegrasi mulus dengan ekosistem masing-masing (IaaS, IAM, Kubernetes), dan biaya awal rendah. Mari kita bedah satu per satu.

#AWS Secrets Manager

Layanan pengelolaan secret dari AWS. Ia mendukung rotasi otomatis terjadwal, integrasi dengan RDS, dan dapat diakses dari EC2, Lambda, dan EKS dengan memanfaatkan IAM role — tanpa menyimpan secret di kode aplikasi.

aws secretsmanager get-secret-value \
  --secret-id api/payment-gateway \
  --query SecretString --output text

Keunggulannya: dukungan rotasi terkelola, integrasi IAM, dan tidak ada server yang dirawat. Kekurangannya: terikat AWS (vendor lock-in), fitur enkripsi-as-a-service dan dynamic secrets untuk database non-AWS terbatas, dan biaya per secret + per pemanggilan API yang bisa membengkak di skala besar.

#AWS Systems Manager Parameter Store

Adiknya Secrets Manager yang lebih sederhana dan murah. Parameter Store fokus pada penyimpanan key-value (bisa sekadar config biasa, tidak harus secret). Gratis untuk parameter standar, dan mendukung parameter terenkripsi dengan KMS.

aws ssm get-parameter \
  --name "/app/production/db/password" \
  --with-decryption --query Parameter.Value --output text

#GCP Secret Manager

Layanan serupa dari Google Cloud. Ia memisahkan secret material (nilai rahasia) dari secret versions (versi-versionnya), sehingga rotasi dilakukan dengan menambah versi baru. Akses dikontrol dengan IAM Google Cloud dan bisa diintegrasikan ke GKE, Cloud Run, dan Compute Engine.

gcloud secrets versions access latest \
  --secret="api-payment-gateway" --format="value(payload.data)"

#Azure Key Vault

Layanan dari Microsoft Azure. Uniknya, Key Vault menangani tiga kategori sekaligus: secret (password/token), keys (kunci enkripsi untuk EaaS), dan certificates (sertifikat TLS). Integrasi erat dengan Azure AD (Entra ID), Managed Identity, dan layanan Azure lainnya.

az keyvault secret show \
  --name "api-payment-gateway" --vault-name "my-vault" \
  --query value --output tsv

#Ringkasan Cloud-Native

#Tools Open-Source

Di luar cloud, ada ekosistem open-source yang masing-masing mengisi niche tertentu. Beberapa di antaranya sangat populer dan perlu kalian kenali.

#SOPS (Secrets OPerationS)

SOPS dari Mozilla adalah tool enkripsi file — bukan server secret management. Ia mengenkripsi nilai-nilai rahasia di dalam file YAML, JSON, ENV, atau INI, lalu menyimpannya di Git dengan aman. Kunci enkripsinya bisa dikelola via KMS cloud (AWS KMS, GCP KMS, Azure Key Vault) atau key lokal (Age, PGP).

apiVersion: v1
kind: ConfigMap
metadata:
  name: app-config
data:
  database_password: ENC[AES256_GCM,data:Z3VpZGU=,iv:...,tag:...,type:str]
  api_key: ENC[AES256_GCM,data:G4d0xPw=,iv:...,tag:...,type:str]
sops:
  kms:
    - arn: arn:aws:kms:us-east-1:...
      created_at: "..."
      enc: CiC4...

sops --decrypt config.enc.yaml | grep database_password
database_password: G4d0xPw

Kekuatan SOPS terletak pada kesederhanaannya untuk skenario GitOps / Infrastructure as Code: kalian bisa me-review perubahan secret seperti me-review kode biasa. Kelemahannya: tidak ada dynamic secrets, tidak ada akses granular per-consumer, tidak ada audit trail terpusat, dan proses dekripsi terjadi di mesin yang menjalankan sops — bukan di server terpusat.

#Passbolt & Vaultwarden

Dua tool ini fokus pada kategori yang berbeda: password untuk manusia. Passbolt adalah password manager open-source untuk tim (self-hosted) dengan fitur sharing dan audit per-user. Vaultwarden adalah implementasi ulang server Bitwarden yang ringan dan self-hosted.

Keduanya luar biasa untuk kebutuhan "kru tim menyimpan password mereka", tetapi bukan untuk kebutuhan aplikasi: tidak ada API untuk aplikasi otomatis, tidak ada dynamic secrets, dan model keamanannya dirancang untuk manusia, bukan mesin. Gunakan sesuai tujuannya — jangan paksakan jadi "secret management untuk aplikasi".

#OpenBao: Fork Komunitas Vault

Ini yang paling relevan untuk seri ini. OpenBao adalah fork open-source dari HashiCorp Vault yang lahir setelah HashiCorp mengubah lisensi Vault dari MPL 2.0 menjadi Business Source License (BSL) pada tahun 2023. OpenBao dipertahankan oleh komunitas dan vendor-agnostic, bertujuan melanjutkan Vault dalam lisensi open-source penuh.

bao --version
Bao v2.0.1
 
# Semua command Vault (vault kv, vault read, dll) punya padanan
# dengan prefix 'bao' — sintaksnya 100% kompatibel
bao kv get secret/api/database

Poin penting yang perlu kalian tahu:

• Sintaks dan arsitektur identik dengan Vault — yang kalian pelajari di series ini 100% berlaku untuk OpenBao.
• OpenBao berkembang dengan fitur komunitasnya sendiri (misalnya dukungan storage backend tambahan).
• Banyak perusahaan memilih OpenBao untuk menghindari lisensi BSL; ada pula yang tetap memilih Vault untuk jaminan dukungan komersial HashiCorp.

