Secret-Versionen und Löschen
Zielgruppe: Betreuer · Stand: 06.11.2026
OpenBao hebt je Secret mehrere Versionen auf, und Löschen geht in zwei Stufen. Hier steht, wie du eine alte Version zurückholst und wann ein Secret wirklich weg ist. Menschen arbeiten dafür nach dem OIDC-Login in der Oberfläche, Pipelines über Terraform.
Regeln
- Je Secret bleiben die letzten drei Versionen erhalten. Ältere werden automatisch entfernt.
- Versionen laufen nicht nach Zeit ab.
- Soft-Delete markiert eine Version als gelöscht. Sie lässt sich wiederherstellen. Pipelines und Menschen dürfen das.
- Endgültig löschen (Destroy, Metadaten löschen) dürfen nur Menschen.
Vorgehen (Oberfläche)
- Nach dem OIDC-Login das Secret öffnen und Version History wählen.
- Ältere Version zurückholen: die Version öffnen und daraus eine neue Version erstellen. Der alte Inhalt wird damit zur aktuellen Version.
- Soft-Delete / Wiederherstellen: bei der Version „Delete“ bzw. „Undelete“ wählen.
Endgültig und nicht umkehrbar: „Destroy“ löscht die Daten einer Version, das Löschen der Metadaten entfernt das Secret mit allen Versionen. Vorher prüfen, dass keine Pipeline und kein Dienst das Secret noch nutzt.
Pipelines
Pipelines dürfen laut Policy nur soft-löschen. Endgültig löschen kann nur ein Mensch in der Oberfläche.
Prüfen
In Version History sind soft-gelöschte Versionen als gelöscht markiert, zerstörte als „destroyed“.
Stolperfallen
- Eine aus einer alten Version erstellte Version zählt als neue Version. Bei drei aufbewahrten Versionen fällt dadurch die älteste heraus.
- Im Lab gibt es keine automatischen Snapshots. Was endgültig gelöscht ist, ist weg.
- Was ein Terraform-Abbau genau löscht (nur die aktuelle Version oder mehr), ist noch nicht nachgewiesen. Vor dem ersten Abbau eines Stacks mit Secrets prüfen.