OpenBao 是 Vault 的 MPL-2.0 开源分叉，API 与 CLI 高度兼容。文章基于 v2.7.2，介绍安装、KV、数据库动态凭证、PKI、Transit、AppRole 与 Kubernetes 认证、策略与 Control Group、Shamir 与插件化 Auto Unseal、Raft/PostgreSQL 高可用、审计监控、K8s 集成及备份运维，并强调 2.7.2 修复 11 个安全漏洞，应尽快升级。

Christian Posta 通过四篇文章探讨 AI Agent 外部 API 凭证安全：主张 Agent 不应持有凭证，凭证集中管理后需将解密权从存储密文的进程中剥离。方案从信封加密、AWS KMS Grant 演进到 OpenBao 2.7 的 Control Groups，实现控制器只能提议、Broker 只能批准，应用侧无组件持有常驻解密权。但网关被攻陷、热路径明文泄露等风险仍存。

.NET开发者geffzhang向OpenClaw.NET提交PR #241，新增HashiCorp Vault/OpenBao密钥后端。设计上调用点零改动，原env:OPENAI_API_KEY可直接改写为vault:secret/data/openclaw/openai#api_key。Core层仅加抽象不加依赖，失败路径显式抛异常、拒绝静默降级，密钥值不进日志，启动期校验配置并预热。NativeAOT不含Vault后端，需JIT部署。

本文介绍用 OpenBao 与 CloudNativePG 搭建全开源密钥管理栈：OpenBao 的 PostgreSQL 存储后端将 CNPG 三实例集群变为加密键值库，采用同步复制实现零数据丢失故障转移；通过 DatabaseRole 签发 TLS 客户端证书，实现无密码 mTLS 认证，并用 pg_hba 规则强制校验。文章详述部署集群、初始化表结构、Helm 安装 OpenBao 及解封验证流程，并提醒证书续期需滚动重启。

本文介绍如何在Kubernetes上使用CloudNativePG（CNPG）作为OpenBao的PostgreSQL存储后端，实现无密码的TLS客户端证书认证。通过部署三实例CNPG集群、创建数据库角色和表结构，并配置OpenBao的Helm图表，实现高可用和同步复制。文章涵盖初始化、解封、读写测试及证书续期等操作，强调全开源、无供应商锁定。

Percona宣布其MongoDB服务器现支持OpenBao进行数据静态加密密钥管理，确保数据安全和合规，避免供应商锁定。