From e012654915e79e5ea3b2985015889b4dc791a00d Mon Sep 17 00:00:00 2001 From: Lutz Finsterle Date: Sat, 24 Oct 2026 09:39:32 +0200 Subject: [PATCH] OpenBAO-Server 2.6.2 -> 2.7.1 (Unsealer bleibt vorerst) Die CLI auf pi5-1 ist seit dem 01.10. 2.7.1, der Server lief noch auf 2.6.2. Der Hauptknoten entsiegelt sich per Transit ueber den Sidecar selbst, der Austausch brauchte also keine Schluessel: Log zeigt "unsealed with stored key" und "Recorded vault version: 2.7.1". Der Sidecar openbao-unsealer bleibt bewusst auf 2.6.2. Er ist Shamir-versiegelt mit Schwelle 1/1 und muesste nach einem Austausch von Hand entsiegelt werden - und solange er versiegelt ist, kommt auch der Hauptknoten beim naechsten Start nicht hoch. Die Transit-API ist versionsuebergreifend stabil, der Mischbetrieb ist also unkritisch. Geprueft nach dem Austausch: Siegelstatus, Lesezugriff ueber Traefik-TLS von pi5-2 aus und der git-credential-Helfer gegen Gitea. Co-Authored-By: Claude Opus 5 --- docker-compose.yml | 6 +++++- 1 file changed, 5 insertions(+), 1 deletion(-) diff --git a/docker-compose.yml b/docker-compose.yml index d29892a..9a15032 100644 --- a/docker-compose.yml +++ b/docker-compose.yml @@ -1,6 +1,10 @@ services: openbao: - image: openbao/openbao:2.6.2 + # 2026-10-24: 2.6.2 -> 2.7.1. Die CLI auf dem Host ist seit dem 01.10. 2.7.1, + # der Server hinkte hinterher. Der Unsealer-Sidecar unten bleibt vorerst auf + # 2.6.2: er ist Shamir-versiegelt (1/1) und muesste nach einem Austausch von + # Hand entsiegelt werden - die Transit-API ist versionsuebergreifend stabil. + image: openbao/openbao:2.7.1 container_name: openbao restart: unless-stopped # The image entrypoint already runs `bao server -config=/openbao/config`