OCI Vault
概述¶
OCI Vault 是 oracle-cloud Infrastructure (OCI) 提供的託管式加密與金鑰管理服務。它允許用戶集中管理用於加密資料的金鑰，以及儲存和保護應用程式所使用的敏感配置資訊（如密碼、憑證或 API 密鑰）。該服務基於 hashicorp-vault 的概念，但深度集成於 OCI 生態系統，並提供符合 FIPS 140-2 Level 3 標準的硬體安全模組 (HSM)。
主要功能¶
金鑰管理服務 (KMS)¶
OCI Vault 提供金鑰管理功能，支持建立與管理主加密金鑰 (Master Encryption Key, MEK)。這些金鑰可用於加密 OCI 的各種服務，例如 Block Volumes 或 Object Storage 的資料，確保靜態資料安全。對於特定合規需求，用戶可以執行 BYOK (Bring Your Own Key) 或匯入外部生成的金鑰材料。金鑰版本化與輪換 (Key Rotation) 機制有助於減少長期使用單一金鑰的風險。
秘密管理 (secrets-management)¶
秘密管理功能專門用於存放敏感資料，解決了將硬編碼密鑰存放於原始碼中的安全風險。透過 oci-cli 或 OCI SDK，Instance Principal 可以直接在不暴露憑證的情況下獲取這些秘密。對於自動化工作流程，例如 n8n 或 oci-email-delivery，該服務提供自動輪換 (Auto-rotation) 能力，降低了管理憑證的維運成本。
安全與維運考量¶
- 生命週期管理：OCI Vault 實行嚴格的刪除保護。刪除或停用金鑰可能導致加密資料永久鎖死，建議優先使用 disable 而非 delete。雖然 infisical 等工具在第三方部署中表現出色，但在 OCI 環境下，使用原生 Vault 可獲得更好的 identity 權限控制與稽核軌跡。
- 與第三方工具對比：相對於 vaultwarden 或 infisical 等私有化部屬方案，OCI Vault 的主要優勢在於其原生 IAM 集成與針對合規環境（如 PCI-DSS）的審計能力。不過，對於一般開發環境，如果沒有嚴格的原生整合要求，現有的 infisical 或其他機密管理器可能更具靈活性。
- 限制額度：在 Always Free 方案中，OCI Vault 提供有限的免費額度，適度運用於核心生產環境的關鍵秘密儲存，可有效提升系統整體安全性。