Erreichbarkeit

Zielgruppe: Anwender und Betreuer · Stand: 06.11.2026

OpenBao ist nur im internen Netz erreichbar und nie über den Edge. Wer OpenBao nutzen will, braucht deshalb einen direkten Netzweg zu Port 8200.

Regeln

• Erreichbar ist nur der interne Listener auf Port 8200, über openbao-lab-bre1.dexpro.parts:8200.
• Port 8201 nutzen nur die Knoten untereinander. Er wird nie freigegeben.
• Der Edge leitet nichts zu OpenBao. Das ist im Lab per Negativtest belegt.
• Ohne Token liefert OpenBao nur die öffentlichen CA-Daten (CA-Zertifikat, Kette, Sperrliste).

OpenBao nie über den Edge veröffentlichen, auch nicht vorübergehend. Oberflächen für Menschen laufen über den Edge, interne Dienste und OpenBao nie.

Zugriff für Pipelines

GitLab-Runner brauchen eine Firewall-Freigabe zu den Knoten auf Port 8200, und nur auf diesem Port. Die Freigabe richtet das Netzteam ein. Für die bestehenden Runner ist sie offen.

Prüfen vom Runner aus:

curl -s -o /dev/null -w '%{http_code}\n' https://openbao-lab-bre1.dexpro.parts:8200/v1/sys/health

200 (aktiver Knoten) oder 429 (Standby-Knoten) bedeutet: erreichbar.

Umgekehrt ruft OpenBao die Signaturschlüssel von GitLab (JWKS) ab, um die JWTs der Pipelines zu prüfen. Dieser Weg ist von allen Knoten aus offen.

Weiterführend

• Pipeline per GitLab-JWT anmelden
• OpenBao: sys/health