#Kapan Memilih Vault?

Sekarang pertanyaan besarnya: dari semua tools ini, kapan kita memilih Vault? Jawaban jujurnya: tidak selalu. Vault punya biaya operasional — ia server yang harus dirawat, di-monitor, di-unseal, dan di-rotate kuncinya. Kalian hanya boleh membayar biaya itu kalau memang butuh kemampuannya.

#Vault adalah Jawaban Tepat Ketika...

1. Multi-cloud atau hybrid cloud. Kalian punya workload di AWS dan GCP, atau cloud dan on-premise. Secret management cloud-native terikat satu vendor; Vault adalah lapisan yang satu untuk semua.
2. Butuh dynamic secrets. Kredensial database yang dibuat on-demand dengan TTL pendek — fitur yang tidak dimiliki cloud-native secret manager secara native.
3. Butuh encryption-as-a-service. Aplikasi harus mengenkripsi data sensitif tanpa memegang kunci. Vault Transit adalah satu-satunya yang menjadikan ini layanan terpusat lintas aplikasi.
4. Butuh PKI terotomatisasi. Penerbitan sertifikat TLS internal short-lived dengan CA sendiri, bukan sertifikat publik dari vendor.
5. Butuh audit & compliance yang serius. Satu sumber kebenaran untuk "siapa mengakses apa, kapan" di seluruh secret.
6. Insecure by default bukan pilihan. Tim security ingin satu tempat kontrol untuk semua rahasia perusahaan.

#Vault Bukan Jawaban Tepat Ketika...

1. Single-cloud dan secret-nya sedikit. Satu aplikasi di AWS dengan 5 API key? AWS Secrets Manager + IAM role sudah lebih dari cukup dan jauh lebih murah.
2. Kebutuhan hanya password manusia. Tim kecil yang butuh tempat simpan password bersama? Passbolt atau Vaultwarden lebih tepat sasaran.
3. Tidak ada kapasitas operasional. Vault butuh operator yang paham lifecycle-nya. Tim tanpa SDM security/DevOps akan kesulitan; cloud-native "tinggal pakai" lebih realistis.
4. Kebutuhan hanya enkripsi file config. Semua secret kalian hidup di file yang di-manage Git? SOPS + Age/KMS adalah solusi yang jauh lebih ringan.

#Perbandingan Fitur: Vault vs Cloud-Native vs SOPS

Untuk memudahkan keputusan, berikut tabel perbandingan fitur yang menyeluruh. Perhatikan di mana Vault unggul dan di mana ia berbayar (dalam bentuk effort operasional):

#Membaca Tabel Ini dengan Benar

• Kolom Dynamic secrets adalah pembeda terbesar: hanya Vault yang punya kemampuan ini secara native. Ini bukan fitur "bagus untuk dimiliki" — ia mengubah postur keamanan secara fundamental.
• Kolom Multi-cloud menunjukkan kunci lainnya: tim yang berjalan di lebih dari satu cloud butuh satu platform, dan cloud-native terikat vendor.
• Kolom Managed service dan Cost model adalah alasan paling umum memilih cloud-native: tanpa effort operasional, biaya kecil di skala kecil.
• SOPS adalah kasus khusus: bukan platform, tapi tools — unggul justru di integrasi Git yang tidak dimiliki siapa pun, dan cocok untuk alur GitOps.

#Semacam Decision Tree

Jika kalian harus mengambil keputusan hari ini, ikuti alur berpikir berikut:

#Penutup

Di episode 2 ini kita sudah memetakan seluruh ekosistem secret management: cloud-native secret managers (AWS Secrets Manager, Parameter Store, GCP Secret Manager, Azure Key Vault), tools open-source (SOPS, Passbolt, Vaultwarden, OpenBao), dan kriteria kapan Vault adalah pilihan yang tepat — plus kapan justru bukan.

Poin penting yang harus kalian bawa:

• Tidak ada tool universal — setiap kategori mengisi kebutuhan yang berbeda.
• Cloud-native unggul di kemudahan dan biaya, tapi terikat vendor dan minim fitur lanjutan.
• Vault unggul di dynamic secrets, EaaS, PKI, multi-cloud, dan audit — dengan harga berupa effort operasional.
• OpenBao adalah fork open-source Vault dengan sintaks yang identik.
• Keputusan memilih tool harus dimulai dari kebutuhan, bukan popularitas.

Sekarang kalian sudah paham posisi Vault di ekosistem. Di episode 3 selanjutnya, kita akan membedah arsitektur utama dan konsep keamanan Vault — bagaimana storage backend dan Vault Core bekerja, alur request dari client sampai storage, proses initialization dan unsealing dengan Shamir's Secret Sharing, serta risiko root token. Ini episode paling fundamental untuk memahami kenapa Vault aman — dan akan jadi fondasi untuk seluruh episode teknis berikutnya. Pastikan tetap semangat, karena di episode 3 inilah misteri "kenapa Vault perlu di-unseal" akan terpecahkan!